PCI DSS 3.2 - 2018年2月1日， 你准备好了吗？

　如果你一直关注PCI DSS，你就会意识到在2018年2月1日有些要求要被强制执行。这个简短的博客小小的提醒你一下。

3.5.1仅针对服务提供商的额外要求：维护包含以下内容的加密架构文档描述：

·        用于保护持卡人数据的所有算法、协议和密钥的详情，包括密钥强度和到期日

• 每个密钥主要用途的说明

• 用于进行密钥管理的任何 HSM 和其他 SCD 的清单

在我看来，这是一个加密架构的总览。加密过程可能看起来复杂，但实际上未必如此。在对一些服务提供商的评估过程中明显的发现，通常会有很多不同的团队(开发、网管、DBA等)参与密钥管理流程，但没有人能够描述完整的流程。因此服务提供商需要维护加完整的密设备清单、密钥信息描述清单等。

6.4.6 完成重要变更后，须对所有新的或变更的系统和网络实施所有相关的 PCI DSS 要求，并在适当情况下更新文档记录。

在日常业务中践行PCIDSS要求。这就要求在系统部署、变更等流程中，需要设置控制点，来分析新部署、重要变更是否符合PCI DSS的每项要求，来保证业务始终遵循PCI DSS标准。这里“重要”一词，是如何定义呢？

举个例子，如果安装了新硬件，可能需要执行以下操作：

• 更新网络拓扑图

• 更新安全基线文档

• 使用最新的安全基线文档

• 更新设备清单

• 将新设备加入漏洞扫描系统、监控系统等

8.3.1使用多因素验证方式，对使用非控制台访问CDE的具有管理员权限的人员进行登陆验证。

参考PCI委员会发布的《多因素身份验证指导》。兼顾易用性与安全，推荐在跳板机、堡垒机上使用多因素认证，其它设备、系统仅允许来自跳板机、堡垒机的连接来符合该项要求。

10.8 仅针对服务提供商的额外要求：实施流程，以便及时检测和报告关键安全控制系统故障，包括但不限于以下方面故障：

• 防火墙

• IDS/IPS

• FIM

• 杀毒

• 物理访问控制

• 逻辑访问控制

• 审计日志机制

• 分段控制（如使用）

此要求仅应用于服务提供商。关键安全控制故障时，如果没有正规的检测和警报流程，便会长时间检测不到故障，并为攻击者提供充足的时间来威胁系统并从持卡人数据环境中窃取敏感数据。

故障的具体类型可能取决于使用中的设备和技术的功能。典型故障包括停止执行其安全功能或未以预期方式运行的系统；例如，删除所有规则或处于脱机状态的防火墙。

10.8.1 仅针对服务提供商的额外要求：及时响应任何关键安全控制故障。安全控制故障响应流程须包括：

• 恢复安全功能

• 识别并记录安全故障持续时间（日期以及从开始到结束的时间）

• 识别并记录故障原因（包括根本原因），并记录解决根本原因所需的补救措施

• 识别并解决故障期间引发的任何安全问题

• 执行风险评估，确定是否需要因安全故障执行进一步操作

• 实施控制，以防故障重复发生

• 恢复安全控制监控

与10.8密切相关，10.8要求故障检测和报警的流程，10.8.1要求故障响应流程。工作人员应了解其在故障事件中需承担的责任、执行的操作，并记录对故障的操作和响应。

11.3.4.1仅针对服务提供商的额外要求：如果使用了分段，请通过至少每半年执行一次渗透测试，并在分段控制/方法有任何变更后执行渗透测试，以确认 PCI DSS 范围。

针对服务提供商，应尽可能频繁地执行 PCI DSS 范围验证，以确保 PCI DSS 范围始终为最新，且与不断变化的业务目标保持一致。

12.4.1仅针对服务提供商的额外要求：管理层应明确保护持卡人数据和 PCI DSS遵从性计划的责任，包括：

·        全面负责维护PCIDSS遵从性

·        制订PCIDSS遵从性计划，并与管理层进行相关章程的沟通

信息安全应得到企业和管理层的支持，以保证PCI DSS能够在公司得到有效的贯彻和适当的资源支持。

12.11仅针对服务提供商的额外要求：至少每季度进行一次审查，以确认工作人员遵守安全政策和操作程序。审查须涵盖以下流程：

• 日常日志审查

• 防火墙规则集审查

• 将安全基线应用于新系统

• 响应安全警报

• 变更管理流程

此要求适用于服务提供商。定期确认已遵守安全政策和流程，可确保预期控制有效且按计划运作。进行这些审查的目的并非重新执行其他 PCI DSS求，而是确认是否如预期那样遵守了程序。

12.11.1仅对服务提供商的附件要求：保留季度审查的文档应包括：

• 记录审查结果

• 由负责 PCI DSS 遵从性计划的指定工作人员审查并签核结果

延续12.11, 12.11.1这些独立检查旨在确认是否持续执行了安全活动。此类审核还可用于确认已保留适当证据（例如检查日志、漏洞扫描报告、防火墙检查等），从而帮助实体为下一次 PCI DSS 评估做准备。

“照常营业”

2018年1月31日的截止日期马上就到了，希望您的公司已经准备好了。如果还没有，那么尽快与您的合规团队联系，整合所有新的流程并且行动起来吧！