Richtlijnen voor Microsoft Entra PCI-DSS

Artikel
10/28/2023

De Payment Card Industry Security Standards Council (PCI SSC) is verantwoordelijk voor het ontwikkelen en bevorderen van gegevensbeveiligingsstandaarden en -resources, waaronder de Payment Card Industry Data Security Standard (PCI-DSS) om de beveiliging van betalingstransacties te waarborgen. Om PCI-naleving te bereiken, kunnen organisaties die Microsoft Entra ID gebruiken, verwijzen naar richtlijnen in dit document. Het is echter de verantwoordelijkheid van de organisaties om hun PCI-naleving te garanderen. Hun IT-teams, SecOps-teams en oplossingenarchitecten zijn verantwoordelijk voor het maken en onderhouden van beveiligde systemen, producten en netwerken die betaalkaartgegevens verwerken, verwerken en opslaan.

Hoewel Microsoft Entra ID helpt te voldoen aan bepaalde PCI-DSS-controlevereisten en moderne identiteits- en toegangsprotocollen biedt voor CDE-resources (CardHolder Data Environment), mag dit niet het enige mechanisme zijn voor het beveiligen van gegevens van kaarthouders. Bekijk daarom deze documentenset en alle PCI-DSS-vereisten om een uitgebreid beveiligingsprogramma tot stand te brengen dat het vertrouwen van klanten behoudt. Ga voor een volledige lijst met vereisten naar de officiële website van de PCI Security Standards Council op pcisecuritystandards.org: officiële site van de PCI Security Standards Council

PCI-vereisten voor besturingselementen

De wereldwijde PCI-DSS v4.0 stelt een basislijn vast voor technische en operationele standaarden voor het beveiligen van accountgegevens. Het is ontwikkeld om de beveiliging van betaalkaartenaccountgegevens aan te moedigen en te verbeteren en de brede acceptatie van consistente gegevensbeveiligingsmaatregelen wereldwijd te vergemakkelijken. Het biedt een basislijn van technische en operationele vereisten die zijn ontworpen om accountgegevens te beveiligen. Hoewel PCI-DSS is ontworpen om zich te richten op omgevingen met betaalkaartaccountgegevens, kan pci-DSS ook worden gebruikt om te beschermen tegen bedreigingen en andere elementen in het betalingsecosysteem te beveiligen."

Microsoft Entra-configuratie en PCI-DSS

Dit document fungeert als een uitgebreide handleiding voor technische en zakelijke leiders die verantwoordelijk zijn voor het beheren van identiteits- en toegangsbeheer (IAM) met Microsoft Entra ID in overeenstemming met de Pci DSS (Payment Card Industry Data Security Standard). Door de belangrijkste vereisten, best practices en benaderingen te volgen die in dit document worden beschreven, kunnen organisaties het bereik, de complexiteit en het risico van PCI-niet-naleving verminderen en tegelijkertijd de aanbevolen beveiligingsprocedures en naleving van standaarden bevorderen. De richtlijnen in dit document zijn bedoeld om organisaties te helpen Bij het configureren van Microsoft Entra ID op een manier die voldoet aan de noodzakelijke PCI DSS-vereisten en effectieve IAM-procedures bevordert.

Technische en zakelijke leiders kunnen de volgende richtlijnen gebruiken om verantwoordelijkheden voor identiteits- en toegangsbeheer (IAM) met Microsoft Entra ID te vervullen. Zie Overzicht van de Microsoft-cloudbeveiligingsbenchmark (v1) voor meer informatie over PCI-DSS in andere Microsoft-workloads.

PCI-DSS-vereisten en testprocedures bestaan uit 12 principal-vereisten die de veilige verwerking van betaalkaartgegevens garanderen. Samen zijn deze vereisten een uitgebreid framework waarmee organisaties transacties met betaalkaarten kunnen beveiligen en gevoelige gegevens van de kaarthouder kunnen beveiligen.

Microsoft Entra ID is een service voor bedrijfsidentiteit waarmee toepassingen, systemen en resources worden beveiligd ter ondersteuning van PCI-DSS-naleving. De volgende tabel bevat de PCI-principalvereisten en koppelingen naar aanbevolen besturingselementen voor PCI-DSS-naleving door Microsoft Entra ID.

Principal PCI-DSS-vereisten

PCI-DSS-vereisten 3, 4, 9 en 12 worden niet aangepakt of voldaan door Microsoft Entra ID, daarom zijn er geen bijbehorende artikelen. Als u alle vereisten wilt zien, gaat u naar pcisecuritystandards.org: officiële site van de PCI Security Standards Council.

PCI Data Security Standard - Overzicht op hoog niveau	Aanbevolen PCI-DSS-besturingselementen voor Microsoft Entra ID
Beveiligde netwerken en systemen bouwen en onderhouden	1. Netwerkbeveiligingsbesturingselementen installeren en onderhouden 2. Veilige configuraties toepassen op alle systeemonderdelen
Accountgegevens beveiligen	3. Opgeslagen accountgegevens beveiligen 4. Kaartaanduidingsgegevens beveiligen met sterke cryptografie tijdens overdracht via openbare netwerken
Een programma voor beheer van beveiligingsproblemen onderhouden	5. Alle systemen en netwerken beschermen tegen schadelijke software 6. Veilige systemen en software ontwikkelen en onderhouden
Krachtige metingen voor toegangsbeheer implementeren	7. Beperk de toegang tot systeemonderdelen en gegevens van kaartaanduidingen per zakelijke behoefte aan kennis 8. Toegang tot systeemonderdelen identificeren en verifiëren 9. Fysieke toegang tot systeemonderdelen en kaartaanduidingsgegevens beperken
Regelmatig netwerken bewaken en testen	10. Registreer en bewaak alle toegang tot systeemonderdelen en kaartaanduidingsgegevens 11. De beveiliging van systemen en netwerken regelmatig testen
Een informatiebeveiligingsbeleid onderhouden	12. Ondersteuning voor informatiebeveiliging met organisatiebeleid en -programma's

PCI-DSS-toepasbaarheid

PCI-DSS is van toepassing op organisaties die gegevens van kaarthouders (CHD) en/of gevoelige verificatiegegevens (SAD) opslaan, verwerken of verzenden. Deze gegevenselementen worden samen beschouwd als accountgegevens. PCI-DSS biedt beveiligingsrichtlijnen en -vereisten voor organisaties die van invloed zijn op de CDE (CardHolder Data Environment). Entiteiten die CDE beschermen, garanderen de vertrouwelijkheid en beveiliging van betalingsgegevens van klanten.

CHD bestaat uit:

Primair rekeningnummer (PAN) - een uniek betaalkaartnummer (creditcard, debit of prepaid kaarten, enzovoort) waarmee de verlener en de rekening van de kaarthouder worden geïdentificeerd
Naam van de kaarthouder : de eigenaar van de kaart
Vervaldatum van kaart : de dag en maand waarop de kaart verloopt
Servicecode : een waarde van drie of vier cijfers in de magnetische streep die volgt op de vervaldatum van de betaalkaart op de trackgegevens. Het definieert servicekenmerken, differentiëren tussen internationale en nationale/regionale uitwisseling, of het identificeren van gebruiksbeperkingen.

SAD bestaat uit beveiligingsgerelateerde informatie die wordt gebruikt om kaarthouders te verifiëren en/of betaalkaarttransacties te autoriseren. SAD omvat, maar is niet beperkt tot:

Volledige track data - magnetische stripe of chip equivalent
Kaartverificatiecodes/-waarden , ook wel de kaartvalidatiecode (CVC) of waarde (CVV) genoemd. Dit is de waarde van drie of vier cijfers aan de voor- of achterkant van de betaalkaart. Het wordt ook wel CAV2, CVC2, CVN2, CVV2, CVV2 of CID genoemd, bepaald door de deelnemende betalingsmerken (PPB).
Pincode - persoonlijk identificatienummer
- Pincodeblokken : een versleutelde weergave van de pincode die wordt gebruikt in een debit- of creditcardtransactie. Het zorgt voor een veilige overdracht van gevoelige informatie tijdens een transactie

Het beschermen van de CDE is essentieel voor de beveiliging en vertrouwelijkheid van betalingsgegevens van klanten en helpt:

Behoud het vertrouwen van klanten: klanten verwachten dat hun betalingsgegevens veilig worden verwerkt en vertrouwelijk worden gehouden. Als een bedrijf een gegevenslek ondervindt die leidt tot diefstal van betalingsgegevens van klanten, kan het vertrouwen van klanten in het bedrijf afnemen en reputatieschade veroorzaken.
Voldoen aan regelgeving - bedrijven die creditcardtransacties verwerken, zijn vereist om te voldoen aan de PCI-DSS. Niet-naleving resulteert in boetes, wettelijke verplichtingen en resulterende reputatieschade.
Financiële risicobeperking : gegevensschendingen hebben aanzienlijke financiële gevolgen, waaronder kosten voor forensisch onderzoek, juridische kosten en compensatie voor betrokken klanten.
Bedrijfscontinuïteit : gegevensschendingen verstoren zakelijke activiteiten en kunnen van invloed zijn op transactieprocessen van creditcards. Dit scenario kan leiden tot verlies van omzet, operationele onderbrekingen en reputatieschade.

PCI-controlebereik

PCI-controlebereik heeft betrekking op de systemen, netwerken en processen in de opslag, verwerking of verzending van CHD en/of SAD. Als accountgegevens worden opgeslagen, verwerkt of verzonden in een cloudomgeving, is PCI-DSS van toepassing op die omgeving en naleving, meestal gaat het om validatie van de cloudomgeving en het gebruik ervan. Er zijn vijf fundamentele elementen binnen het bereik voor een PCI-controle:

Gegevensomgeving voor kaarthouders (CDE): het gebied waar CHD en/of SAD wordt opgeslagen, verwerkt of verzonden. Het omvat de onderdelen van een organisatie die chd aanraken, zoals netwerken en netwerkonderdelen, databases, servers, toepassingen en betaalterminals.
Personen die toegang hebben tot de CDE, zoals werknemers, aannemers en externe serviceproviders, vallen binnen het bereik van een PCI-audit.
Processen : die betrekking hebben op CHD, zoals autorisatie, verificatie, versleuteling en opslag van accountgegevens in elke indeling, vallen binnen het bereik van een PCI-controle.
Technologie - die CHD verwerkt, opslaat of verzendt, waaronder hardware zoals printers en apparaten met meerdere functies die apparaten scannen, afdrukken en faxen, apparaten van eindgebruikers, zoals computers, laptops, werkstations, beheerwerkstations, tablets en mobiele apparaten, software en andere IT-systemen, vallen binnen het bereik van een PCI-controle.
Systeemonderdelen : die mogelijk geen CHD/SAD opslaan, verwerken of verzenden, maar onbeperkte connectiviteit hebben met systeemonderdelen die CHD/SAD opslaan, verwerken of verzenden, of die van invloed kunnen zijn op de beveiliging van de CDE.

Als PCI-bereik is geminimaliseerd, kunnen organisaties effectief de gevolgen van beveiligingsincidenten verminderen en het risico op gegevensschendingen verlagen. Segmentatie kan een waardevolle strategie zijn voor het verminderen van de grootte van de PCI CDE, wat resulteert in lagere nalevingskosten en algemene voordelen voor de organisatie, waaronder, maar niet beperkt tot:

Kostenbesparingen : door het controlebereik te beperken, verminderen organisaties de tijd, resources en uitgaven om een controle te ondergaan, wat leidt tot kostenbesparingen.
Verminderde risicoblootstelling : een kleiner PCI-controlebereik vermindert potentiële risico's die verband houden met verwerking, opslaan en verzenden van gegevens van kaarthouders. Als het aantal systemen, netwerken en toepassingen waarvoor een controle wordt uitgevoerd beperkt is, richten organisaties zich op het beveiligen van hun kritieke activa en het verminderen van hun risicoblootstelling.
Gestroomlijnde naleving : het beperken van het controlebereik maakt PCI-DSS-naleving beter beheersbaar en gestroomlijnd. Resultaten zijn efficiëntere controles, minder nalevingsproblemen en een verminderd risico op niet-nalevingsstraffen.
Verbeterde beveiligingspostuur : met een kleinere subset van systemen en processen wijzen organisaties efficiënt beveiligingsresources en -inspanningen toe. Resultaten zijn een sterkere beveiligingspostuur, omdat beveiligingsteams zich concentreren op het beveiligen van kritieke assets en het identificeren van beveiligingsproblemen op een gerichte en effectieve manier.

Strategieën voor het verminderen van pci-controlebereik

De definitie van een organisatie van de CDE bepaalt het PCI-controlebereik. Organisaties documenteren en communiceren deze definitie met de PCI-DSS Qualified Security Assessor (QSA) die de controle uitvoert. De QSA beoordeelt controles voor de CDE om naleving te bepalen. Naleving van PCI-standaarden en het gebruik van effectieve risicobeperking helpt bedrijven bij het beschermen van persoonlijke en financiële gegevens van klanten, die vertrouwen in hun activiteiten behouden. In de volgende sectie worden strategieën beschreven om het risico in pci-controlebereik te verminderen.

Tokenisatie

Tokenisatie is een techniek voor gegevensbeveiliging. Gebruik tokenisatie om gevoelige informatie, zoals creditcardnummers, te vervangen door een uniek token dat is opgeslagen en gebruikt voor transacties, zonder gevoelige gegevens weer te geven. Tokens verminderen het bereik van een PCI-audit voor de volgende vereisten:

Vereiste 3 : Opgeslagen accountgegevens beveiligen
Vereiste 4 : gegevens van kaarthouders beveiligen met sterke cryptografie tijdens overdracht via open openbare netwerken
Vereiste 9 : fysieke toegang beperken tot gegevens van kaartaanduidingen
Vereiste 10 : alle toegang tot systeemonderdelen en kaartaanduidingsgegevens registreren en bewaken.

Houd bij het gebruik van op de cloud gebaseerde verwerkingsmethoden rekening met de relevante risico's voor gevoelige gegevens en transacties. Als u deze risico's wilt beperken, wordt u aangeraden relevante beveiligingsmaatregelen en noodplannen te implementeren om gegevens te beschermen en onderbrekingen van transacties te voorkomen. Als best practice kunt u betalingstokenisatie gebruiken als een methodologie om gegevens te declassificeren en mogelijk de footprint van de CDE verminderen. Met betalingstokenisatie worden gevoelige gegevens vervangen door een unieke id die het risico op gegevensdiefstal vermindert en de blootstelling van gevoelige informatie in de CDE beperkt.

Beveiligde CDE

PCI-DSS vereist dat organisaties een beveiligde CDE onderhouden. Met effectief geconfigureerde CDE kunnen bedrijven hun risicoblootstelling beperken en de bijbehorende kosten voor zowel on-premises als cloudomgevingen verminderen. Deze aanpak helpt het bereik van een PCI-audit te minimaliseren, waardoor het eenvoudiger en rendabeler wordt om de naleving van de standaard te demonstreren.

Microsoft Entra-id configureren om de CDE te beveiligen:

Referenties zonder wachtwoord gebruiken voor gebruikers: Windows Hello voor Bedrijven, FIDO2-beveiligingssleutels en de Microsoft Authenticator-app
Gebruik sterke referenties voor workloadidentiteiten: certificaten en beheerde identiteiten voor Azure-resources.
- Toegangstechnologieën zoals VPN, extern bureaublad en netwerktoegangspunten integreren met Microsoft Entra-id voor verificatie, indien van toepassing
Privileged Identity Management en toegangsbeoordelingen inschakelen voor Microsoft Entra-rollen, bevoorrechte toegangsgroepen en Azure-resources
Beleid voor voorwaardelijke toegang gebruiken om pci-vereiste controles af te dwingen: referentiesterkte, apparaatstatus en afdwingen op basis van locatie, groepslidmaatschap, toepassingen en risico's
Moderne verificatie gebruiken voor DCE-workloads
Microsoft Entra-logboeken archiveren in SIEM-systemen (Security Information and Event Management)

Wanneer toepassingen en resources Gebruikmaken van Microsoft Entra ID voor identiteits- en toegangsbeheer (IAM), vallen de Microsoft Entra-tenant(s) binnen het bereik van PCI-controle en zijn de richtlijnen hierin van toepassing. Organisaties moeten identiteits- en resourceisolatievereisten evalueren, tussen niet-PCI- en PCI-workloads, om hun beste architectuur te bepalen.

Meer informatie

Een verantwoordelijkheidsmatrix instellen

PCI-naleving is de verantwoordelijkheid van entiteiten die betalingskaarttransacties verwerken, waaronder maar niet beperkt tot:

Handelaren
Kaartserviceproviders
Verkopersserviceproviders
Banken verwerven
Betalingsverwerkers
Verleners van betaalkaarten
Hardwareleveranciers

Deze entiteiten zorgen ervoor dat betaalkaarttransacties veilig worden verwerkt en compatibel zijn met PCI-DSS. Alle entiteiten die betrokken zijn bij betalingskaarttransacties hebben een rol om ervoor te zorgen dat PCI-naleving wordt gegarandeerd.

De nalevingsstatus van Azure PCI DSS wordt niet automatisch omgezet in PCI-DSS-validatie voor de services die u in Azure bouwt of host. U zorgt ervoor dat u voldoet aan de PCI-DSS-vereisten.

Continue processen tot stand brengen om naleving te behouden

Doorlopende processen omvatten doorlopende bewaking en verbetering van de nalevingspostuur. Voordelen van continue processen om PCI-naleving te behouden:

Verminderd risico op beveiligingsincidenten en niet-naleving
Verbeterde gegevensbeveiliging
Betere afstemming met wettelijke vereisten
Meer vertrouwen van klanten en belanghebbenden

Met doorlopende processen reageren organisaties effectief op wijzigingen in de regelgevingsomgeving en steeds veranderende beveiligingsrisico's.

Risicoanalyse: voer dit proces uit om beveiligingsproblemen en beveiligingsrisico's van creditcardgegevens te identificeren. Identificeer mogelijke bedreigingen, evalueer de waarschijnlijkheidsrisico's die optreden en evalueer de mogelijke gevolgen voor het bedrijf.
Training voor beveiligingsbewustzijn : werknemers die creditcardgegevens verwerken, ontvangen regelmatig training voor beveiligingsbewustzijn om het belang van de bescherming van gegevens van de kaarthouder en de maatregelen hiervoor te verduidelijken.
Beheer van beveiligingsproblemen: voer regelmatig scans en penetratietests uit om zwakke plekken in het netwerk of systeem te identificeren die door aanvallers kunnen worden misbruikt.
Toegangsbeheerbeleid bewaken en onderhouden: toegang tot creditcardgegevens is beperkt tot geautoriseerde personen. Bewaak toegangslogboeken om onbevoegde toegangspogingen te identificeren.
Reactie op incidenten: een plan voor reactie op incidenten helpt beveiligingsteams actie te ondernemen tijdens beveiligingsincidenten met creditcardgegevens. Identificeer incidentoorzaak, plaats de schade en herstel normale bewerkingen tijdig.
Nalevingsbewaking - en controle wordt uitgevoerd om ervoor te zorgen dat de PCI-DSS-vereisten voortdurend worden nageleefd. Controleer beveiligingslogboeken, voer regelmatig beleidsbeoordelingen uit en zorg ervoor dat systeemonderdelen nauwkeurig zijn geconfigureerd en onderhouden.

Sterke beveiliging implementeren voor gedeelde infrastructuur

Normaal gesproken hebben webservices zoals Azure een gedeelde infrastructuur waarin klantgegevens kunnen worden opgeslagen op dezelfde fysieke server of op hetzelfde apparaat voor gegevensopslag. In dit scenario ontstaat het risico dat onbevoegde klanten toegang hebben tot gegevens die ze niet bezitten en het risico dat kwaadwillende actoren gericht zijn op de gedeelde infrastructuur. Microsoft Entra-beveiligingsfuncties helpen risico's te beperken die zijn gekoppeld aan een gedeelde infrastructuur:

Gebruikersverificatie voor netwerktoegangstechnologieën die moderne verificatieprotocollen ondersteunen: VPN (virtueel particulier netwerk), extern bureaublad en netwerktoegangspunten.
Beleidsregels voor toegangsbeheer die sterke verificatiemethoden en apparaatnaleving afdwingen op basis van signalen zoals gebruikerscontext, apparaat, locatie en risico.
Voorwaardelijke toegang biedt een besturingsvlak op basis van identiteit en brengt signalen samen, om beslissingen te nemen en organisatiebeleid af te dwingen.
Bevoorrechte rolgovernance: toegangsbeoordelingen, Just-In-Time-activering (JIT) enzovoort.

Meer informatie: Wat is voorwaardelijke toegang?

Gegevensresidentie

PCI-DSS citeert geen specifieke geografische locatie voor creditcardgegevensopslag. Er zijn echter veilig kaartaanduidingsgegevens opgeslagen, waaronder geografische beperkingen, afhankelijk van de beveiligings- en regelgevingsvereisten van de organisatie. Verschillende landen en regio's hebben wetgeving inzake gegevensbescherming en privacy. Neem contact op met een juridisch of complianceadviseur om de toepasselijke vereisten voor gegevenslocatie te bepalen.

Meer informatie: Microsoft Entra ID en gegevenslocatie

Beveiligingsrisico's van derden

Een niet-PCI-compatibele externe provider vormt een risico voor PCI-naleving. Beoordeel en bewaak regelmatig externe leveranciers en serviceproviders om ervoor te zorgen dat ze de vereiste controles onderhouden om gegevens van de kaarthouder te beveiligen.

Microsoft Entra-functies en -functies in gegevenslocatie helpen bij het beperken van risico's die verband houden met beveiliging van derden.

Logboekregistratie en controle

Implementeer nauwkeurige logboekregistratie en bewaking om beveiligingsincidenten tijdig te detecteren en erop te reageren. Microsoft Entra ID helpt pci-naleving te beheren met audit- en activiteitenlogboeken en rapporten die kunnen worden geïntegreerd met een SIEM-systeem. Microsoft Entra ID heeft op rollen gebaseerd toegangsbeheer (RBAC) en MFA om de toegang tot gevoelige resources, versleuteling en bedreigingsbeveiligingsfuncties te beveiligen om organisaties te beschermen tegen onbevoegde toegang en gegevensdiefstal.

Meer informatie:

Omgevingen met meerdere toepassingen: host buiten de CDE

PCI-DSS zorgt ervoor dat bedrijven die creditcardgegevens accepteren, verwerken, opslaan of verzenden een veilige omgeving onderhouden. Hosting buiten de CDE introduceert risico's zoals:

Slecht toegangsbeheer en identiteitsbeheer kunnen leiden tot onbevoegde toegang tot gevoelige gegevens en systemen
Onvoldoende logboekregistratie en bewaking van beveiligingsincidenten verhindert detectie en reactie op beveiligingsincidenten
Onvoldoende versleuteling en bescherming tegen bedreigingen verhoogt het risico op gegevensdiefstal en onbevoegde toegang
Slecht of geen beveiligingsbewustzijn en training voor gebruikers kunnen leiden tot vermijdbare sociale engineering-aanvallen, zoals phishing

Volgende stappen

PCI-DSS-vereisten 3, 4, 9 en 12 zijn niet van toepassing op Microsoft Entra-id, daarom zijn er geen bijbehorende artikelen. Als u alle vereisten wilt zien, gaat u naar pcisecuritystandards.org: officiële site van de PCI Security Standards Council.

Zie de volgende artikelen voor het configureren van Microsoft Entra ID om te voldoen aan PCI-DSS.

Delen via