12 متطلبات أمن بيانات PCI
يشترط معيار أمان بيانات صناعة بطاقات الدفع (PCI DSS) على جميع البائعين أو خدمات معالجة بطاقات الدفع ضمان جمع بيانات حاملي البطاقات ونقلها ومعالجتها بشكل آمن وموثوق. وقد حدد هذا المعيار 12 متطلباً ، مصنفة ضمن 6 أهداف. ويجب على كل خدمة لمعالجة بطاقات الدفع الالتزام بمتطلبات الأمان المحددة.
بناء وصيانة شبكة آمنة
- يُطلب من شركات معالجة بطاقات الدفع والتجار ضمان تطبيق إجراءات أمنية صارمة من خلال إنشاء جدران حماية. تُعدّ جدران الحماية خط الدفاع الأول ضد حركة البيانات الواردة والصادرة غير المصرح بها على الشبكة. ومن خلال وضع القواعد والسياسات، يمكن تعزيز إعدادات جدار الحماية لتحسين أمان البيانات.
- ينص معيار PCI DSS أيضاً على ضرورة عدم ترك إعدادات الأمان الافتراضية دون تعديل، وتعديلها في الأنظمة الحالية والجديدة. كما تلزم الهيئة التنظيمية التجار ومقدمي الخدمات بالاحتفاظ بسجل لجميع الأنظمة والإعدادات.
حماية بيانات حامل البطاقة
- يُطلب من التجار والبائعين ضمان الحماية المثلى لبيانات حاملي البطاقات. ويمكن تحقيق ذلك من خلال تحديد مكان وجود البيانات وتحديد ما إذا كان ينبغي اقتطاعها أو تشفيرها أو تجزئتها أو محوها بالكامل.
- إلى جانب ضمان حماية البيانات المخزنة، من الضروري أن يقوم التجار ومقدمو الخدمات بتشفير البيانات أثناء نقلها. فعندما تنتقل بيانات حامل البطاقة عبر أي شبكة عامة أو مفتوحة، يجب تشفيرها باستخدام معايير التشفير ، مثل SSH و TLS ، على سبيل المثال لا الحصر.
الحفاظ على برنامج إدارة الثغرات الأمنية
- يجب تثبيت برنامج مكافحة الفيروسات أو البرامج الضارة على جميع الأنظمة، سواءً كانت محلية أو عن بُعد. كما يجب تحديث هذه البرامج باستمرار بأحدث تعريفات الفيروسات لضمان حماية الأنظمة وبيانات حاملي البطاقات من التهديدات الفيروسية المعروفة والجديدة.
- يحتاج التجار ومقدمو الخدمات إلى تطوير نظام أمني وصيانته، بحيث يقوم بفحص الأنظمة بانتظام وحماية نفسها من الثغرات الأمنية. ومن الضروري تثبيت أحدث التحديثات الأمنية على جميع الأنظمة، مثل أجهزة نقاط البيع وأجهزة الكمبيوتر وأجهزة التوجيه.
تطبيق إجراءات صارمة للتحكم في الوصول
- يجب تطبيق نظام صارم للتحكم في الوصول لضمان إتاحة بيانات حاملي البطاقات للمستخدمين وفقًا لمبدأ الحاجة إلى المعرفة. يُمكّن التحكم في الوصول مسؤولي النظام من الحد من احتمالات الوصول غير المصرح به إلى المعلومات الحساسة لحاملي البطاقات. ويتطلب ذلك أيضًا من الجهات المعنية الاحتفاظ بسجل لكل شخص، ودوره، وصلاحيات الوصول الممنوحة له.
- ويشترط هذا الشرط أيضاً على مسؤولي النظام تخصيص معرفات وكلمات مرور فريدة للمستخدمين الذين لديهم صلاحية الوصول إلى المعلومات الحساسة. وهذا يُمكّن المسؤولين من الاحتفاظ بسجل دقيق لجميع الأنشطة وتتبع أي خلل أو اختراق أمني.
- يتطلب معيار PCI DSS من التجار ومقدمي الخدمات تقييد وصول المستخدمين المادي إلى البيانات الحساسة. ويمكن تحقيق ذلك من خلال ضمان ممارسات التحكم في الوصول المادي، مثل الاحتفاظ بسجلات، واستخدام كاميرات المراقبة، وما إلى ذلك.
مراقبة واختبار الشبكات بانتظام
- يُلزم هذا الشرط الأمني لبيانات PCI DSS مزودي الخدمات والتجار الملتزمين بسياسة تدقيق صارمة، والاحتفاظ بسجلات النظام. وهذا من شأنه أن يُمكّن فرق أمن المعلومات من مراقبة السجلات بفعالية لرصد أي أنشطة مشبوهة.
- ويتطلب هذا الشرط أيضاً مراقبة الأنظمة بشكل متكرر وإجراء اختبارات للكشف عن الثغرات الأمنية ونقاط الضعف.
الحفاظ على سياسة أمن المعلومات
- يشترط الشرط الأخير على التجار ومقدمي الخدمات وضع سياسات أمنية وتطبيقها على جميع الموظفين والموردين والمتعاقدين. ويتطلب ذلك إجراء فحوصات أمنية على الموظفين، وتقييمات دورية للمخاطر، وما إلى ذلك.
الحاجة إلى اكتشاف البيانات الفعال للامتثال لمعيار أمان بيانات صناعة بطاقات الدفع (PCI DSS)
تُلزم لوائح معيار أمان بيانات صناعة بطاقات الدفع (PCI DSS) بحماية البيانات الحساسة لحامل البطاقة التي تجمعها المؤسسة وتخزنها وتعالجها أثناء وبعد المعاملة، وذلك في جميع الأوقات. وللامتثال لهذه اللوائح، يجب على المؤسسات استيفاء متطلبات أمان البيانات المحددة، كما ذُكر أعلاه.
باختصار، تتلخص متطلبات الأمن فيما يلي:
- التحكم في الوصول
- الوضع الأمني/التقييم
- التشفير أو تطبيق أمني بديل
- تقييم نقاط الضعف
لا يمكن ضمان متطلبات الأمان هذه إلا عندما يعرف التاجر أو مزود الخدمة مكان وجود بيانات حامل البطاقة في أنظمته، وتبرز هذه المشكلة بشكل خاص بسبب انتشار البيانات. فعلى سبيل المثال، عندما يتم الوصول إلى البيانات أو استخدامها من قِبل عمليات متعددة، فإنها تميل إلى الانتشار إلى أنظمة أخرى. فإلى جانب وجودها في أصول البيانات ضمن بيئة معروفة، قد تصل بيانات حامل البطاقة إلى أجهزة أخرى دون قصد، مثل الهواتف الذكية أو أجهزة الكمبيوتر المحمولة الشخصية أو أجهزة المستخدمين الشخصية، وذلك بسبب انتشار البيانات المذكور آنفًا. ويُعزى هذا الانتشار أو التسريب إلى المزامنة التلقائية بين المنصات.
لذلك، من أجل "اكتشاف" أنظمة البيانات التي يتم فيها تخزين بيانات حاملي بطاقات العملاء، يجب على المؤسسات ابتكار طريقة لمسح البيانات داخل أنظمة البيانات الخاصة بها لتحديد أي منها يندرج ضمن تعريف بيانات حاملي البطاقات أو لا، وأي منها أكثر حساسية من الآخر.
وهنا يأتي دور اكتشاف بيانات بطاقة PCI DSS.
تبدأ عملية اكتشاف البيانات بتحديد أصول البيانات عبر الشبكة. وتُتيح هذه العملية رؤية شاملة لأصول البيانات من خلال جمع وإنشاء فهرس لجميع أصول البيانات السحابية وغير السحابية، سواءً كانت موجودة في تطبيقات SaaS ، أو مخازن بيانات IaaS لدى مزودي خدمات سحابية متعددين، أو في مراكز البيانات المحلية. وتُمكّن أنظمة اكتشاف البيانات الفعّالة من تحديد المعلومات الهامة، مثل اسم حامل البطاقة، وتاريخ انتهاء صلاحيتها، وغيرها من التفاصيل في نماذج مُهيكلة (جداول وأعمدة) أو غير مُهيكلة (جداول بيانات، رسائل بريد إلكتروني، إلخ).
بعد تحديد مواقع أصول البيانات وفهرستها، تتمثل الخطوة التالية في اكتشاف البيانات وتصنيفها داخل الأصول أو مخازن الكائنات. يساعد تصنيف البيانات على تصنيفها وفقًا لحساسيتها أو مخاطرها الأمنية . ونتيجة لذلك، يمكن للفرق تحديد أنواع التدابير الأمنية التي يجب تطبيقها.
لا يمكن للمؤسسة تقييم الوضع الأمني لقاعدة البيانات ونقاط ضعفها إلا بعد وجود آلية فعّالة لاكتشاف البيانات. وهذا يوفر أساسًا موثوقًا للمؤسسة لتطبيق تدابير أمنية وغيرها من إجراءات تخفيف المخاطر لضمان استمرار حمايتها.
اعتبارات مهمة لاكتشاف البيانات من أجل الامتثال لمعايير PCI
قبل البدء بعملية اكتشاف بيانات البطاقات وفقًا لمعيار PCI DSS، من الضروري تحديد نطاق اكتشاف بيانات حامل البطاقة وتصنيفها. ويمكن للبائعين ومقدمي الخدمات محاولة تحديد نطاق دقيق من خلال مراعاة الاعتبارات المهمة التالية:
- يتطلب اكتشاف البيانات مسحًا شاملًا لجميع أصول البيانات ومخازن الكائنات. لا ينبغي للمؤسسات حصر عملية مسح اكتشاف البيانات في بيئة بيانات البطاقات (CDE) الخاصة بها. فهناك العديد من الطرق التي يمكن من خلالها أن تتسرب بيانات البطاقات من بيئة بيانات البطاقات الحالية أو المُعرّفة مسبقًا. لذا، من الضروري لمزود الخدمة إجراء اكتشاف شامل للبيانات على مستوى المؤسسة بأكملها.
- إلى جانب إجراء مسح شامل للمؤسسة، يجب أن تشمل عملية الاكتشاف جميع الأجهزة والمنصات وأنظمة التشغيل التي قد توجد عليها البيانات. إن استبعاد أي جهاز أو منصة قد يؤدي إلى التعرض لمخاطر أمنية.
- من العوامل المهمة الأخرى التي يجب مراعاتها نوع الملف وتنسيقه. قد توجد بيانات حامل البطاقة بأي تنسيق أو نوع. يجب أن تكون عملية اكتشاف البيانات قادرة على التعرف على كل نوع من أنواع التنسيقات وتصنيفها، بحيث لا تبقى أي بيانات دون اكتشاف، وبالتالي، دون كشفها.
- يمكن أن تتواجد البيانات الحساسة لحامل البطاقة في أي مكان ضمن الأنظمة المنظمة وغير المنظمة. ولهذا السبب، هناك احتمال كبير أن تُسفر أداة الكشف عن نتائج إيجابية خاطئة. تشير النتائج الإيجابية الخاطئة إلى البيانات التي لا تتطابق بشكل صحيح مع البيانات التي تبحث عنها الأداة.
- في حال اختراق بيانات حامل البطاقة، قد تضطر المؤسسة إلى إخطار حامل البطاقة وفقًا لقوانين الإبلاغ عن اختراقات البيانات المعمول بها، وقد تضطر أيضًا إلى تقديم خدمات للحد من المخاطر (مثل التأمين ضد سرقة الهوية). لذا، ينبغي أن تكون أداة اكتشاف البيانات قادرة على ربط بيانات حامل البطاقة بهويته، باستخدام الربط التلقائي للمعلومات الشخصية . sensitive data intelligence ، لتسهيل متطلبات الإبلاغ.
ينبغي على البائعين ومقدمي الخدمات استخدام أداة مناسبة لاكتشاف البيانات، تتكامل بسلاسة مع بيئة بيانات البطاقات وأصول البيانات السحابية. كما يجب أن توفر هذه الأداة ميزة اكتشاف متقدمة قادرة على فحص واكتشاف مختلف سمات البيانات الشخصية والحساسة، واستخدام تقنيات التعلم الآلي والذكاء الاصطناعي والتحليل السياقي للحد من النتائج الإيجابية الخاطئة، وتحديد بيانات الأمان والخصوصية الوصفية داخل البيانات، وتصنيف المخاطر التي تشكلها.
بشكل عام، يجب أن توفر أداة اكتشاف البيانات رؤى تفصيلية حول نوع البيانات ومستوى حساسيتها ووضعها الأمني ومدى امتثالها.
Securiti اكتشاف البيانات: يعثر على البيانات الشخصية والحساسة عبر منصات SaaS والهجينة والسحابية المتعددة
Securiti تقدم أداةً لاكتشاف البيانات الروبوتية مدعومة بالذكاء الاصطناعي، مصممة لمسح البيانات في الأنظمة المنظمة وغير المنظمة عبر بيئة المؤسسة الديناميكية. بالإضافة إلى sensitive data intelligence والربط التلقائي للمعلومات الشخصية، Securiti تكتشف أداة اكتشاف البيانات الخاصة بنا المعلومات الشخصية داخل قواعد البيانات المنظمة وغير المنظمة، وتحدد نوع البيانات، وتضيف بياناتها الوصفية المتعلقة بالأمان والخصوصية، وتقيّمها وفقًا للمخاطر التي تشكلها، وتربطها تلقائيًا بمعرّف صاحب البيانات . وبالتالي، باستخدام أداة اكتشاف البيانات الخاصة بنا، يمكن للمؤسسات ما يلي:
- اكتشف بيانات حاملي البطاقات (CHD) وقم بفهرستها في أصول بياناتهم، والتي تنتشر عبر بيئاتهم الديناميكية، تحت سقف واحد.
- استخدم الموصلات الأصلية للتكامل مع أصول البيانات من أجل اكتشاف بيانات حاملي البطاقات بكفاءة.
- إزالة النتائج الإيجابية الخاطئة باستخدام الاستدلال السياقي الذي يقيم عمليات الكشف.
- قم بتسمية السمات المحددة مسبقًا لبيانات حامل البطاقة المكتشفة.
- تحديد سمات بيانات المصادقة وغير المصادقة للامتثال التنظيمي لمعايير PCI.
- ربط بيانات البطاقة بحاملي البطاقات المعنيين للامتثال لمتطلبات الإبلاغ عن الاختراقات، consent management ، وغيرها من المتطلبات المعمول بها. data privacy الالتزامات.
- تقييم الوضع الأمني لبيانات حامل البطاقة التي تم تقييمها للتوصية بتدابير أمنية.
- إدارة التحكم في الوصول إلى بيانات حاملي البطاقات من لوحة تحكم واحدة.
شاهد العرض التوضيحي الخاص بنا لتشاهد حل اكتشاف البيانات الخاص بنا أثناء العمل.
