PCI DSS 모의 침투 테스트

요구사항 11.4는 카드 소유자 데이터 환경(CDE)에 대한 모의 침투 테스트를 최소 연 1회, 그리고 중대한 변경 이후에 외부와 내부 모두 수행하도록 요구합니다. 아울러 CDE를 격리하는 네트워크 분리가 실제로 버티는지 검증하는 테스트도 필요합니다. 이 프로젝트는 바로 그 요건을 위해 만들어졌습니다.

아닙니다. 이 점은 정확히 짚어둘 가치가 있습니다. PCI DSS 요구사항 11.3.2는 PCI SSC 승인 스캔 업체(ASV)가 수행하는 분기별 외부 취약점 스캔을 요구하며, 이는 자체 인증을 갖춘 별개의 자동 스캔 요건입니다. 요구사항 11.4의 모의 침투 테스트는 다릅니다. 더 깊고 수작업이며, ASV 인증 없이도 «자격을 갖춘 내부 인력 또는 자격을 갖춘 외부 제3자»가 수행할 수 있습니다. 이 서비스는 ASV 스캔이 아니라 11.4 모의 침투 테스트를 다룹니다. ASV 스캔도 필요하다면 그것은 다른 업체의 몫입니다.

예 - PCI 범위를 줄이기 위해 네트워크 분리에 의존한다면, 분리 테스트는 11.4.5에 따라 명시적으로 요구됩니다. 테스트는 CDE가 네트워크의 나머지 부분으로부터 실제로 격리되어 있는지, 아니면 다른 시스템을 범위 안으로 끌어들일 경로가 존재하는지를 확인합니다.

카드 소유자 데이터 환경과 거기에 연결된 모든 시스템입니다. 결제 처리 구성 요소, 그쪽으로 라우팅되는 네트워크, 그리고 해당되는 경우 카드 데이터나 토큰을 다루는 웹 애플리케이션입니다. 범위는 추측이 아니라 통화 중에 귀사의 실제 CDE 도면을 기준으로 정확히 정의합니다.

CDE 규모와 네트워크 분리 테스트의 범위 포함 여부에 따라 영업일로 5~10일입니다. QSA 마감일에 맞춰 진행 중이라면 범위 협의 때 말씀해 주십시오.

애플리케이션 계층에 집중한 테스트는 500달러부터, 네트워크 분리와 인프라 테스트가 포함되면 1,500달러부터입니다. 자세한 내용은 가격 페이지를 참고하십시오.