Per rendere tutto conforme a PCI-DSS devi andare oltre la semplice definizione di alcune specifiche tecniche e lasciar perdere. PCI-DSS vuole far funzionare un ambiente sicuro, non solo progettarlo.
Quindi analizziamolo.
- Si desidera inviare regolarmente e-mail contenenti uno o più PAN a una o più parti autenticate.
- Hai ideato un metodo per inviare queste e-mail su un trasporto crittografato e crittograferai anche le e-mail specifiche.
Per far sì che funzioni, probabilmente dovrai fare quanto segue, accanto a tutte le cose relative a PCI-DSS che stai già facendo:
- Controlla e / o aggiorna la tua politica di sicurezza per consentire ai PAN di essere trasportati fuori dal CDE in questo modo, con i requisiti per il metodo esatto.
- Determina a chi stai inviando queste e-mail
- Per i dipendenti della stessa entità, dovrai includere le loro macchine nell'ambito PCI-DSS (standard di configurazione, config rete corretta, crittografia disco, scansioni vuln, i lavori) e addestrare questi dipendenti all'uso corretto del sistema secondo gli standard PCI-DSS. Poiché il tuo server di posta elettronica memorizzerà queste e-mail, potrebbe entrare anche in ambito; discutere con QSA / consulente.
- Se i destinatari sono fornitori di qualche tipo, assicurati che il tuo contratto con loro dichiari che devono essere conformi allo standard PCI-DSS (se partecipano all'elaborazione CC in qualche modo) e / o devono proteggere sufficientemente i dati che stai inviando loro. Se devono essere conformi allo standard PCI-DSS, ritirare il loro COA annualmente.
- Se i destinatari sono clienti / commercianti, probabilmente il tuo acquirente vorrà che tu gestisca anche il suo stato PCI-DSS. Colleziona AOC o SAQ ogni anno.
- In entrambi i casi, probabilmente vorrai concordare un periodo di conservazione.
-
Progettare e implementare i processi da gestire (ruotare dopo un periodo, revocare in caso di compromissione, in genere sostituire) le chiavi di crittografia utilizzate per inviare queste e-mail, probabilmente anche quelle dei destinatari (se si utilizza PGP). Vedere il capitolo 3 di PCI-DSS:
- Un modo per autenticare / verificare / iscrivere / annullare la registrazione dei destinatari e le chiavi utilizzate per loro
- Avere un modo sicuro di gestire le chiavi di crittografia all'interno della propria applicazione (la chiave privata deve essere crittografata, la chiave di crittografia non può essere memorizzata sullo stesso server: probabilmente avrà bisogno di un controllo diviso con cui lavorare)
- Un processo per valutare se la tecnologia utilizzata è ancora valida e un modo per andare avanti quando è considerata insufficiente
-
Progetta e implementa il prodotto reale in base al processo di modifica:
- Assicurati di non memorizzare versioni non crittografate dell'e-mail in tempfile o log
- Avere un modo per sapere cosa hai inviato dove può essere d'aiuto in caso di problemi
- Il sistema è stato testato correttamente (anche per problemi di sicurezza)
-
Avere un processo (incidente) in atto per gestire i ladri / i destinatari compromessi, le chiavi compromesse, ecc.
Potrebbe valere la pena tentare di trovare una soluzione diversa che renda le cose più facili per te. Perché inviare PAN se è possibile che persone vengano nel tuo sistema? Potrebbe essere più facile da gestire.