用PCI合規網絡檢測清單限定PCI DSS范圍
到目前為止，大多數安全人士可能已經意識到完全遵從支付卡行業數據安全標準（PCI DSS）將會在技術方面和操作層面上遇到極大的挑戰。
因為達成和驗證法規遵從需要大量的費用和努力，許多貿易商和服務提供商通過限制在機構內部存儲、處理或傳輸持卡人數據的范圍來設法限定PCI DSS法規遵從的范疇。像直接把持卡人數據轉交給收單銀行（從而使得貿易商環境中涉及數據處理的范圍最小化）或者利用標記化技術（替代主帳戶號或帶有保密處理數值的“PAN”）的策略能幫助持卡人數據遠離網絡環境。這限定了需要控制的范圍并減少了那些被要求實施年度審計的公司的審計面。
不管怎么樣，那只是理論
但是就像經常引用的理論一樣——黃蜂從空氣動力學來講是無法飛行的，有時理論上成立的事，在實踐中的并不一定成立。就拿PCI DSS來說，這個差距能讓企業處于風險之中， PCI DSS評估的結果發現信用卡數據常常位于不安全的網絡中。在網絡中的信用卡數據沒有文檔記載或受到正確防護，這不僅對組織來說不好，對于網絡安全團隊也無益。在本文中，我們將討論這種情況發生的原因，并提供一個簡化的PCI合規網絡檢測檢查列表來辨識信用卡數據。
墨菲定律：什么會出差錯
在實踐中，操作上的失誤可能會造成持卡人數據被無意泄漏到網絡上，這種情況是很多的。這些問題的出現是因為員工沒有遵守已定義好的業務流程，因為合規策略沒有解決那些“不引人注目”的情況，還有就是在處理支付事務的技術組件中的錯誤。
到目前為止與人員相關的最常見的情形是：個別員工無意地把持卡人數據帶入到網絡環境。在***線處理客戶支付的人員（例如幫助客戶的客服人員）甚至可能不知道PCI DSS是什么，更別提理解通過減少/消除持卡人數據出現在環境中來限定PCI DSS范圍的重要性了。當一個這樣的員工收到客戶的某些請求時，例如，就錯誤的收費表示爭議或希望跨多個信用卡完成交易，原本打算限定范圍的員工可能會以違反策略的方式處理請求。某人可能會匆忙記下信用卡號、過期時間或CVV，并隨后把這些數值寄給主管，或者把它們添加到調用日志應用的注釋字段。
另一種情況是由于偶然地忽視組織內的一個或多個支付“渠道”而導致問題的出現。例如，一個大型在線零售商可能會花費幾百萬來實施標記化以便限制客戶提交的數據（目前為止***的風險），但是自助餐廳或停車場該怎么辦呢？那些看起來小的問題可能會避開監督，要么是因為同另一個收單方和處理者的不同尋常的關系，或者是因為在開始的規劃中沒有加以考慮。
***，技術上的問題同樣能造成數據流入到網絡環境中。在調查操作上的問題時可能會留下調試和錯誤日志，常常會記錄在線的PAN或者其它持卡人數據。
因此，我們需要意識到在很多情形下實際操作方面的深思熟慮比起我們***的計劃能搶先一步來防止信用卡數據穿越網絡，那么能做什么呢？
***步是組織內的合規意識培訓，并且安全團隊需要知道這些問題。在滿足合規的過程中對這些問題進行監督有助于每個利益相關者，如網絡安全管理員保持對這些事情的警覺性。但是還有一些策略可以用來發現和消除這些狀況以便減少合規面。
首要的是，使用自動數據發現工具是有幫助的。即使你發現的比你預期的多很多，花費一些時間來驗證理論是值得的，而不是隨后驚訝于意料之外的數據。如果你的企業已經部署了數據防泄漏（DLP）產品，你已經領先了一步：簡單地開啟產品的發現功能來定位持卡人數據。如果你沒有這樣的工具，考慮使用像ccsrch這樣的開源工具來尋找。當你找到一個或多個關注點時，你要糾正問題并進行根源分析以防止再次發生。
同樣對于處于網絡中的我們來說，維護一個系統及過程的列表或清單也是有幫助的。它們有專門的用途如涉及到存儲、處理或傳輸信用卡數據，從這里你能發現信用卡數據。從記錄下完成這些功能的所有系統和過程開始。當你讓某些系統“退役”時，從列表中去掉它們以保持內容***。當你檢查數據發現過程時，添加你新發現的到清單中。PCI DSS要求你維護這個清單并記載你的數據流的文檔，這樣可以讓你的審計或自評估的過程流水化。但是當你建造它時，對于CDE真實的范圍有一個全面的了解會有幫助，而不僅是理論上你認為的范圍。
限定在你的網絡環境范圍內收集和處理的數據只是***步——并且是一個好的理論方法——限定你的合規范圍。但是記住這需要采取可靠的后續過程——自始至終對該理論保持警惕性并且在實踐中應用。
作者：Ed Moyle
【編輯推薦】
