Bagikan melalui

Persyaratan MICROSOFT Entra ID dan PCI-DSS 5

  • Artikel

Persyaratan 5: Melindungi Semua Sistem dan Jaringan dari persyaratan pendekatan Yang Ditentukan Perangkat Lunak
Berbahaya

5.1 Proses dan mekanisme untuk melindungi semua sistem dan jaringan dari perangkat lunak berbahaya didefinisikan dan dipahami.

Persyaratan pendekatan yang ditentukan PCI-DSS Panduan dan rekomendasi Microsoft Entra
5.1.1 Semua kebijakan keamanan dan prosedur operasional yang diidentifikasi dalam Persyaratan 5 adalah:
Didokumentasikan
Tetap diperbarui
Dalam penggunaan
Diketahui oleh semua pihak yang terpengaruh		 Gunakan panduan dan tautan di sini untuk menghasilkan dokumentasi untuk memenuhi persyaratan berdasarkan konfigurasi lingkungan Anda.
5.1.2 Peran dan tanggung jawab untuk melakukan aktivitas dalam Persyaratan 5 didokumentasikan, ditetapkan, dan dipahami. Gunakan panduan dan tautan di sini untuk menghasilkan dokumentasi untuk memenuhi persyaratan berdasarkan konfigurasi lingkungan Anda.

5.2 Perangkat lunak berbahaya (malware) dicegah, atau terdeteksi dan ditangani.

Persyaratan pendekatan yang ditentukan PCI-DSS Panduan dan rekomendasi Microsoft Entra
5.2.1 Solusi anti-malware disebarkan pada semua komponen sistem, kecuali untuk komponen sistem yang diidentifikasi dalam evaluasi berkala per Persyaratan 5.2.3 yang menyimpulkan komponen sistem tidak berisiko dari malware. Menyebarkan kebijakan Akses Bersyarat yang memerlukan kepatuhan perangkat. Gunakan kebijakan kepatuhan untuk menetapkan aturan untuk perangkat yang Anda kelola dengan intune
Mengintegrasikan status kepatuhan perangkat dengan solusi anti-malware. Menerapkan kepatuhan untuk Microsoft Defender untuk Titik Akhir dengan Akses Bersyarah dalam integrasi Intune
Mobile Threat Defense dengan Intune
5.2.2 Solusi anti-malware yang disebarkan:
Mendeteksi semua jenis malware yang diketahui. Menghapus, memblokir, atau berisi semua jenis malware yang diketahui.		 Tidak berlaku untuk ID Microsoft Entra.
5.2.3 Komponen sistem apa pun yang tidak berisiko untuk malware dievaluasi secara berkala untuk menyertakan yang berikut ini:
Daftar semua komponen sistem yang didokumentasikan tidak berisiko untuk malware.
Identifikasi dan evaluasi ancaman malware yang berkembang untuk komponen sistem tersebut.
Konfirmasi apakah komponen sistem tersebut terus tidak memerlukan perlindungan anti-malware.		 Tidak berlaku untuk ID Microsoft Entra.
5.2.3.1 Frekuensi evaluasi berkala komponen sistem yang diidentifikasi tidak berisiko untuk malware didefinisikan dalam analisis risiko yang ditargetkan entitas, yang dilakukan sesuai dengan semua elemen yang ditentukan dalam Persyaratan 12.3.1. Tidak berlaku untuk ID Microsoft Entra.

5.3 Mekanisme dan proses anti-malware aktif, dikelola, dan dipantau.

Persyaratan pendekatan yang ditentukan PCI-DSS Panduan dan rekomendasi Microsoft Entra
5.3.1 Solusi anti-malware tetap terkini melalui pembaruan otomatis. Tidak berlaku untuk ID Microsoft Entra.
5.3.2 Solusi anti-malware:
Melakukan pemindaian berkala dan pemindaian aktif atau real time.
OR
Melakukan analisis perilaku berkelanjutan terhadap sistem atau proses.		 Tidak berlaku untuk ID Microsoft Entra.
5.3.2.1 Jika pemindaian malware berkala dilakukan untuk memenuhi Persyaratan 5.3.2, frekuensi pemindaian ditentukan dalam analisis risiko yang ditargetkan entitas, yang dilakukan sesuai dengan semua elemen yang ditentukan dalam Persyaratan 12.3.1. Tidak berlaku untuk ID Microsoft Entra.
5.3.3 Untuk media elektronik yang dapat dilepas, solusi anti-malware:
Melakukan pemindaian otomatis ketika media dimasukkan, terhubung, atau dipasang secara logis,
ATAU
Melakukan analisis perilaku berkelanjutan dari sistem atau proses ketika media dimasukkan, terhubung, atau dipasang secara logis.		 Tidak berlaku untuk ID Microsoft Entra.
5.3.4 Log audit untuk solusi anti-malware diaktifkan dan dipertahankan sesuai dengan Persyaratan 10.5.1. Tidak berlaku untuk ID Microsoft Entra.
5.3.5 Mekanisme anti-malware tidak dapat dinonaktifkan atau diubah oleh pengguna, kecuali didokumenkan secara khusus, dan diotorisasi oleh manajemen berdasarkan kasus per kasus untuk periode waktu terbatas. Tidak berlaku untuk ID Microsoft Entra.

5.4 Mekanisme anti-phishing melindungi pengguna dari serangan phishing.

Persyaratan pendekatan yang ditentukan PCI-DSS Panduan dan rekomendasi Microsoft Entra
5.4.1 Proses dan mekanisme otomatis diberlakukan untuk mendeteksi dan melindungi personel dari serangan phishing. Konfigurasikan ID Microsoft Entra untuk menggunakan kredensial tahan pengelabuan. Pertimbangan implementasi untuk kontrol Penggunaan MFA
tahan phishing di Akses Bersyarat untuk memerlukan autentikasi dengan kredensial tahan phishing. Panduan kekuatan
autentikasi Akses Bersnilai di sini berkaitan dengan konfigurasi manajemen identitas dan akses. Untuk mengurangi serangan phishing, sebarkan kemampuan beban kerja, seperti di Microsoft 365. Perlindungan anti-phishing di Microsoft 365

Langkah berikutnya

Persyaratan PCI-DSS 3, 4, 9, dan 12 tidak berlaku untuk ID Microsoft Entra, oleh karena itu tidak ada artikel yang sesuai. Untuk melihat semua persyaratan, buka pcisecuritystandards.org: Situs Dewan Standar Keamanan PCI Resmi.

Untuk mengonfigurasi MICROSOFT Entra ID agar mematuhi PCI-DSS, lihat artikel berikut ini.