PCI DSS Uyumluluğu ile Saldırı Yüzeyinizi Nasıl Azaltabilirsiniz?

PCI uyumluluğu, finans sektörü için siber güvenliği çevreleyen bir endüstri ölçütü belirlerken, kuruluşlar kendilerini veri ihlallerine karşı korumak için buna güvenmemelidir.

Acı gerçek şu ki, siber suçlular, yalnızca PCI DSS uyumluluk gereksinimleri kapsamındakilere değil, hassas verilere yetkisiz erişim elde etmek için bir kuruluşun BT altyapısındaki herhangi bir zayıflıktan yararlanacaktır. Kuruluşlar, PCI DSS'yi müşteri verilerinin güvenliğini sağlamak için bir kontrol listesi olarak görmek yerine, uyumluluk için daha bütünsel bir yaklaşım benimsemelidir.

Siber saldırılara karşı tam ağ ve veri güvenliği sağlamak için tüm saldırı yüzeyinde görünürlük kazanmak çok önemlidir. Kuruluşlar, güvenlik duruşlarını güçlendirmek ve veri ihlallerine karşı en iyi savunmayı sağlamak için PCI uyumluluklarını saldırı yüzeyi yönetimi stratejileriyle uyumlu hale getirmelidir. Nasıl olduğunu öğrenmek için okumaya devam edin.

PCI DSS nedir?

Ödeme Kartı Endüstrisi Veri Güvenliği Standartları (PCI DSS), kredi kartı dolandırıcılığını önlemek ve kredi kartı sahiplerini kişisel veri hırsızlığından korumak için tasarlanmıştır. PCI DSS kontrolleri, kredi kartı verilerinin işlenmesini, depolanmasını ve aktarılmasını kapsar.

PCI DSS, İnternet Güvenliği Merkezi (CIS), Bulut Güvenliği İttifakı (CSA) ve Açık Web Uygulaması Güvenlik Projesi (OWASP) gibi birçok uluslararası siber güvenlik kuruluşunun rehberliğinden yararlanır.

PCI DSS'ye Kimler Uymalıdır?

Satıcılar ve ödeme çözümü sağlayıcıları da dahil olmak üzere, müşteri kredi kartı bilgilerini işleyen herhangi bir kuruluş, PCI DSS'ye uymalıdır.

Bu kontrol listesi, PCI DSS uyumluluk çabalarınızı izlemenize yardımcı olacaktır. Satıcılarınızın her birinin uyumluluğunu değerlendirmek için bu ücretsiz şablonu kullanın.

PCI DSS 4.0 ile nasıl uyumlu olacağınızı öğrenin >

PCI DSS Uyumluluğu Neden Önemlidir?

Finans sektörü, büyük hacimli müşterilerin kişisel olarak tanımlanabilir bilgileriyle (PII) ilgilenir. Siber suçlular, bu hassas verilerin kimlik hırsızlığı, sigorta dolandırıcılığı ve diğer kazançlı suçları işlemek için bir araç olarak satılabileceği karanlık ağda sahip olduğu yüksek değerin farkındadır.

Finans sektöründeki en büyük veri ihlalleri hakkında bilgi edinin >

Günümüzün tehdit ortamında, bilgisayar korsanları bu değerli bilgilere erişmek için finansal kurumların zayıf veri güvenliği önlemlerini hedef alıyor. Hükümetler ve düzenleyici kurumlar, daha katı gereklilikler uygulayarak ve uyumlu olmayan kuruluşlara ağır mali cezalar vererek yanıt verdiler. PCI DSS'ye uymayan finansal kuruluşlar, uyumsuzluk ve diğer olası yasal sonuçların her ayı için 5.000 ila 100.000 ABD Doları arasında değişen para cezalarıyla karşı karşıyadır.

Veri ihlalleri aynı zamanda kuruluşlar için itibar maliyeti oluşturur ve sonuçta kişisel bilgileri korunmazsa müşterilerin güvenini ve sadakatini kaybeder.

PCI DSS 4.0 uyumlu bir ürün > nasıl seçeceğinizi öğrenin

Saldırı Yüzeyi Yönetimi ile PCI DSS Uyumluluğu Nasıl Desteklenir

Aşağıda, öngörülen en iyi güvenlik uygulamaları ve saldırı yüzeyi yönetim stratejileriyle eşleştirilmiş 12 PCI DSS gereksinimi bulunmaktadır.

Gereksinim 1: Ağ Güvenlik Denetimlerini (NSC'ler) Kurun ve Koruyun

PCI DSS Konseyi, Ağ Güvenliği Kontrollerini (NSC'ler) "bir kuruluşun kendi ağlarındaki güvenlik duvarları ve diğer ağ güvenliği teknolojileri" olarak tanımlar. [bu] kuruluşun kaynaklarını güvenilmeyen ağlara maruz kalmaktan korur. " Güvenilmeyen ağlar, hassas sistemleri korumasız yollara maruz bırakarak yetkisiz erişime yol açabileceğinden, Kart Sahibi Veri Ortamı (CDE) için bir güvenlik riski oluşturur. Varlıklar, CDE'yi gelen tehditlerden korumak için ağ segmentasyonu da uygulamalıdır.

Konsey, güvenilmeyen ağların yaygın örnekleri olarak aşağıdakileri listeler:

  • İnternet;
  • B2B iletişim kanalları;
  • Kablosuz ağlar;
  • Hücresel gibi taşıyıcı ağlar;
  • Üçüncü taraf hizmet sağlayıcı ağları;
  • PCI DSS kapsamı dışında kalan kurumsal ağlar da dahil olmak üzere, kuruluşun kontrolü dışındaki diğer tüm kaynaklar.

Web uygulaması güvenlik duvarları (WAF'ler) ve sanal özel ağlar (VPN'ler) gibi NSC'ler siber saldırılara karşı ilk savunma hattını sunarken, güvenli olmayan hizmetleri, protokolleri ve bağlantı noktalarını belirlemek için hafifletici kontroller uygulanmalıdır.

Açık bağlantı noktalarının tehlikeleri hakkında bilgi edinin >

UpGuard, kuruluşların NSC'lerinin yapılandırma ayarlarının yalnızca onaylanmış hizmetlere, protokollere ve bağlantı noktalarına izin verdiğini doğrulamasına olanak tanır. UpGuard, Kart Sahibi Veri Ortamının ötesinde, üçüncü taraflarınki de dahil olmak üzere tüm saldırı yüzeyi boyunca açık bağlantı noktası taraması gerçekleştirir.

Gereksinim 2: Güvenli bir ağ ve sistem oluşturun ve sürdürün

Varsayılan parolalar ve satıcı ayarları, açık kaynak istihbarat yöntemleriyle kolayca elde edilebilir. Tehdit aktörleri, dahili sistemlere yetkisiz erişim elde etmek için genellikle bu kamuya açık bilgilerden yararlanır.

PCI Konseyi tarafından öngörülen eylem maddeleri şunları içerir:

  • Varsayılan parolaları değiştirme
  • Gereksiz yazılımları, işlevleri ve hesapları kaldırma
  • Gereksiz hizmetleri devre dışı bırakma veya kaldırma

Kuruluşların bu saldırı vektörlerini ortadan kaldırmak için güvenli yapılandırmalar uygulaması gerekir. Gereksiz yazılım ve hizmetlerin kullanımını önlemek veya sınırlamak, bir kuruluşun tüm saldırı yüzeyini azaltır.

UpGuard Nasıl Yardımcı Olur

? UpGuard, Shadow IT dahil olmak üzere yetkisiz veya kullanılmayan SaaS uygulamaları da dahil olmak üzere İnternet'e yönelik tüm varlıkları algılayabilir. UpGuard'ın veri sızıntısı tespit motoru, sızdırılan kimlik bilgilerini ve yanlış yapılandırılmış bulut ayarlarını gerçek zamanlı olarak belirlemek için web'in tüm katmanlarını tarar ve kuruluşların açıkta kalan verileri anında güvence altına almasını sağlar.

Gereksinim 3: Depolanan Hesap Verilerini Koruyun

Kuruluşlar, kart sahibi verilerini etkili bir şekilde korumak için güçlü şifreleme, kesme, maskeleme ve karma özellikleri uygulamalıdır. Bu önlemler, yetkisiz erişim durumunda verileri çözülemez hale getirerek başka bir güvenlik katmanı ekler. Tüm hassas verilere benzer veri güvenliği standartlarının uygulanması, saldırı yüzeyine tam koruma sağlar.

Şifreleme > hakkında daha fazla bilgi edinin

Gereksinim 4: Açık, Genel Ağlar Üzerinden İletim Sırasında Kart Sahibi Verilerini Güçlü Kriptografi ile Koruyun

Güvenliği zayıf kablosuz ağlar ve yetersiz şifreleme ve kimlik doğrulama protokolleri yaygın olarak hedeflenen güvenlik açıklarıdır. Konsey, kuruluşların verilerin korunmasını, bütünlüğünü ve reddedilmemesini sağlamak için kriptografi kullanarak güvenilmeyen ve genel ağlar üzerinden birincil hesap numaralarını (PAN'lar) şifrelemesi gerektiğini belirtir. Kuruluşlar, veri ihlali önleme yeteneklerini güçlendirmek için güvenilmeyen ağlar ve genel ağlar üzerinden iletilen tüm verileri şifreleyerek bu gereksinimi genişletmelidir.

  • Kriptografi hakkında daha fazla bilgi edinin
  • Reddetmeme hakkında daha fazla bilgi edinin
UpGuard Nasıl Yardımcı Olur

? UpGuard, tüm saldırı yüzeyindeki eski protokollerin neden olduğu güvenli olmayan ağları ve güvenlik açıklarını anında tespit edebilir.

Gereksinim 5: Tüm Sistemleri ve Ağları Kötü Amaçlı Yazılımlardan Koruyun

>

Kötü amaçlı yazılım veya kötü amaçlı yazılım, bir bilgisayara veya sisteme zararlı amaçlarla yüklenen herhangi bir program veya dosyadır. Kötü amaçlı yazılımların yaygın örnekleri şunları içerir:

  • Bilgisayar virüsleri
  • Bilgisayar solucanları
  • Fidye yazılımı
  • Truva atları
  • Casus yazılımlar
  • Reklam yazılımı
  • Kök Setleri

22 farklı kötü amaçlı yazılım türünü nasıl tespit edeceğinizi öğrenin >

Siber suçlular, aşağıdakiler gibi saldırı vektörleri aracılığıyla kötü amaçlı yazılım enjekte eder:

  • Kimlik avı e-postaları
  • E-posta sahteciliği
  • Yazım hatası
  • Tuş günlüğü
  • Ağ güvenlik açıklarından yararlanma

Kötü amaçlı yazılım enjekte edildikten sonra tüm ağa hızla yayılabilir. Kart Sahibi Veri Ortamı (CDE) başlangıçta bir kötü amaçlı yazılım saldırısından etkilenmese bile, güvenliğinin ihlal edilmesi an meselesidir. Kuruluşlar, kötü amaçlı yazılımlara karşı uç nokta koruması elde etmek için bir virüsten koruma yazılımı çözümü dağıtmalıdır. Tam bir saldırı yüzeyi savunması için, kötü amaçlı yazılımın kendini yaydığı saldırı vektörlerini tanımlamaları gerekir.

UpGuard Nasıl Yardımcı Olur

? UpGuard, kötü amaçlı yazılım saldırılarını kolaylaştırabilecek güvenlik açıklarını anında tespit eder. UpGuard platformu ayrıca e-posta güvenlik sorunlarını, kimlik avı ve kötü amaçlı yazılımları ve typosquatting'i gerçek zamanlı olarak tanımlayabilir.

Gereksinim 6: Güvenli sistemler ve yazılımlar geliştirin ve sürdürün.

Eski işletim sistemleri de dahil olmak üzere üçüncü taraf yazılımlardaki yamalanmamış güvenlik açıkları korkunç sonuçlara yol açabilir. Siber suçlular, dahili sistemlere sızmak için sıfırıncı gün güvenlik açıklarından yararlanır. Güvenli kodlama uygulamaları ve yazılım yaşam döngüsü (SLC) süreçleri sıfırıncı günlerden kaçınmaya yardımcı olabilir, ancak satıcıların bu güvenlik kusurlarını düzeltmek veya büyük ölçekli veri ihlallerini riske atmak için hızlı hareket etmesi gerekir.

Güvenlik açıklarının hızlı tespiti ve güvenli kodlama uygulamaları, hatanın kaynağını tam olarak belirleyerek yama sürecini hızlandırır.

Sıfırıncı gün güvenlik açıkları hakkında bilgi edinin >

UpGuard Nasıl Yardımcı Olur

? UpGuard, dahili ve üçüncü taraf saldırı yüzeyindeki güvenlik açıklarını anında tespit eder. UpGuard, S3 klasörleri, genel GitHub depoları ve güvenli olmayan RSync ve FTP sunucuları dahil olmak üzere kod depolarını veri sızıntılarına neden olan yanlış yapılandırmalara karşı tarar.

Gereksinim 7: Ağları düzenli olarak izleyin ve test edin

Aşırı izinler, yetkisiz kullanıcılara gereksinimlerinin ötesinde erişim hakları/ayrıcalıkları verildiği bir bulut yanlış yapılandırmasıdır. Bu yaygın hata, sonunda ihlallere yol açabilecek içeriden gelen tehditleri ve üçüncü taraf veri sızıntılarını hızla kolaylaştırabilir.

Kuruluşlar, kullanıcı izinlerini en düşük gereksinimlerle sınırlamak için en az ayrıcalık ilkesini uygulamalıdır. PCI Konseyi bu gereklilikleri tüm üçüncü tarafları kapsayacak şekilde genişletir.

  • Yaygın bulut yanlış yapılandırmalarını nasıl düzelteceğinizi öğrenin
  • En az ayrıcalık ilkesini nasıl uygulayacağınızı öğrenin
UpGuard Nasıl Yardımcı Olur: UpGuard,

veri ihlallerine neden olmadan önce bulut yanlış yapılandırmalarını belirlemek için tüm saldırı yüzeyini sürekli olarak izler.

Gereksinim: 8: Kullanıcıları Tanımlayın ve Sistem Bileşenlerine Erişim Kimliğinizi Doğrulayın

Davetsiz misafirler, güçlü erişim kontrol mekanizmaları mevcut değilse ayrıcalıklı sistemlere gizlice girebilir ve hassas verileri sızdırabilir. Kuruluşlar, tüm saldırı yüzeyini kapsayan daha geniş bir kimlik erişim yönetimi (IAM) sisteminin parçası olarak 2FA veya MFA gibi etkili kimlik doğrulama araçlarını uygulamalıdır.

2FA ve MFA > hakkında daha fazla bilgi edinin

Gereksinim 9: Kart sahibi verilerine fiziksel erişimi kısıtlayın

PCI Konseyi, kart sahibi verilerini depolayan, işleyen veya ileten sistemlere fiziksel erişimin "uygun şekilde kısıtlanması" gerektiğini belirtiyor. " Bu gereklilik, yalnızca satıcılarınkiler de dahil olmak üzere herhangi bir hassas veri biçimini depolayan tüm sistemlerin benzer şekilde korunması durumunda etkilidir.

Kuruluşlar, gizli bilgiler içeren basılı kopyaların güvenli bir şekilde saklanmasını ve artık ihtiyaç duyulmadığında imha edilmesini sağlamak için bir temiz masa politikası (CDP) uygulamalıdır. Ayrıca satıcılarının da aynı şeyi yaptığından emin olmalıdırlar.

Gereksinim 10: Sistem bileşenlerine ve kart sahibi verilerine tüm erişimi günlüğe kaydedin ve izleyin

Günlüğe kaydetme mekanizmaları, kuruluşların veri güvenliğinin aşılmasına yol açan güvenlik olaylarını önlemesine, algılamasına veya etkisini en aza indirmesine olanak tanır. PCI Konseyi, "bir şeyler ters gittiğinde kapsamlı izleme, uyarı ve analize izin vermek için tüm sistem bileşenlerinde ve kart sahibi veri ortamında (CDE) günlüklerin bulunmasını zorunlu kılar. " Bu gereklilik üçüncü tarafları da kapsar.

Kuruluşlar, bir güvenlik olayı durumunda sistem etkinliği günlüklerini sağlamak için satıcıların sistemleri de dahil olmak üzere tüm sistemlerde günlüğe kaydetme mekanizmalarının yerinde olduğundan emin olmalıdır. Ayrıntılı günlüğe kaydetme, güvenlik ekiplerinin kök neden analizi gerçekleştirmesine olanak tanır ve bu da güvenlik ekiplerinin gelecekte benzer olaylara karşı önleme önlemleri geliştirmesine olanak tanır.

Gereksinim 11: Sistemlerin ve Ağların Güvenliğini Düzenli Olarak Test Edin

Her gün yeni güvenlik açıkları ortaya çıkıyor ve siber suçlular bunları hızlı bir şekilde keşfediyor. PCI Konseyi, kuruluşların yeterli güvenlik açığı yönetimi elde etmek için aşağıdaki güvenlik kontrollerini sık sık test etmesini zorunlu kılar:

  • Sistem bileşenleri
  • Sistem süreçleri
  • Ismarlama yazılım
  • Özel yazılım

Kuruluşlar, sistem ve ağ güvenlik açıklarını belirlemek için düzenli sızma testi gerçekleştirmeli ve şüpheli ağ trafiğini belirlemek ve engellemek için bir izinsiz giriş tespit ve önleme sistemi (IDS) dağıtmalıdır. Tüm saldırı yüzeyinin sürekli izlenmesi, kuruluşların güvenlik açıklarını anında tespit etmesine ve düzeltmesine olanak tanır.

  • Sızma testi hakkında daha fazla bilgi edinin
  • Sürekli güvenlik izlemenin önemi hakkında daha fazla bilgi edinin

UpGuard'ın sürekli saldırı yüzeyi izleme yetenekleri, sizi ve satıcılarınızı etkileyen aktif Ortak Güvenlik Açıklarını ve Maruz Kalmaları (CVE'ler) tespit ederek daha hızlı düzeltmeye olanak tanır.

Gereksinim 12: Bilgi Güvenliğini Organizasyonel Politikalar ve Programla Destekleyin

Bilgi güvenliği politikası (ISS), bir kuruluştaki tüm son kullanıcıların ve ağların minimum BT güvenliği ve veri koruma güvenliği gereksinimlerini karşılamasını sağlayan kuralları, politikaları ve prosedürleri tanımlar. PCI Konseyi, tüm personelin kart sahibi verilerinin hassasiyeti ve bu verilerin korunmasına ilişkin sorumlulukları konusunda güvenlik bilincine sahip olduğunu belirtmektedir.

Etkili bir İSS, saldırı yüzeyini etkili bir şekilde yönetmek için bir kuruluşun tüm verilerini, programlarını, sistemlerini, tesislerini, altyapısını, yetkili kullanıcılarını, üçüncü taraflarını ve dördüncü tarafları, bir olay müdahale planı da dahil olmak üzere ele almalıdır.

Etkili bir İSS > nasıl oluşturacağınızı öğrenin

UpGuard'ın uyumluluk raporlama özelliklerinden bazıları hakkında bilgi edinmek için aşağıdaki videoyu izleyin.