PCI: CHD o SAD devono ancora essere protetti dopo l'implementazione di una soluzione P2PE?

Question

PCI: CHD o SAD devono ancora essere protetti dopo l'implementazione di una soluzione P2PE?

#1 da (1 voti)

1

La promessa di una buona soluzione PCI P2PE v2 (anche certificata) è che il commerciante non abbia accesso alle chiavi che crittografano i Dati del titolare della carta (CHD) e i Dati di autenticazione sensibili (SAD) permettendo ad alcuni di dire l'ora CHD crittografato e SAD crittografato non devono più essere protetti secondo PCI DSS e consentire ai dati crittografati di scorrere attorno ai sistemi di backend (dove non sarebbe stato archiviato prima di P2PE) ora è ok.

La mia domanda è se questo è vero? E per quelli che dicono di sì, per quanto riguarda il requisito PCI DSS 3.2 che il SAD non venga memorizzato dopo l'autorizzazione anche se crittografato? Questo ultimo punto è quello che mi interessa davvero. Perché la specifica P2PE v2 dice che non sovrascrive PCI DSS. Pensieri?

pci-dss

posta Mark E 19.02.2016 - 15:46

fonte

1 risposta

Leggi altre domande sui tag pci-dss

Iniziate a vedere le chiamate alle funzioni jQuery nelle richieste URL, che cos'è? Quali sono i vantaggi e gli svantaggi dell'installazione di un sistema operativo attraverso la rete? [duplicare]

score 1 · Answer 1

Come per la maggior parte degli aspetti PCI, è una questione di ambito.

Se la soluzione P2PE crittografa il CHD / SAD con una chiave non accessibile al commerciante , la gestione del blob crittografato da parte del commerciante non è soggetta a PCI DSS. Possono e lo memorizzeranno e lo trasmetteranno, senza implicazioni dell'ambito PCI, mentre si recano al fornitore di servizi o alla terza parte che ha la chiave corrispondente. Quel fornitore di servizi decodificherà presumibilmente, tokenize esso e restituisca un token al commerciante per uso successivo. Ovviamente, il fornitore di servizi è nel campo di applicazione e deve gestire i dati in linea con PCI DSS, sia crittografati che non crittografati.

Il modo in cui hai formulato la domanda è un po 'problematico. CD crittografato e SAD crittografato sono sempre in ambito per la parte che detiene la chiave . Se non si tiene la chiave, non sono crittografati CHD / SAD; sono macchie opache.

E il punto cruciale, naturalmente, è che la soluzione P2PE deve crittografare prima che il commerciante possa accedere ai dati e con chiavi che sono al sicuro fuori dalla portata del commerciante. Quindi una chiave hardware che si collega al telefono e la crittografa è buona; non è un dongle hardware che si collega ai dati del telefono e delle mani su un'app sul telefono per crittografare.

Come al solito, si applica la dichiarazione di non responsabilità IANAQSA.