Стандарт PCI DSS в Yandex Cloud
Примечание
Функциональность находится на стадии Preview.
Данный набор правил помогает автоматизировать соответствие требованиям некоторых стандартов безопасности данных, разработанных для защиты информации о платежных картах.
Стандарт был создан Советом по стандартам безопасности индустрии платежных карт (PCI SSC, Payment Card Industry Data Security Standard), который был основан ведущими международными платежными системами: Visa, MasterCard, American Express, Discover и JCB.
Эти правила помогают обеспечить соответствие требованиям стандарта PCI DSS:
|
Идентификатор требования |
Требование стандарта безопасности |
Идентификаторы проверки в модуле CSPM |
|
1. Установка и поддержка средств управления сетевой безопасностью |
||
|
1.2 |
Конфигурация и обслуживание средств управления сетевой безопасностью (NSC) |
cspm.network.firewall |
|
1.3 |
Ограничение сетевого доступа к среде данных платежных карт (CDE) и из нее |
cspm.network.db-security-group |
|
1.4 |
Контроль сетевых соединений между доверенными и недоверенными сетями |
|
|
2. Применение безопасных конфигураций ко всем системным компонентам |
||
|
2.2 |
Безопасная конфигурация и управление системными компонентами |
cspm.data.storage-https |
|
3. Защита хранимых данных учетных записей |
||
|
3.2, 3.3, 3.4 |
Минимизация хранения, запрет хранения SAD, ограничение отображения PAN |
|
|
3.5 |
Обеспечение нечитаемости PAN при хранении |
cspm.data.object-storage-encryption |
|
3.6, 3.7 |
Защита и управление криптографическими ключами |
cspm.crypto.sa-key-rotation |
|
4. Защита данных держателей карт с использованием надежной криптографии при передаче по открытым, общедоступным сетям |
||
|
4.2 |
Защита PAN надежной криптографией при передаче |
cspm.data.storage-https |
|
5. Защита всех систем и сетей от вредоносного ПО |
||
|
5.2, 5.3 |
Предотвращение, обнаружение и устранение вредоносного ПО; поддержка механизмов в активном состоянии |
|
|
5.4 |
Защита пользователей от фишинговых атак |
|
|
6. Разработка и поддержка безопасных систем и программного обеспечения |
||
|
6.3 |
Выявление и устранение уязвимостей безопасности |
cspm.active.ip-vulnerability-scan |
|
6.4 |
Защита общедоступных веб-приложений от атак |
cspm.appsec.use-sws |
|
7. Ограничение доступа к системным компонентам и данным держателей карт по принципу служебной необходимости |
||
|
7.2 |
Надлежащее определение и назначение доступа к системным компонентам и данным |
cspm.access.min-privileges |
|
7.3 |
Управление доступом к системным компонентам и данным через систему(-ы) контроля доступа |
|
|
8. Идентификация пользователей и аутентификация доступа к системным компонентам |
||
|
8.3 |
Надежная аутентификация для пользователей и администраторов |
|
|
8.6 |
Управление использованием учетных записей приложений/систем |
|
|
10. Регистрация и мониторинг всех событий доступа к системным компонентам и данным держателей карт |
||
|
10.2 |
Журналы событий безопасности создаются и содержат необходимые детали |
cspm.o11y.audit-trails |
|
11. Регулярное тестирование безопасности систем и сетей |
||
|
11.3 |
Регулярное выявление, приоритизация и устранение внешних и внутренних уязвимостей |
|
|
12. Поддержка информационной безопасности с помощью организационных политик и программ |
||
|
12.10 |
Реагирование на инциденты |
|