Υπηρεσίες · Κύπρος
Έλεγχοι PCI ASV στην Κύπρο μέσω εγκεκριμένου συνεργάτη. Η Tetramatrix συντονίζει scope, αναφορές, αποκατάσταση και επανελέγχους.
Δημοσιεύτηκε Ενημερώθηκε
Η Tetramatrix συντονίζει εξωτερικούς ελέγχους ευπαθειών PCI DSS για εμπόρους και παρόχους υπηρεσιών στην Κύπρο. Η σάρωση πραγματοποιείται μέσω συνεργάτη Approved Scanning Vendor (ASV) εγκεκριμένου από το PCI Security Standards Council (PCI SSC). Βοηθάμε στον ορισμό των εξωτερικών στοιχείων που εμπίπτουν στο scope, στην προετοιμασία του ελέγχου, στην κατανόηση του αποτελέσματος και στον συντονισμό των βημάτων αποκατάστασης.
Ο έλεγχος ASV αποτελεί μέρος ενός προγράμματος ασφάλειας πληρωμών. Εξετάζει συμφωνημένα συστήματα που είναι προσβάσιμα από το διαδίκτυο για εκθέσεις που μπορεί να επηρεάζουν την ασφάλεια του περιβάλλοντος δεδομένων κατόχων καρτών. Επιχειρήσεις που αποθηκεύουν, επεξεργάζονται ή διαβιβάζουν δεδομένα καρτών μπορεί να έχουν υποχρεώσεις σάρωσης στο πλαίσιο της διαδικασίας επικύρωσης PCI DSS. Οι απαιτήσεις εξαρτώνται από το περιβάλλον εμπόρου ή παρόχου και τους κανόνες της τράπεζας αποδοχής και του Qualified Security Assessor (QSA), γι’ αυτό επιβεβαιώνουμε το αναμενόμενο scope πριν από την έναρξη.
Η αξιολόγηση μπορεί να καλύπτει δημόσιες διευθύνσεις IP, domains, hostnames και δικτυακές υπηρεσίες που έχουν δηλωθεί εντός scope. Ανάλογα με τα στοιχεία που είναι εκτεθειμένα, οι έλεγχοι μπορούν να εντοπίσουν ανοικτές θύρες, γνωστές ευπάθειες, παρωχημένες ή εκτεθειμένες υπηρεσίες και εσφαλμένες ρυθμίσεις SSL/TLS ή άλλων μηχανισμών ασφάλειας. Τα ευρήματα αξιολογούνται σύμφωνα με τα εφαρμοστέα κριτήρια του προγράμματος ASV και παρουσιάζονται με αρκετό πλαίσιο για τεχνική διερεύνηση.
Πριν από τη σάρωση, συγκεντρώνουμε με την ομάδα σας τη λίστα στοιχείων και ελέγχουμε ότι οι στόχοι είναι προσβάσιμοι και συνδέονται σωστά με το περιβάλλον πληρωμών. Έτσι εντοπίζονται στοιχεία που λείπουν ή δεν είναι διαθέσιμα πριν ξεκινήσει ο κύκλος. Διευκρινίζουμε επίσης εξαιρέσεις και ιδιοκτησία, ώστε ο έλεγχος να είναι εξουσιοδοτημένος και περιορισμένος στο εγκεκριμένο scope.
Η απαίτηση 11.3.2 του PCI DSS προβλέπει επιτυχείς εξωτερικούς ελέγχους ASV τουλάχιστον μία φορά κάθε 3 μήνες για τα εφαρμοστέα στοιχεία εντός scope, καθώς και επανελέγχους όταν χρειάζονται για την επιβεβαίωση αποκατάστασης. Μπορεί να απαιτείται πρόσθετος έλεγχος μετά από σημαντική αλλαγή στο δίκτυο ή στο περιβάλλον πληρωμών. Συντονίζουμε το συμφωνημένο τριμηνιαίο πρόγραμμα, προγραμματίζουμε πρόσθετη σάρωση μετά από αλλαγή και συζητάμε συχνότερους ελέγχους όταν το προβλέπει το πρόγραμμα κινδύνου σας. Δείτε τον οδηγό ASV του PCI SSC για την απαίτηση και το εύρος.
«Τουλάχιστον μία φορά κάθε τρεις μήνες.» (ελεύθερη ελληνική απόδοση)
PCI Security Standards Council, οδηγίες απαίτησης 11.3.2
Ο κύκλος περιλαμβάνει επιβεβαίωση scope, ελέγχους ετοιμότητας, εκτέλεση, εξέταση ευρημάτων και αναφορά. Ο συνεργάτης μπορεί να χρησιμοποιεί αυτοματοποιημένο προγραμματισμό, παράλληλη σάρωση και επαναλήψεις για προσωρινά μη διαθέσιμους στόχους, ανάλογα με το εγκεκριμένο scope και τη συμφωνία υπηρεσίας. Για απλούς ελέγχους, η αναφορά συνήθως διατίθεται εντός 24–48 ωρών από την υποβολή των στόχων· μεγαλύτερο scope, μη προσβάσιμα στοιχεία ή πρόσθετη ανάλυση μπορεί να παρατείνουν τον χρόνο. Ο προγραμματισμός ορίζεται εκ των προτέρων ώστε η ομάδα σας να προετοιμάσει τα συστήματα και να απαντήσει σε ερωτήσεις για τα στοιχεία.
Αν ο έλεγχος εντοπίσει ευρήματα, βοηθάμε την ομάδα σας να κατανοήσει το στοιχείο, το ζήτημα και την αντίστοιχη έκβαση PCI. Οι τεχνικοί υπεύθυνοι μπορούν να εφαρμόσουν ενημερώσεις, να αλλάξουν ρυθμίσεις, να κλείσουν μια περιττή υπηρεσία ή να αντιμετωπίσουν την έκθεση με άλλο τρόπο. Η Tetramatrix μπορεί να συντονίσει επανέλεγχο επικύρωσης ώστε το ASV να επιβεβαιώσει αν η αλλαγή αντιμετώπισε το εύρημα.
Ορισμένα αποτελέσματα μπορεί να χρειάζονται περαιτέρω εξέταση επειδή αμφισβητείται ένα εύρημα ή ένα στοιχείο βρίσκεται εκτός του περιβάλλοντος δεδομένων κατόχων καρτών. Βοηθάμε να οργανωθούν τα τεχνικά τεκμήρια και συντονίζουμε επίσημη αμφισβήτηση ή διευκρίνιση scope μέσω της διαδικασίας ASV. Ο πάροχος ASV αξιολογεί την αμφισβήτηση και καταγράφει την έκβαση· ο έμπορος παραμένει υπεύθυνος για την ακρίβεια του scope και των αρχείων αποκατάστασης.
Η υπηρεσία παρέχει αποτελέσματα σε μορφή αναφοράς κατάλληλη για την τεχνική ομάδα και για συζήτηση με την τράπεζα αποδοχής ή τον QSA. Οι αναφορές μπορεί να περιλαμβάνουν εκτελεστική περίληψη, αναλυτικά ευρήματα, επηρεαζόμενους hosts και θύρες, επίπεδα σοβαρότητας και κατάσταση αποκατάστασης. Ανάλογα με τις διαθέσιμες επιλογές, οι εξουσιοδοτημένοι χρήστες μπορούν να εξετάζουν βαθμολογία συμμόρφωσης, σύνοψη επιφάνειας επίθεσης και ανοικτά ευρήματα μαζί με διορθώσεις που επικυρώθηκαν από επόμενες σαρώσεις, και να εξάγουν διαδραστική αναφορά ή φάκελο PDF. Όταν η σάρωση του περιβάλλοντος εντός scope έχει επιτυχές αποτέλεσμα, η διαδικασία ASV μπορεί να εκδώσει Attestation of Scan Compliance (ASC) για την αντίστοιχη διαδικασία τεκμηρίωσης PCI.
Για οργανισμούς που διαχειρίζονται πολλές επιχειρήσεις ή πελάτες, η πύλη μπορεί να υποστηρίζει χωριστά περιβάλλοντα πελατών, πρόσβαση βάσει ρόλου, οργανωμένη ένταξη και επώνυμες αναφορές όπου ενεργοποιούνται. Το περιβάλλον υπηρεσίας διαθέτει μέτρα προστασίας όπως κρυπτογράφηση κατά τη μεταφορά και αποθήκευση, επιλογές MFA ή SSO και αρχεία ελέγχου. Οι διαθέσιμες επιλογές πρόσβασης και φιλοξενίας ανά περιοχή εξαρτώνται από τη συμφωνημένη διαμόρφωση.
Μια αναφορά ASV υποστηρίζει τη διαδικασία επικύρωσης PCI DSS· δεν πιστοποιεί από μόνη της ολόκληρο τον οργανισμό ως συμμορφούμενο με το PCI. Η τράπεζα αποδοχής, ο QSA ή άλλος αρμόδιος αξιολογητής καθορίζει τα απαιτούμενα τεκμήρια και τη μέθοδο επικύρωσης. Μπορούμε να συντονίσουμε την παράδοση της αναφοράς και να συγκεντρώσουμε τα αρχεία ελέγχου, αποκατάστασης και επανελέγχου για την επόμενη αξιολόγηση.
Η Tetramatrix είναι το τοπικό σημείο επικοινωνίας σας στην Κύπρο για προετοιμασία scope, προγραμματισμό και συντονισμό αποκατάστασης. Η σάρωση και το επίσημο αποτέλεσμα ASV παρέχονται μέσω συνεργάτη εγκεκριμένου από το PCI SSC. Οι ευθύνες παραμένουν σαφείς: το ASV εκτελεί την εγκεκριμένη σάρωση και εκδίδει το επίσημο αποτέλεσμα, ενώ εμείς βοηθάμε την επιχείρησή σας να προετοιμαστεί και να ενεργήσει βάσει αυτού.
Η υπηρεσία απευθύνεται σε ηλεκτρονικά καταστήματα, λιανική, επιχειρήσεις φιλοξενίας, παρόχους πληρωμών και άλλους οργανισμούς με υποχρεώσεις PCI DSS που περιλαμβάνουν εξωτερική σάρωση ASV. Μπορεί επίσης να υποστηρίξει ομάδες IT και συμβούλους συμμόρφωσης που διαχειρίζονται τεκμήρια σάρωσης για περισσότερες από μία εξουσιοδοτημένες οντότητες, με ξεχωριστό scope για κάθε περιβάλλον.
Αρχίζουμε με σύντομη εξέταση του περιβάλλοντος πληρωμών, της διαδικασίας επικύρωσης PCI που εφαρμόζεται, των εξωτερικών διευθύνσεων IP και domains, του υφιστάμενου προγράμματος ελέγχων και του υπεύθυνου τεχνικής αποκατάστασης. Έπειτα επιβεβαιώνουμε τα στοιχεία και την εξουσιοδότηση, προγραμματίζουμε τη σάρωση, κοινοποιούμε τα ευρήματα στους αρμόδιους και συντονίζουμε κάθε απαιτούμενη επικύρωση. Αν δεν είστε βέβαιοι ποια στοιχεία ανήκουν στο scope ή αν ισχύει η σάρωση ASV για την επιχείρησή σας, σας βοηθάμε να προετοιμάσετε τις ερωτήσεις προς την τράπεζα αποδοχής ή τον QSA πριν από την έναρξη.
Ο έλεγχος Approved Scanning Vendor είναι εξωτερική αξιολόγηση ευπαθειών που χρησιμοποιείται από πολλούς εμπόρους και παρόχους υπηρεσιών για τις απαιτήσεις σάρωσης του PCI DSS. Εξετάζει τα διαδικτυακά στοιχεία που έχουν συμφωνηθεί για το περιβάλλον δεδομένων κατόχων καρτών και καταγράφει αποτέλεσμα σύμφωνα με τα εφαρμοστέα κριτήρια ASV. Η τράπεζα αποδοχής ή ο QSA σας επιβεβαιώνει τις απαιτήσεις της διαδικασίας επικύρωσης.
Η Tetramatrix ορίζει το εύρος και συντονίζει την υπηρεσία, ενώ την ίδια τη σάρωση εκτελεί συνεργάτης ASV εγκεκριμένος από το PCI SSC. Βοηθάμε στην προετοιμασία των στοιχείων, στον προγραμματισμό και στον συντονισμό αποκατάστασης και επανελέγχου.
Το PCI DSS γενικά απαιτεί τριμηνιαίους εξωτερικούς ελέγχους ASV για τα σχετικά στοιχεία εντός scope και ενδέχεται να απαιτεί νέο έλεγχο μετά από σημαντικές αλλαγές δικτύου. Επιβεβαιώστε το ακριβές εύρος και το χρονοδιάγραμμα αποδεικτικών με την τράπεζα αποδοχής ή τον QSA σας.
Το συμφωνημένο εύρος μπορεί να περιλαμβάνει δημόσιες διευθύνσεις IP, domains και διαδικτυακές υπηρεσίες που σχετίζονται με το περιβάλλον πληρωμών σας. Πριν από τον προγραμματισμό, εξετάζουμε με την ομάδα σας την ιδιοκτησία, την προσβασιμότητα και τα όρια του scope.
Λαμβάνετε ευρήματα αξιολογημένα βάσει των εφαρμοστέων κριτηρίων ASV, μαζί με πληροφορίες αποκατάστασης. Η Tetramatrix μπορεί να συντονίσει τις διορθώσεις της τεχνικής ομάδας, έναν επανέλεγχο και, όπου ενδείκνυται, τεκμήρια για επίσημη αμφισβήτηση ψευδούς θετικού ή διευκρίνιση scope. Η βεβαίωση επιτυχούς ελέγχου εκδίδεται μόνο εφόσον καταγραφεί επιτυχές αποτέλεσμα στη διαδικασία ASV.
Όχι. Ο έλεγχος ASV είναι εξωτερική σάρωση ευπαθειών για PCI σε συγκεκριμένα διαδικτυακά στοιχεία. Το penetration test έχει ξεχωριστά συμφωνημένο scope και μεθοδολογία και εξετάζει πώς αδυναμίες μπορούν να συνδυαστούν ή να αξιοποιηθούν στην πράξη.
Πείτε μας τι χρειάζεστε — απαντούμε εντός μιας εργασίμης ημέρας.
