تكلفة اختبار اختراق PCI DSS

ما الذي يقوله المتطلب فعلاً

PCI DSS دقيق بشكل غير معتاد بشأن اختبار الاختراق، ما يجعله من أسهل الأطر في وضع الميزانية. ينقسم المتطلب 11.4 في الإصدار 4.0 إلى التزامات متمايزة:

• 11.4.1 - منهجية اختبار اختراق محدّدة وموثّقة. هذه أوراق، لكنها أوراق سيطلبها المُقيِّم، وينبغي أن تصف المنهج وتغطية النطاق والاختبار من الداخل والخارج وكيفية التعامل مع النتائج.
• 11.4.2 - اختبار اختراق داخلي، مرة كل اثني عشر شهراً على الأقل وبعد أي تغيير جوهري في البنية التحتية أو التطبيقات.
• 11.4.3 - اختبار اختراق خارجي، بالوتيرة نفسها ومع محفّز التغيير نفسه.
• 11.4.4 - تصحيح الثغرات القابلة للاستغلال ونقاط الضعف المكتشفة أثناء الاختبار، وتكرار الاختبار للتحقّق من التصحيح. إعادة الاختبار هنا ليست اختيارية؛ هي مكتوبة في المتطلب.
• 11.4.5 - حيث يُستخدم العزل لفصل بيئة بيانات حاملي البطاقات عن شبكات أخرى، اختبار ضوابط العزل مرة كل اثني عشر شهراً على الأقل.
• 11.4.6 - لمزوّدي الخدمة، يرتفع اختبار العزل إلى مرة كل ستة أشهر على الأقل.

إصدارات PCI DSS ومتطلباتها المؤرّخة تتغيّر مع الوقت. تأكّد من النص المنطبق حالياً مع مُقيِّمك المعتمد بدل الاعتماد على أي ملخّص، بما في ذلك هذا.

الأشياء الثلاثة التي تشتريها فعلاً

معظم ميزانيات PCI تخطئ لأن الناس يسعّرون "اختبار اختراق" كبند واحد بينما يصف المتطلب ثلاث ممارسات مختلفة.

الاختبار الخارجي

مهاجمة المحيط من الخارج: الأنظمة المكشوفة للإنترنت، والوصول عن بُعد، وكل ما هو ظاهر للشبكة العامة ويمكن أن يقود نحو بيئة بيانات حاملي البطاقات. يُحدَّد بحجم الأثر الخارجي.

الاختبار الداخلي

افتراض موطئ قدم داخل الشبكة ومعرفة إلى أين يصل. لمعظم المؤسسات هنا تكمن النتائج الجادة، لأن الشبكات الداخلية أكثر تسطّحاً مما توحي مخطّطاتها. يُحدَّد بعدد المضيفين وحجم النطاق المجالي وعلاقات الثقة. عملياً هذا هو اختبار الشبكات وActive Directory.

التحقّق من العزل

البند المنسي. هنا لا تُختبَر الأنظمة، بل يُحاوَل تحديداً بلوغ بيئة بيانات حاملي البطاقات من شبكات يُفترض أنها خارج النطاق، لإثبات أن العزل صامد فعلاً. وهو مطلوب منفصلاً، وكامل تقليص نطاقك يعتمد عليه، وإن كنت مزوّد خدمة فأنت مدين به مرتين سنوياً لا مرة. والإخفاق هنا مكلف بطريقة لا تشبه غيره، لأنه يعني أن نطاقك كان خاطئاً وأن كل ما استُبعد قد يكون الآن داخله.

كيف يغيّر تقليص النطاق السعر

أرخص طريقة لخفض تكلفة اختبار PCI هي تقليص بيئة بيانات حاملي البطاقات نفسها، وهذا قرار معماري لا قرار مشتريات. كل نظام يخزّن أو يعالج أو ينقل بيانات حاملي البطاقات، وكل نظام متصل به، يقع ضمن النطاق. والعزل هو ما يبقي بقية بيئتك خارجه.

نتيجتان عمليتان. أولاً، إن كان العزل يعمل فنطاقك المختبَر صغير والاختبار رخيص تبعاً لذلك، لكن عليك دفع ثمن التحقّق من العزل لإثبات ذلك. وثانياً، إن لم يكن يعمل فليست لديك مشكلة اختبار بل مشكلة نطاق، ولا تصلحها أي ميزانية اختبار. واكتشاف ذلك أثناء تقييم أسوأ بكثير من اكتشافه أثناء اختبار.

التجّار ومزوّدو الخدمة ليسا الشراء نفسه

مزوّدو الخدمة يحملون الالتزام الأثقل. وتيرة الستة أشهر للعزل تحت 11.4.6 تعني مشروعين سنوياً حيث للتاجر واحد، ولمزوّدي الخدمة متعدّدي المستأجرين التزامات إضافية حول دعم اختبارات عملائهم. إن كنت تعالج نيابة عن آخرين، ضع ميزانية لهذه الوتيرة من البداية بدل اكتشافها في منتصف السنة.

أما التجّار الذين يكملون استبيان تقييم ذاتي فهم في وضع آخر. أنواع الاستبيانات تتباين جوهرياً في المتطلبات التي تستدعيها، وليست كلها تتضمّن 11.4. وأي استبيان ينطبق عليك يحدّده البنك المستحوذ أو المُقيِّم المعتمد، وهذا التحديد هو مصدر جوابك. ويجدر الحصول عليه كتابةً قبل أن تشتري أي شيء.

كم يكلّف

لأن PCI يفصل الممارسات، يجدر تسعيرها بالطريقة نفسها. يبدأ النطاق التطبيقي من 500 دولار حين تكون البيئة ضمن النطاق تطبيق دفع واحداً. ويبدأ اختبار الشبكة الداخلي والخارجي، حيث تقع معظم بيئات بيانات حاملي البطاقات فعلاً، من 1,500 دولار ويُحدَّد بعدد المضيفين وحجم النطاق المجالي وعلاقات الثقة. ويُحدَّد التحقّق من العزل مع الاختبار الداخلي، لأنه يستخدم الوصول نفسه والنافذة نفسها، ما يجعل شراءهما معاً أرخص بكثير من شرائهما منفصلين.

وإعادة الاختبار بعد المعالجة مكتوبة في 11.4.4، وهي مشمولة في مشاريعي لا مفوترة منفصلة، وكذلك دعم المعالجة وخطاب الإثبات. تغطّي صفحة خدمة اختبار اختراق PCI DSS المنهجية، وتشرح تكلفة اختبار الاختراق النموذج العام، ويوضّح التقرير النموذجي ما سيستلمه المُقيِّم المعتمد.

وإن كان SOC 2 مطروحاً أيضاً، فكثيراً ما يتشاركان مشروعاً واحداً إن حُدّد نطاقهما معاً من البداية - انظر تكلفة اختبار SOC 2. وللأنظمة الإقليمية التي تُبنى فوق PCI، خصوصاً في الخليج، يغطّي الاختبار المدفوع بالامتثال التداخلات.