Preparação para PCI DSS e testes de intrusão
Um Report on Compliance é validado por um Qualified Security Assessor, e uma Attestation of Compliance é a sua declaração formal. Não emitimos nenhum dos dois. O que fazemos é prepará-lo para a avaliação: definir o âmbito do seu ambiente de dados de cartões, fechar as lacunas face ao PCI DSS v4.0.1 e realizar os testes de intrusão e de segmentação do Requisito 11.4 que a norma exige.
Âmbito, lacunas e os testes exigidos
O PCI DSS protege o ambiente de dados de cartões (CDE). Acertar na definição do âmbito é o passo mais decisivo: com um âmbito curto demais, reprova; com um âmbito largo demais, paga por isso. Mapeamos o CDE e os sistemas ligados, avaliamos a lacuna face à v4.0.1 e realizamos os testes de intrusão que a norma exige no Requisito 11.4.
- Definição do âmbito do ambiente de dados de cartões (CDE) e mapeamento dos fluxos de dados
- Avaliação de lacunas face aos requisitos do PCI DSS v4.0.1
- Testes de intrusão externos e internos segundo o Requisito 11.4
- Testes de segmentação que validam ativamente o isolamento do CDE
- Remediação dos achados exploráveis e, depois, reteste (apoia o Req 11.4.4)
- Empacotamento de evidências para entregar ao seu QSA ou para o seu SAQ
Preparação e testes, independentes do QSA
Delimitamos o trabalho com clareza: prestamos preparação para PCI DSS, a avaliação de lacunas e os testes de intrusão e de segmentação do Requisito 11.4. Não somos um Qualified Security Assessor: não validamos a conformidade, não emitimos um Report on Compliance nem assinamos uma Attestation of Compliance. Esse é o papel do QSA. Podemos fornecer uma carta de confirmação de testes, que expressamente não constitui uma atestação de QSA.
- 1
Definição do âmbito
Mapeamos o CDE, os fluxos de dados e os sistemas ligados, acordamos as regras de atuação e assinamos um NDA.
- 2
Avaliação de lacunas
Medimos os controlos face ao PCI DSS v4.0.1 e priorizamos o que tem de ficar fechado antes da avaliação.
- 3
Testes de intrusão
Realizamos os testes externos e internos segundo o Requisito 11.4, confirmando as fraquezas explorando-as.
- 4
Validação da segmentação
Tentamos ativamente alcançar o CDE a partir do exterior: a segmentação é testada, e não apenas analisada.
- 5
Remediação e reteste
O cliente remedia; voltamos a testar os achados corrigidos (apoiando o Req 11.4.4) e empacotamos as evidências para o seu QSA.
O que recebe
Uma imagem do âmbito e das lacunas, mais as evidências de teste de intrusão de que a sua avaliação depende, estruturadas segundo o modelo de relatório de teste de intrusão do PCI SSC. O RoC e o AoC são produzidos pelo seu QSA, não por nós.
- Declaração de âmbito do CDE e documentação dos fluxos de dados
- Avaliação de lacunas mapeada aos requisitos do PCI DSS v4.0.1
- Relatório de teste de intrusão com uma secção dedicada aos resultados do teste de segmentação
- Cada achado: explorabilidade, evidência, reprodução e remediação (CVSS 3.1)
- Reteste gratuito dos problemas remediados dentro do prazo fixado no SoW, apoiando o Requisito 11.4.4
- Carta de confirmação de testes (expressamente não uma atestação de QSA)
Assente no PCI DSS v4.0.1 e na orientação de testes do PCI SSC
A preparação segue o PCI DSS v4.0.1 (a norma atual). Os testes de intrusão e de segmentação situam-se no Requisito 11.4 e seguem a PCI SSC Penetration Testing Guidance, assente no PTES e no NIST SP 800-115. O teste de segmentação valida ativamente o isolamento, em vez de se limitar a uma análise. Prestamos preparação e testes, mas não somos um QSA, não validamos a conformidade nem emitimos um Report on Compliance, e qualquer carta de confirmação expressamente não constitui uma atestação de QSA. As versões do PCI e as regras de validação mudam, por isso voltamos a confirmá-las na definição do âmbito.