新闻快讯
< >

最严格的国际安全认证PCI DSS,将开启合规文化新篇章

E安全1月30日讯 支付卡行业数据安全标准 PCI DSS 3.2 将在2018年2月1日开始实行,该标准将作为一种年度性考核机制对待。安全支付解决方案供应商PCI Pal警告称,最初公布于2016年的 PCI DSS 3.2标准已经为行业留出近两年时间为新的合规性要求进行筹备,但目前相当一部分企业仍未达到PCI DSS 3.2标准要求。

什么是 PCI DSS?

支付卡行业数据安全标准(PCI DSS,全称Payment Card Industry Data Security  Standard)是目前全球最严格且级别最高的金融数据安全标准,DSS针对保护账户数据的技术和操作要求提供了全球统一的基准,由 VISA 和 MasterCard 联合多家国际卡组织共同建立,以增强持卡人的数据安全。获得此认证的公司大多为银行或第三方支付公司,中国也一些公司咨询过PCI DSS认证。

企业很难持续获得PCI DSS认证

尽管现有数据安全标准已经实施多年,但大多数企业仍挣扎于努力保持合规性的及格线上。根据2017年发布的一份行业报告可以看到,在数据违规事件方面,仍有近半数企业(47%)无法满足现有PCI DSS要求。美国Verizon公司发布的PCI DSS合规性报告显示,在通过合规性检查的企业当中,有近三分之一不能连续两年获得合规性认证。

支付卡行业数据安全标准PCI DSS 3.2将开启合规文化的新篇章-E安全

PCI DSS 3.2将解决合规性难题

PCI DSS 3.2标准,旨在缓解并更好地应对网络攻击活动,从而预防支付数据泄露事件的发生。PCI Pal公司CTO乔夫·弗席斯指出,“整个行业已经制定出一种新的合规性遵循文化,且即将作为一种年度性考核机制对待,而非朝着持续遵守的方向努力。对于这类只希望获得年度通行证的企业而言,PCI DSS 3.2的出台代表着一种强制性的提醒,因为其要求提供持续合规证据而不仅仅只是简单的通过/未通过结论。”

PCI DSS 3.2提出的主要要求包括:

  • 对要求8.3条作出扩展,要求在管理员对持卡者数据环境进行访问时使用多因素验证机制。

  • 要求服务供应商及其它相关方采取额外安全验证步骤,包括“指定实体补充验证(简称DESV)”标准。

弗席斯进一步补充称:“符合 PCI 合规性要求应是一个持续推进的过程。目前的年度评估只能检查目标企业是否拥有正确的流程,而 PCI DSS 3.2 将转变具体作法,要求对方始终保持设备清单与配置标准更新,并在必要时应用安全控制方案。企业不应再继续依赖于暂停及恢复等过时的解决办法。最近的一系列重大安全事件已经引起行业警惕,但相信此次 PCI DSS 新标准的全面实施将确保其在整个行业中继续保持核心地位。“

PCI DSS认证的难点

PCI DSS 认证的主要难度来自于渗透测试和漏洞扫描两个方面。支付卡行业的数据安全标准(PCI DSS)第11.3条要求企业每年(至少进行一次)对内网和外网实施渗透测试评估。在持卡人数据环境作出任何重大变更之后必须重复测试。在渗透测试中每一个主机和所有的相关服务, 都会被仔细的逐个探测,以识别潜在的漏洞。

所有的潜在的漏洞, 都必须人工手动进行审查、研究、并进行漏洞利用;而非人工手动方式可能会损害目标系统上的数据,或对目标造成拒绝服务攻击。

在测试中发现任何可利用的漏洞,企业必须修复问题之后重复测试。渗透测试周期要到漏洞被修复才完成,而且还需要提供系统已修复漏洞的证明书。这其中运用到三种测试手段:基于黑盒内部渗透测试、针对授权用户的内部渗透测试、优先授权内部测试。一般来说,这项认证只有极少数企业才能顺利通过。

E安全注:本文系E安全独家编译报道,转载请联系授权,并保留出处与链接,不得删减内容。联系方式:① 微信号zhu-geliang ②邮箱eapp@easyaq.com
@E安全,最专业的前沿网络安全媒体和产业服务平台,每日提供优质全球网络安全资讯与深度思考,欢迎关注微信公众号「E安全」(EAQapp),或登E安全门户网站www.easyaq.com , 查看更多精彩内容。