Вопрос или проблема
Мы являемся торговцем, который осуществляет исключительно MOTO-транзакции по телефону. Для захвата информации о кредитной карте наш торговый агент (на своих ПК) использует браузер для доступа к внутренне разработанному приложению ASP.NET, которое служит виртуальным терминалом. Мы квалифицируемся как SAQ-C-VT.
VT-приложение использует библиотеку JavaScript для токенизации чувствительных PAN и кода безопасности на браузере агента. Сама программа никогда не видит сырые данные кредитной карты, но получает токен от браузера агента, чтобы затем отправить его в платежный шлюз. Таким образом, VT-приложение и сервер, на котором оно размещается, находятся вне среды данных карты (CDE), хотя нам нужно принимать меры предосторожности, чтобы VT-приложение, которое обслуживает библиотеку JavaScript, не было скомпрометировано.
На данный момент сервер, который размещает VT-приложение, является физическим сервером, который не выполняет никаких других функций, кроме как обслуживания VT-приложения, а сеть сегментирована отдельно. Мы убедились, что к этому серверу не подключены другие системы, кроме ПК торговых агентов. У нас имеются процедуры разработки и администрирования, чтобы обеспечить целостность VT-приложения, размещенного на этом сервере.
Мы рассматриваем возможность виртуализации этого физического сервера в ВМ. Конфигурация сети не изменится. Однако сервер ВМ размещает другие ВМ в отдельном сегменте сети. Сервер ВМ работает на платформе VMWare ESXi.
Мой вопрос: Влияет ли виртуализация VT-приложения, описанного выше, на какие-либо ответы на SAQ-C-VT, учитывая наличие других ВМ, размещенных на VMWare? Если да, то как мы можем минимизировать область?
Учитывая второе из критериев соответствия для SAQ C-VT, что:
Решение виртуального платежного терминала торговца предоставляется и размещается у стороннего поставщика услуг, проверенного на соответствие PCI DSS;
Я не совсем уверен, как вы определили, что вы соответствуете требованиям SAQ C-VT.
Я бы предложил, что сервер приложения находится в области всех соответствующих требований DSS (независимо от того, является ли он физическим или ВМ), поскольку его компрометация повлияет на безопасность данных держателя карты – что вы в некоторой степени признали, сказав: “У нас имеются процедуры разработки и администрирования, чтобы обеспечить целостность VT-приложения, размещенного на этом сервере.”
Ответ или решение
Конечно! Давайте разберем вашу ситуацию с виртуализацией сервера, на котором размещено ваше приложение виртуального терминала (VT), и как это повлияет на соответствие требованиям SAQ-C-VT.
Анализ ситуации
Вы правильно указали, что в настоящее время ваше приложение VT работает на выделенном физическом сервере, который не взаимодействует с другими системами, за исключением ПК ваших продавцов. Это создает ограниченный контекст для работы с данными кредитных карт, так как сервер действительно изолирован от среды обработки карт (CDE).
Виртуализация и ее влияние на SAQ-C-VT
При виртуализации вашего сервера VT на VMware ESXi, важно понять, что любые изменения в архитектуре системы могут потенциально изменить вашу оценку уровня риска и область применения стандартов PCI DSS. Даже если ваше приложение VT остается изолированным в отдельной сетевой сегментации, сам факт, что сервер теперь является виртуальной машиной и находится на гипервизоре, который также обслуживает другие виртуальные машины, может увеличить вашу подверженность рискам.
Насколько это повлияет на соответствие SAQ-C-VT?
-
Область применения: Если ваш виртуализированный сервер VT будет функционировать в конфигурации, где другие виртуальные машины имеют доступ к гипервизору, это может потенциально повлиять на безопасность вашего приложения и увеличивает область применения PCI DSS. Все VMs на одном гипервизоре могут быть частью вашей зоны применения, если доступ или уязвимости в одной из них могут повлиять на другую.
-
Обеспечение безопасности: Для минимизации воздействия виртуализации вам необходимо убедиться, что:
- Сегментация сети: Обеспечьте строгую сегментацию сети между виртуальной машиной VT и другими виртуальными машинами. Используйте фаерволы и политики безопасности для предотвращения ненужного взаимодействия.
- Контроль доступа: Ограничьте доступ к гипервизору и виртуальным машинам, установив протоколы аутентификации и авторизации.
- Мониторинг: Внедрите решения для мониторинга безопасности, которые отслеживают действия на уровне системы и сети, чтобы быстро реагировать на любые подозрительные действия.
-
План о восстановлении: Убедитесь, что у вас есть стратегия резервного копирования и восстановления для виртуальной машины VT. В случае инцидента это поможет восстановить систему без потери данных.
Рекомендации
- Оценка соответствия: Поскольку ваше приложение VT должно соответствовать требованиям SAQ-C-VT, вам может быть необходимо пройти через дополнительный аудит по мере перехода на виртуализацию.
- Консультация с PCI DSS экспертами: Рассмотрите возможность консультации с экспертами по PCI DSS, чтобы провести детальную оценку о том, как виртуализация влияет на ваш текущий статус соответствия.
Заключение
Виртуализация вашего сервера VT может повлиять на область применения PCI DSS, если не предпринять дополнительные меры по безопасности и сегментации. Для минимизации рисков вам нужно быть внимательными к архитектуре сети и процессам управления доступом, сохраняя при этом требования SAQ-C-VT актуальными.
Надеюсь, это поможет вам лучше понять необходимые шаги. Если возникают дополнительные вопросы или нужна помощь в дальнейшем, не стесняйтесь обращаться.