Подготовка к PCI DSS и тестирование на проникновение
Report on Compliance подписывает Qualified Security Assessor, а Attestation of Compliance является вашей официальной декларацией. Ни то, ни другое мы не выпускаем. Мы готовим вас к оценке: определяем границы среды данных держателей карт, закрываем пробелы по PCI DSS v4.0.1 и проводим тестирование на проникновение и проверку сегментации по Requirement 11.4, которых требует стандарт.
Область, пробелы и обязательное тестирование
PCI DSS защищает среду данных держателей карт (CDE). Правильно определить её границы важнее всего: если занизить область, проверку не пройти, если завысить, придётся переплатить. Мы описываем CDE и связанные с ней системы, оцениваем разрыв до v4.0.1 и проводим тестирование на проникновение, которого стандарт требует в Requirement 11.4.
- Определение области среды данных держателей карт (CDE) и картирование потоков данных
- Оценка пробелов по требованиям PCI DSS v4.0.1
- Внешнее и внутреннее тестирование на проникновение по Requirement 11.4
- Тестирование сегментации, которое активно проверяет изоляцию CDE
- Устранение эксплуатируемых находок, затем повторное тестирование (поддерживает Req 11.4.4)
- Упаковка доказательств для передачи вашему QSA или для вашего SAQ
Подготовка и тестирование, независимые от QSA
Мы чётко обозначаем рамки своей работы: подготовка к PCI DSS, оценка пробелов и тестирование на проникновение и сегментацию по Requirement 11.4. Мы не являемся Qualified Security Assessor, не подтверждаем соответствие, не выпускаем Report on Compliance и не подписываем Attestation of Compliance. Это роль QSA. Мы можем выдать письмо-подтверждение о проведённом тестировании, в котором прямо сказано, что оно не является аттестацией QSA.
- 1
Определение области
Мы картируем CDE, потоки данных и связанные системы, согласуем правила проведения работ и подписываем NDA.
- 2
Оценка пробелов
Мы оцениваем средства контроля по PCI DSS v4.0.1 и приоритизируем то, что должно быть закрыто до оценки.
- 3
Тестирование на проникновение
Мы проводим внешнее и внутреннее тестирование по Requirement 11.4, подтверждая слабости их эксплуатацией.
- 4
Проверка сегментации
Активно пытаемся проникнуть в CDE извне, то есть проверяем сегментацию на деле, а не только сканируем.
- 5
Устранение и повторное тестирование
Вы устраняете; мы повторно тестируем исправленные находки (поддерживая Req 11.4.4) и упаковываем доказательства для вашего QSA.
Что вы получаете
Картина границ и пробелов и доказательства тестирования на проникновение, от которых зависит ваша оценка, оформленные по схеме отчёта о тестировании на проникновение PCI SSC. RoC и AoC готовит ваш QSA, а не мы.
- Описание области CDE и документация потоков данных
- Оценка пробелов, сопоставленная с требованиями PCI DSS v4.0.1
- Отчёт о тестировании на проникновение с отдельным разделом результатов тестирования сегментации
- Каждая находка: эксплуатируемость, доказательства, воспроизведение и устранение (CVSS 3.1)
- Бесплатное повторное тестирование устранённых проблем в срок, указанный в SoW, поддерживающее Requirement 11.4.4
- Письмо-подтверждение тестирования (явно не аттестация QSA)
Основано на PCI DSS v4.0.1 и руководстве по тестированию PCI SSC
Подготовка ведётся по PCI DSS v4.0.1 (действующая версия стандарта). Тестирование на проникновение и проверка сегментации относятся к Requirement 11.4 и следуют PCI SSC Penetration Testing Guidance, основанному на PTES и NIST SP 800-115. Проверка сегментации подтверждает изоляцию на деле, а не сканированием. Мы обеспечиваем подготовку и тестирование, но не являемся QSA, не подтверждаем соответствие и не выпускаем Report on Compliance, а в любом письме-подтверждении прямо сказано, что оно не является аттестацией QSA. Версии PCI и правила проверки меняются, поэтому мы заново сверяем их при определении границ.