PCI DSS song

Standard PCI DSS to 12 wymagań:
1.  Zainstaluj i skonfiguruj zapory ogniowe tak aby chronić dane posiadaczy kart
2.  Nie używaj domyślnych, dostarczanych przez dostawców danych w postaci haseł i innych parametrów bezpieczeństwa
3.  Chroń przechowywane dane użytkowników kart
4.  Szyfruj dane posiadaczy kart przesyłane otwartymi, publicznymi łączami
5.  Używaj i regularnie aktualizuj oprogramowanie antywirusowe
6.  Twórz i utrzymuj bezpieczne systemy i aplikacje

7.  Ogranicz dostęp do danych posiadaczy kart zgodnie z zasadą wiedzy koniecznej
8.  Przypisz unikalne identyfikatory wszystkim osobom mającym dostęp do komputerów
9.  Ogranicz fizyczny dostęp do danych posiadaczy kart
10.  Wyszukuj i monitoruj wszystkie próby dostępu do zasobów sieciowych oraz informacji o posiadaczach kart
11.  Regularnie testuj systemy i procesy bezpieczeństwa
12.  Utrzymuj politykę wymagającą spełnianie zasad bezpieczeństwa informacji przez cały personel

By ułatwić i uprzyjemnić ich rozpowszechniania PCI Council zamówiło skoczną piosenkę...



Polecam na poprawę samopoczucia w oczekiwaniu na wiosnę

Prezentacja na OWASP

Dzisiaj 15.12 będę miał przyjemność przedstawienia wykładu na warszawskim spotkaniu OWASP. Opowiadać będę o tym jak można połączyć bardzo elastyczne metodyki z rodzaju Agile z wymaganiami PCI DSS.

Prezentację (na prośbę organizatorów po angielsku) można zobaczyć tutaj.
.

PCI DSS wersja 2.0

W ubiegły czwartek opublikowano nową wersję standardu: PCI DSS 2.0 zapewniającego minimalne wymagania bezpieczeństwa konieczne do zachowania podczas przetwarzania danych kartowych (a dokładnie PAN).

Na pierwszy rzut oka większość zmian to wyjaśnienia do niekoniecznie precyzyjnych sformułowań z poprzednich wersji. Wydaje się to krokiem w dobrą stronę - ilość interpretacji była niekiedy zbyt duża.
Na uwagę zasługuje też wymaganie dotyczące klasyfikacji podatności 6.2 (i powiązanym 6.5.6).

Firmy planujące wdrożenie powinny się raczej cieszyć - będzie mniej dyskusji i więcej bezpieczeństwa (nie muszę dodawać, że wyjaśnienia dodają wymagania a nie ich odejmują). Firmy posiadające już PCI DSS powinny za to zrobić dokładny przegląd systemu - może się okazać, że czeka je dodatkowa praca

Standard PCI DSS

Standard PCI DSS (Payment Card Industry, Data Security Standard) jest jednolitym standardem bezpieczeństwa opracowanym przez Payment Card Industry Security Standards Council skupiający najważniejsze z firm zajmujące się procesowaniem kart kredytowych.

12 grup wymagań jest podzielonych na 6 głównych obszarów:
Budowa i utrzymanie bezpiecznej sieci
Wymaganie 1: Zainstaluj i skonfiguruj zapory ogniowe tak aby chronić dane posiadaczy kart
Wymaganie 2: Nie używaj domyślnych, dostarczanych przez dostawców danych w postaci haseł i innych parametrów bezpieczeństwa
Ochrona danych posiadaczy kart
Wymaganie 3: Chroń przechowywane dane użytkowników kart
Wymaganie 4: Szyfruj dane posiadaczy kart przesyłane otwartymi, publicznymi łączami
Utrzymuj program zarządzania podatnościami
Wymaganie 5: Używaj i regularnie aktualizuj oprogramowanie antywirusowe
Wymaganie 6: Twórz i utrzymuj bezpieczne systemy i aplikacje
Zaimplementuj silne mechanizmy kontroli dostępu
Wymaganie 7: Ogranicz dostęp do danych posiadaczy kart zgodnie z zasadą wiedzy koniecznej
Wymaganie 8: Przypisz unikalne identyfikatory wszystkim osobom mającym dostęp do komputerów
Wymaganie 9: Ogranicz fizyczny dostęp do danych posiadaczy kart
Regularnie monitoruj i testuj sieci
Wymaganie 10: Wyszukuj i monitoruj wszystkie próby dostępu do zasobów sieciowych oraz informacji o posiadaczach kart
Wymaganie 11: Regularnie testuj systemy i procesy bezpieczeństwa
Utrzymuj Politykę Bezpieczeństwa Informacji
Wymaganie 12: Spełniać polisę, która jest skupiona na bezpieczeństwie przechowywanych informacji

Natknąłem się ostatnio na interesujący materiał marketingowy - piosenkę tłumaczącą zasadność przestrzegania powyższych 12 zasad.

Posłuchajcie sami