Il nostro ambiente di dati dei titolari di carta (CDE) è ospitato nel modello on-premise (datacenter privato), eccetto che la soluzione SIEM è implementata per la registrazione e il monitoraggio nel cloud privato. dove inoltriamo solo i registri di sicurezza e non inoltriamo alcun registro relativo ai dati dei titolari di carta / ai registri delle transazioni. abbiamo ancora bisogno di includere la soluzione SIEM ospitata nel cloud in ambito CDE per i requisiti PCI DSS ..?
L'ambiente dei dati dei titolari di carta (CDE) è limitato ai segmenti di rete che memorizzano, elaborano, trasmettono i dati dei titolari di carta. I componenti del sistema in ambito sono al di fuori del CDE in quanto i sistemi che forniscono sicurezza o altri servizi rientrano nell'ambito della convalida: autenticazione, gestione aggiornamenti / patch, orchestrazione, anti-virus, registrazione, FIM.
Quindi questo significa che la tua soluzione SIEM deve essere convalidata. Il sistema dovrebbe fare almeno quanto segue:
O tu o il fornitore di servizi cloud devi provare quanto sopra o il tuo fornitore di servizi cloud può fornire prove per dimostrare che quanto sopra è già stato convalidato, ovvero fornendo un attestato di conformità per l'ambito del servizio fornito.
Leggi altre domande sui tag cloud-computing credit-card siem pci-scope