PCI DSS 3.2 ADITIONAL CONTROL NOW VALID

PCI DSS v3.2 version has been implemented by PCI QSAs about 1 year. At the same time, the control items detail in our article were considered best practice until 31 January 2018 and were not evaluable as the reason for failure to pass the audit. As of 1 january, this items were become active and questioned in the audits.

Especially, there are some activities that need attention and require resources for Company Service Provider.

Madde

Kapsam

Açıklama

3.5.1 Additional requirement for service providers only: Maintain a documented description of the cryptographic architecture that includes:

• Details of all algorithms, protocols, and keys used for the protection of cardholder data, including key strength and expiry date

• Description of the key usage for each key.

• Inventory of any HSMs and other SCDs used for key management

Servis Sağlayıcılar

Kriptolama (Şifreleme) mimarisini çizmeleri ve tanımlamaları gerekliliği tanımlanmıştır.

3 numaralı gereksinim altında envanter ve anahtar kullanımı belli ölçülerde tanımlı olması gerekliliği bulunmakla birlikte bu ek maddeyle birlikte yeni bir program olarak anahtar yönetimini işletme ihtiyacı doğmuştur.

6.4.6 Upon completion of a significant change, all relevant PCI DSS requirements must be implemented on all new or changed systems and networks, and documentation updated as applicable.

 

Servis Sağlayıcılar

Üye İşyerleri

Yeni bir madde olarak yazılım geliştirme süreçlerinde kritik değişiklik olması durumunda PCI DSS etkilerinin değerlendirildiğini servis sağlayıcı şirketler değerlendirmeli ve dokümante etmelidir.

8.3.1 Incorporate multi-factor authentication for all non-console access into the CDE for personnel with administrative access.

Servis Sağlayıcılar

Üye İşyerleri

Kart Veri Envanterine (CDE) yapılacak yönetimsel (Admin) müdahalelerin iç ağda dahi olsa iki faktörlü doğrulamadan geçmesi mecburiyeti tanımlanmıştır.

10.8 Additional requirement for service providers only: Implement a process for the timely detection and reporting of failures of critical security control systems, including but not limited to failure of:

  • Firewalls
  • IDS/IPS
  • FIM
  • Anti-virus
  • Physical access controls
  • Logical access controls
  • Audit logging mechanisms
  • Segmentation controls (if used)

Servis Sağlayıcılar

Servis sağlayıcı şirketler anlık olarak güvenlik cihazlarında oluşan hizmet verememe problemlerini takip etmesi gerekmektedir. Standart minimumda Güvenlik Duvarları, IDS/IPS, FIM,                 Anti-virus, fiziksel erişim kontrolleri,

,mantıksal erişim kontrolleri, denetim izi mekanizmaları ve segmentasyon kontrollerini istemekle birlikte kritik güvenlik kontrollerinin de bu kapsamda değerlendirilmesini istemektedir.

10.8.1 Additional requirement for service providers only: Respond to failures of any critical security controls in a timely manner. Processes for responding to failures in security controls must include:

  • Restoring security functions
  • Identifying and documenting the duration (date and time start to end) of the security failure
  • Identifying and documenting cause(s) of failure, including root cause, and documenting remediation required to address root cause
  • Identifying and addressing any security issues that arose during the failure
  • Performing a risk assessment to determine whether further actions are required as a result of the security failure
  • Implementing controls to prevent cause of failure from reoccurring
  • Resuming monitoring of security controls

 

Servis Sağlayıcılar

10.8 maddesine paralel olarak oluşacak Kritik güvenlik kontrollerinde oluşacak aksaklıklara da zamanlı şekilde yanıt verilmesini istemektedir. Başka bir deyişle güvenlik olaylarına daha sıkı ve zamanlı yaklaşmak gerekiyor.

11.3.4.1 Additional requirement for service providers only: If segmentation is used, confirm PCI DSS scope by performing penetration testing on segmentation controls at least every six months and after any changes to segmentation controls/methods.

Servis Sağlayıcılar

Ağ segmentasyonu uygulayan servis sağlayıcı şirketlerde ilgili kontroller için 6 ayda bir sızma testi yapılması istenmektedir. Aynı şekilde segmentasyon kontrolleri eğer değişirse bu testin tekrarı istenmektedir.

12.4.1 Additional requirement for service providers only:  Executive management shall establish responsibility for the protection of cardholder data and a PCI DSS compliance program to include:

  • Overall accountability for maintaining PCI DSS compliance 
  • Defining a charter for a PCI DSS compliance program and communication to executive management

Servis Sağlayıcılar

İşletimi zor ve kaynak gerektiren bir madde olarak PCI DSS aktivitelerinde yönetim beyanı benzeri bir program oluşturulması istenmektedir.

12.11 Additional requirement for service providers only: Perform reviews at least quarterly to confirm personnel are following security policies and operational procedures. Reviews must cover the following processes:

  • Daily log reviews
  • Firewall rule-set reviews
  • Applying configuration standards to new systems
  • Responding to security alerts
  • Change management processes

 

Servis Sağlayıcılar

Denetçiler pek aşamada gözden geçirmeleri inceliyordu. Buna ek olarak servis sağlayıcı şirketlerin her çeyrekte 5 farklı aktivite için gözden geçirme yapması istenmektedir. Bu aktiviteler;

  • Günlük denetim izi gözden geçirmeleri
  • Güvenlik duvarı kuralları
  • Yeni sistemlere konfigürasyon standartlarının uygulanması
  • Güvenlik alarmlarına yanıtlar
  • Değişiklik yönetim süreci

12.11.1 Additional requirement for service providers only: Maintain documentation of quarterly review process to include:

  • Documenting results of the reviews
  • Review and sign off of results by personnel assigned responsibility for the PCI DSS compliance program

Servis Sağlayıcılar

Gereksinim 12.11 kapsamında yapılan aktivitelerinde ayrıca dokümante edilmesi ve onaylanması PCI DSS programı özelinde ist

bilgi tekn dent.png

Information Technology Services

In our modern world, the electronic communications revolution is profoundly transforming all spheres of daily life, commercial, industrial and social. That means protecting information is as important as possessing it. With a competent, solution-oriented team, Mazars Denge ensures that company processes in the data security, cybersecurity and IT audit areas serve the company’s strategic goals. Today, as electronic transformation dominates commercial life, we believe that Information Security plays a vital role in business sustainability.

Download pdf 121.42 kB