【#區(qū)塊鏈# #金融科技公司應(yīng)如何為PCI DSS 4.0的推出做好準(zhǔn)備#】

監(jiān)管合規(guī)性是金融科技公司永遠(yuǎn)頭疼的問題，但PCI DSS 4.0的到來只是增加了它的強(qiáng)度。支付卡行業(yè)數(shù)據(jù)安全標(biāo)準(zhǔn)，即該框架的全名，在2022年宣布了一個(gè)新的迭代，以及一些新的要求，這些要求意味著安全和合規(guī)團(tuán)隊(duì)將發(fā)生重大變化。

PCI DSS 4.0對金融科技公司處理信用卡數(shù)據(jù)和交易的方式產(chǎn)生了交錯的影響。許多公司立即開始準(zhǔn)備，但距離大部分計(jì)劃完全生效還有幾周的時(shí)間，最大的動員可能正在進(jìn)行。

去年有13條新規(guī)則要求立即遵守，但大多數(shù)修改將于2024年3月31日生效，屆時(shí)3.2.1版本將正式退役。自2025年4月1日起，所有金融組織必須完全遵守所有64項(xiàng)新要求和最佳實(shí)踐。

新版本不僅僅是對現(xiàn)有標(biāo)準(zhǔn)的更新。它代表著人們對安全態(tài)度的重大轉(zhuǎn)變，強(qiáng)調(diào)持續(xù)的安全態(tài)勢監(jiān)測，并在網(wǎng)絡(luò)安全、隱私和欺詐管理之間建立了強(qiáng)有力的聯(lián)系。

4.0版為組織提供了選擇如何滿足合規(guī)標(biāo)準(zhǔn)的新自由，但也賦予了證明其選擇有效性的新責(zé)任。如果您不確定從哪里開始，或者不清楚如何成功遵守，我們收集了一些建議，以幫助您的組織達(dá)到PCI DSS 4.0標(biāo)準(zhǔn)。

評估您當(dāng)前的環(huán)境

進(jìn)行任何與安全相關(guān)的更改的第一步始終是進(jìn)行徹底的差距分析。確保您完全理解v4.0的新要求，這樣您就可以有效地發(fā)現(xiàn)安全方法不足的地方，然后掃描漏洞。

您需要特別小心PCI DSS 4.0中首次規(guī)定的問題，如增強(qiáng)數(shù)據(jù)保護(hù)和防御客戶端攻擊。

決定何時(shí)使用自定義方法

PCI DSS 4.0的一大變化是，組織可以在定義的驗(yàn)證或定制的驗(yàn)證之間進(jìn)行選擇。這使您能夠更靈活地選擇更適合您的安全環(huán)境的方法，而不是強(qiáng)迫您將安全方法壓縮到定義的框架中。

但是，如果您使用自定義驗(yàn)證，則需要能夠證明您的安全控制符合v4.0的風(fēng)險(xiǎn)分析和文檔要求。重要的是要投入時(shí)間和精力來驗(yàn)證哪種方法最適合您組織的風(fēng)險(xiǎn)態(tài)勢和安全程序。

實(shí)現(xiàn)對客戶端攻擊的防御

v4.0中的另一個(gè)重大變化是對防止客戶端攻擊的新強(qiáng)調(diào)。其中兩項(xiàng)新要求直接解決了客戶端攻擊風(fēng)險(xiǎn)，包括管理支付頁面以抵御XSS和其他腳本攻擊，以及防止未經(jīng)授權(quán)的修改。

大多數(shù)金融科技企業(yè)更多地關(guān)注勒索軟件和APT等服務(wù)器端威脅，這也是大多數(shù)網(wǎng)絡(luò)應(yīng)用防火墻的重點(diǎn)。您可能需要更新您的工具，或?qū)⑵涮鎿Q為解決供應(yīng)鏈攻擊、側(cè)載和鏈載攻擊、略讀和其他前端問題的工具。

升級數(shù)據(jù)保護(hù)

PCI DSS 4.0還提高了金融公司需要實(shí)施的客戶數(shù)據(jù)保護(hù)水平。僅僅使用磁盤級別的加密已經(jīng)不夠了；v4.0需要更健壯的加密，包括密鑰加密散列。作為這些保護(hù)措施的一部分，您需要維護(hù)并定期審查密碼套件、協(xié)議、可信密鑰和證書的庫存。

新標(biāo)準(zhǔn)特別要求公司在傳輸過程中確認(rèn)保護(hù)私人賬號（PAN）的證書的當(dāng)前有效性。對您的持卡人數(shù)據(jù)環(huán)境（CDE）進(jìn)行全面評估，包括設(shè)備、應(yīng)用程序和存儲，也是發(fā)現(xiàn)需要改進(jìn)的領(lǐng)域的最佳方法。

定義角色和職責(zé)

為了維護(hù)數(shù)據(jù)安全，已經(jīng)建議定義與持卡人數(shù)據(jù)、支付或賬戶數(shù)據(jù)交互的每個(gè)人的角色，但現(xiàn)在這也是v4.0要求的一部分。新的PCI DSS標(biāo)準(zhǔn)規(guī)定，任何處理敏感數(shù)據(jù)的人都有明確的角色和責(zé)任。

通過澄清和確認(rèn)責(zé)任，您將有助于實(shí)現(xiàn)快速的事件響應(yīng)和緩解，并最大限度地減少混亂。定義的角色還鼓勵員工承擔(dān)責(zé)任，協(xié)助風(fēng)險(xiǎn)管理，并使完成審計(jì)和證明符合監(jiān)管標(biāo)準(zhǔn)變得更容易。

設(shè)置連續(xù)監(jiān)控

滿足v.4.0的要求從來都不是一次性的體驗(yàn)。新標(biāo)準(zhǔn)強(qiáng)調(diào)將重點(diǎn)從定期和間歇性的合規(guī)檢查轉(zhuǎn)移到持續(xù)的安全評估和控制。如果您還沒有實(shí)現(xiàn)持續(xù)安全監(jiān)控的流程和工具，那么現(xiàn)在是時(shí)候?qū)嵤┧鼈兞恕?/p>

除了采用正確的工具外，進(jìn)行全面的員工培訓(xùn)也很重要。您需要每位員工充分了解PCI DSS 4.0的重要性、他們在維護(hù)合規(guī)性方面的作用，以及保持支付數(shù)據(jù)安全所需的內(nèi)容。

PCI DSS不需要成為威脅

遵守一套新的法規(guī)總是很有壓力，但PCI DSS 4.0也提供了機(jī)會。這是一個(gè)確保您的安全控制很好地嵌入日常運(yùn)營的機(jī)會，強(qiáng)化您的安全態(tài)勢，并最終讓您自己和客戶更加安心。