Kosten PCI DSS-penetratietest

Wat de eis werkelijk zegt

PCI DSS is ongewoon specifiek over penetratietesten, waardoor het een van de makkelijkst te begroten raamwerken is. Eis 11.4 in versie 4.0 valt uiteen in onderscheiden verplichtingen:

• 11.4.1 - een gedefinieerde en gedocumenteerde penetratietestmethodologie. Dit is papierwerk, maar papierwerk waar een beoordelaar om zal vragen, en het hoort de aanpak te beschrijven, de scopedekking, het testen van binnen en buiten en hoe bevindingen worden afgehandeld.
• 11.4.2 - interne penetratietesten, ten minste eens per twaalf maanden en na elke significante infrastructuur- of applicatiewijziging.
• 11.4.3 - externe penetratietesten, met dezelfde frequentie en dezelfde wijzigingstrigger.
• 11.4.4 - exploiteerbare kwetsbaarheden en zwakheden gevonden tijdens het testen gecorrigeerd, en het testen herhaald om de correctie te verifiëren. De hertest is hier niet optioneel; hij staat in de eis.
• 11.4.5 - waar segmentatie wordt gebruikt om de cardholder data-omgeving van andere netwerken te isoleren, segmentatiecontroles ten minste eens per twaalf maanden getest.
• 11.4.6 - voor serviceproviders gaat dat segmentatietesten naar ten minste eens per zes maanden.

PCI DSS-versies en hun gedateerde eisen veranderen in de tijd. Bevestig de geldende tekst met uw QSA in plaats van te vertrouwen op een samenvatting, inclusief deze.

De drie dingen die u werkelijk koopt

De meeste PCI-budgetten lopen mis omdat men "een penetratietest" als één post prijst terwijl de eis drie verschillende oefeningen beschrijft.

Extern testen

De perimeter van buitenaf aanvallen: systemen die aan internet zijn blootgesteld, toegang op afstand, alles wat aan het publieke netwerk is blootgesteld en richting de cardholder data-omgeving zou kunnen leiden. Gescoped op de omvang van de externe voetafdruk.

Intern testen

Een voet aan de grond in het netwerk veronderstellen en kijken hoe ver dat komt. Voor de meeste organisaties zitten hier de serieuze bevindingen, omdat interne netwerken doorgaans vlakker zijn dan hun diagrammen suggereren. Gescoped op aantal hosts, domeingrootte en vertrouwensrelaties. In de praktijk is dit netwerk- en Active Directory-testen.

Validatie van segmentatie

Degene die wordt vergeten. Hier worden niet de systemen getest, maar wordt specifiek geprobeerd de cardholder data-omgeving te bereiken vanuit netwerken die buiten scope horen te vallen, om te bewijzen dat de isolatie werkelijk standhoudt. Het wordt apart vereist, uw hele scopereductie hangt ervan af, en bent u serviceprovider dan bent u het twee keer per jaar verschuldigd in plaats van één keer. Een mislukking hier is duur op een manier waarop de andere dat niet zijn, want het betekent dat uw scope verkeerd was en dat alles wat buiten scope viel er nu binnen kan vallen.

Hoe scopereductie de prijs verandert

De goedkoopste manier om PCI-testkosten te verlagen is de cardholder data-omgeving zelf te verkleinen, en dat is een architectuurbeslissing en geen inkoopbeslissing. Elk systeem dat cardholder data opslaat, verwerkt of verzendt, en elk systeem dat daarmee verbonden is, valt in scope. Segmentatie is wat de rest van uw omgeving erbuiten houdt.

Twee praktische gevolgen. Ten eerste: werkt de segmentatie, dan is uw geteste scope klein en is het testen navenant goedkoop, maar moet u de segmentatievalidatie betalen om het te bewijzen. Ten tweede: werkt ze niet, dan hebt u geen testprobleem maar een scopeprobleem, en geen enkel testbudget lost dat op. Daar tijdens een beoordeling achter komen is aanzienlijk erger dan er tijdens een test achter komen.

Merchants en serviceproviders zijn niet dezelfde aankoop

Serviceproviders dragen de zwaardere verplichting. De halfjaarlijkse segmentatiefrequentie onder 11.4.6 betekent twee opdrachten per jaar waar een merchant er één heeft, en multi-tenant serviceproviders hebben aanvullende verplichtingen rond het ondersteunen van het testwerk van hun eigen klanten. Verwerkt u namens anderen, begroot die frequentie dan vanaf het begin in plaats van haar halverwege het jaar te ontdekken.

Merchants die een zelfbeoordelingsvragenlijst invullen zitten weer in een andere positie. De SAQ-typen variëren aanzienlijk in welke eisen ze binnenhalen, en niet allemaal bevatten ze 11.4. Welke SAQ op u van toepassing is bepalen uw acquirer of QSA, en die bepaling is waar uw antwoord vandaan komt. Het loont om die schriftelijk te hebben voordat u iets koopt.

Wat het kost

Omdat PCI de oefeningen scheidt, loont het ze op dezelfde manier te prijzen. Een applicatiescope begint bij $500 wanneer de omgeving in scope één betaalapplicatie is. Interne en externe netwerktesten, waar de meeste cardholder data-omgevingen zich werkelijk bevinden, beginnen bij $1.500 en worden gescoped op aantal hosts, domeingrootte en vertrouwensrelaties. Segmentatievalidatie wordt naast de interne test gescoped, omdat die dezelfde toegang en hetzelfde venster gebruikt, wat ze samen kopen aanzienlijk goedkoper maakt dan apart.

Hertesten na remediatie staat in 11.4.4 en is bij mij inbegrepen in plaats van apart gefactureerd, net als ondersteuning bij remediatie en de attestatiebrief. De servicepagina PCI DSS-penetratietest behandelt de methodologie, kosten van een penetratietest legt het algemene model uit, en het voorbeeldrapport laat zien wat een QSA ontvangt.

Speelt SOC 2 ook mee, dan delen beide vaak één opdracht wanneer ze vanaf het begin samen worden gescoped - zie kosten SOC 2-penetratietest. Voor regionale regimes die boven op PCI stapelen, met name in de Golf, behandelt compliancegedreven testen de overlappingen.