PCI-DSS-Penetrationstest-Kosten

Was die Anforderung tatsächlich sagt

PCI DSS ist bei Penetrationstests ungewöhnlich konkret, was es zu einem der am leichtesten budgetierbaren Frameworks macht. Anforderung 11.4 in Version 4.0 gliedert sich in eigenständige Pflichten:

• 11.4.1 - eine definierte und dokumentierte Penetrationstest-Methodik. Das ist Papierarbeit, aber Papierarbeit, nach der ein Prüfer fragt, und sie sollte Vorgehen, Scope-Abdeckung, Tests von innen und außen sowie den Umgang mit Befunden beschreiben.
• 11.4.2 - interne Penetrationstests, mindestens alle zwölf Monate und nach jeder wesentlichen Infrastruktur- oder Anwendungsänderung.
• 11.4.3 - externe Penetrationstests, im selben Rhythmus und mit demselben Änderungsauslöser.
• 11.4.4 - Behebung ausnutzbarer Schwachstellen und Sicherheitsmängel aus dem Test und Wiederholung der Tests zur Bestätigung. Der Nachtest ist hier nicht optional, er steht in der Anforderung.
• 11.4.5 - sofern Segmentierung zur Isolierung der Karteninhaberdaten-Umgebung von anderen Netzen genutzt wird, Tests der Segmentierungskontrollen mindestens alle zwölf Monate.
• 11.4.6 - für Dienstleister steigt dieser Segmentierungstest auf mindestens alle sechs Monate.

PCI-DSS-Versionen und ihre datierten Anforderungen ändern sich im Lauf der Zeit. Bestätigen Sie den aktuell geltenden Wortlaut mit Ihrem QSA statt sich auf eine Zusammenfassung zu verlassen, auch auf diese hier.

Die drei Dinge, die Sie tatsächlich kaufen

Die meisten PCI-Budgets gehen schief, weil "ein Penetrationstest" als eine Position kalkuliert wird, obwohl die Anforderung drei verschiedene Übungen beschreibt.

Externe Tests

Angriff auf den Perimeter von außen: internetexponierte Systeme, Fernzugriff, alles öffentlich Erreichbare, das in Richtung Karteninhaberdaten-Umgebung führen könnte. Gescopt nach Größe des externen Fußabdrucks.

Interne Tests

Einen Fuß im Netz unterstellen und sehen, wie weit es trägt. Für die meisten Organisationen liegen hier die ernsthaften Befunde, weil interne Netze meist flacher sind als ihre Diagramme vermuten lassen. Gescopt nach Hostanzahl, Domänengröße und Vertrauensstellungen. Praktisch ist das Netzwerk- und Active-Directory-Testing.

Segmentierungsvalidierung

Die vergessene Position. Hier werden nicht die Systeme getestet, sondern gezielt versucht, die Karteninhaberdaten-Umgebung aus Netzen zu erreichen, die außerhalb des Scopes liegen sollen, um zu beweisen, dass die Isolierung tatsächlich hält. Sie ist separat gefordert, Ihre gesamte Scope-Reduktion hängt von dieser Kontrolle ab, und als Dienstleister schulden Sie sie zweimal jährlich statt einmal. Ein Fehlschlag hier ist auf eine Weise teuer, wie es die anderen nicht sind - er bedeutet, dass Ihr Scope falsch war und alles bisher Ausgeschlossene nun darin liegen könnte.

Wie Scope-Reduktion den Preis verändert

Der günstigste Weg, PCI-Testkosten zu senken, ist die Karteninhaberdaten-Umgebung selbst zu verkleinern, und das ist eine Architektur- und keine Einkaufsentscheidung. Jedes System, das Karteninhaberdaten speichert, verarbeitet oder überträgt, und jedes damit verbundene System liegt im Scope. Segmentierung ist das, was den Rest Ihrer Landschaft draußen hält.

Zwei praktische Folgen. Erstens: Funktioniert die Segmentierung, ist Ihr getesteter Scope klein und das Testen entsprechend günstig - aber Sie müssen die Segmentierungsvalidierung bezahlen, um es zu beweisen. Zweitens: Funktioniert sie nicht, haben Sie kein Testproblem, sondern ein Scope-Problem, und kein Testbudget behebt das. Das während einer Prüfung herauszufinden ist erheblich schlechter, als es während eines Tests herauszufinden.

Händler und Dienstleister sind nicht derselbe Einkauf

Dienstleister tragen die schwerere Pflicht. Der Sechs-Monats-Rhythmus für Segmentierung unter 11.4.6 bedeutet zwei Aufträge pro Jahr, wo ein Händler einen hat, und mandantenfähige Dienstleister haben weitere Pflichten rund um die Unterstützung der Tests ihrer Kunden. Wenn Sie für andere verarbeiten, budgetieren Sie diesen Rhythmus von Anfang an, statt ihn mitten im Jahr zu entdecken.

Händler mit Selbstauskunftsfragebogen sind wieder in einer anderen Lage. Die SAQ-Typen variieren erheblich darin, welche Anforderungen sie heranziehen, und nicht alle enthalten 11.4. Welcher SAQ für Sie gilt, bestimmen Acquirer oder QSA, und diese Festlegung ist die Quelle Ihrer Antwort. Es lohnt sich, sie vor jedem Kauf schriftlich zu haben.

Was es kostet

Weil PCI die Übungen trennt, lohnt es sich, sie genauso zu bepreisen. Ein Anwendungs-Scope beginnt bei 500 $, wenn die Umgebung im Scope eine einzelne Zahlungsanwendung ist. Interne und externe Netzwerktests, wo die meisten Karteninhaberdaten-Umgebungen tatsächlich liegen, beginnen bei 1.500 $ und werden nach Hostanzahl, Domänengröße und Vertrauensstellungen gescopt. Die Segmentierungsvalidierung wird gemeinsam mit dem internen Test gescopt, da sie denselben Zugang und dasselbe Zeitfenster nutzt - was den gemeinsamen Einkauf deutlich günstiger macht als den getrennten.

Nachtesten nach Behebung steht in 11.4.4 und ist bei mir enthalten statt separat berechnet, ebenso Remediation-Unterstützung und Attestierungsschreiben. Die Serviceseite zu PCI-DSS-Penetrationstests behandelt die Methodik, Penetrationstest-Kosten erklärt das allgemeine Modell, und der Musterbericht zeigt, was ein QSA erhält.

Ist zusätzlich SOC 2 im Spiel, teilen sich beide häufig einen Auftrag, wenn von Anfang an gemeinsam gescopt wird - siehe SOC-2-Penetrationstest-Kosten. Für regionale Regime, die auf PCI aufsetzen, besonders am Golf, behandelt compliance-getriebenes Testen die Überlappungen.