Costo del penetration test PCI DSS

Cosa dice davvero il requisito

PCI DSS è insolitamente specifico sul penetration testing, il che lo rende uno dei framework più facili da mettere a budget. Il requisito 11.4 nella versione 4.0 si articola in obblighi distinti:

• 11.4.1 - una metodologia di penetration testing definita e documentata. È carta, ma carta che un valutatore chiederà, e dovrebbe descrivere l'approccio, la copertura del perimetro, i test da dentro e da fuori e come vengono trattati i risultati.
• 11.4.2 - penetration test interni, almeno una volta ogni dodici mesi e dopo qualsiasi cambiamento significativo di infrastruttura o applicazione.
• 11.4.3 - penetration test esterni, con la stessa cadenza e lo stesso innesco da cambiamento.
• 11.4.4 - vulnerabilità sfruttabili e debolezze trovate durante i test corrette, e test ripetuti per verificare la correzione. Qui il retest non è opzionale; è scritto nel requisito.
• 11.4.5 - dove la segmentazione è usata per isolare l'ambiente dei dati dei titolari di carta da altre reti, controlli di segmentazione testati almeno una volta ogni dodici mesi.
• 11.4.6 - per i service provider, quel test di segmentazione passa ad almeno una volta ogni sei mesi.

Le versioni di PCI DSS e i loro requisiti con data cambiano nel tempo. Confermate il testo applicabile vigente con il vostro QSA anziché affidarvi a un riassunto, incluso questo.

Le tre cose che state davvero comprando

La maggior parte dei budget PCI va storta perché si prezza "un penetration test" come una voce sola quando il requisito descrive tre esercizi diversi.

Test esterni

Attaccare il perimetro dall'esterno: sistemi esposti a internet, accessi remoti, qualsiasi cosa esposta alla rete pubblica che potrebbe condurre verso l'ambiente dei dati dei titolari di carta. Dimensionato sulla dimensione dell'impronta esterna.

Test interni

Presupporre un punto d'appoggio nella rete e vedere fin dove arriva. Per la maggior parte delle organizzazioni è qui che stanno i risultati seri, perché le reti interne sono di solito più piatte di quanto suggeriscano i loro schemi. Dimensionato su numero di host, dimensione del dominio e relazioni di trust. In pratica è il test di rete e Active Directory.

Validazione della segmentazione

Quella che si dimentica. Qui non si testano i sistemi, si tenta specificamente di raggiungere l'ambiente dei dati dei titolari di carta da reti che dovrebbero essere fuori perimetro, per dimostrare che l'isolamento tiene davvero. È richiesta separatamente, tutta la vostra riduzione di perimetro dipende da essa, e se siete service provider la dovete due volte l'anno anziché una. Un fallimento qui è costoso in un modo in cui gli altri non lo sono, perché significa che il vostro perimetro era sbagliato e che tutto ciò che era fuori potrebbe ora esservi dentro.

Come la riduzione del perimetro cambia il prezzo

Il modo più economico di ridurre il costo dei test PCI è ridurre l'ambiente dei dati dei titolari di carta stesso, e questa è una decisione di architettura e non di acquisto. Ogni sistema che memorizza, elabora o trasmette dati dei titolari, e ogni sistema a essi connesso, è nel perimetro. La segmentazione è ciò che tiene fuori il resto del vostro parco.

Due conseguenze pratiche. Primo, se la segmentazione funziona, il vostro perimetro testato è piccolo e il test è di conseguenza poco costoso, ma dovete pagare la validazione della segmentazione per dimostrarlo. Secondo, se non funziona, non avete un problema di test, avete un problema di perimetro, e nessun budget di test lo risolve. Scoprirlo durante una valutazione è considerevolmente peggio che scoprirlo durante un test.

Esercenti e service provider non sono lo stesso acquisto

I service provider portano l'obbligo più pesante. La cadenza semestrale di segmentazione di 11.4.6 significa due incarichi l'anno dove un esercente ne ha uno, e i service provider multi-tenant hanno ulteriori obblighi legati al supporto dei test dei propri clienti. Se elaborate per conto di altri, mettete a budget quella cadenza fin dall'inizio anziché scoprirla a metà anno.

Gli esercenti che compilano un questionario di autovalutazione sono in una posizione ancora diversa. I tipi di SAQ variano sensibilmente per quali requisiti richiamano, e non tutti includono 11.4. Quale SAQ vi si applica lo determinano il vostro acquirer o il vostro QSA, e quella determinazione è la fonte della vostra risposta. Vale la pena averla per iscritto prima di comprare qualsiasi cosa.

Quanto costa

Poiché PCI separa gli esercizi, vale la pena prezzarli allo stesso modo. Un perimetro applicativo parte da 500 $ quando l'ambiente nel perimetro è una singola applicazione di pagamento. I test di rete interni ed esterni, dove la maggior parte degli ambienti dei dati dei titolari si trova davvero, partono da 1.500 $ e si dimensionano su numero di host, dimensione del dominio e relazioni di trust. La validazione della segmentazione si dimensiona insieme al test interno, poiché usa lo stesso accesso e la stessa finestra, il che rende comprarli insieme sensibilmente più economico che separatamente.

Il retest dopo la remediation è scritto in 11.4.4 ed è incluso nei miei incarichi anziché fatturato a parte, così come il supporto alla remediation e la lettera di attestazione. La pagina di servizio penetration test PCI DSS tratta la metodologia, costo del penetration test spiega il modello generale, e il report di esempio mostra cosa riceverà un QSA.

Se c'è di mezzo anche SOC 2, i due condividono spesso un unico incarico quando sono dimensionati insieme fin dall'inizio - vedete costo del penetration test SOC 2. Per i regimi regionali che si sovrappongono a PCI, in particolare nel Golfo, test guidato dalla compliance tratta le sovrapposizioni.