Delen via

Microsoft Entra ID en PCI-DSS-vereiste 5

  • Artikel

Vereiste 5: Alle systemen en netwerken beveiligen tegen vereisten voor schadelijke software-gedefinieerde
benaderingen

5.1 Processen en mechanismen voor het beveiligen van alle systemen en netwerken tegen schadelijke software worden gedefinieerd en begrepen.

Vereisten voor gedefinieerde PCI-DSS-benadering Richtlijnen en aanbevelingen voor Microsoft Entra
5.1.1 Alle beveiligingsbeleidsregels en operationele procedures die zijn geïdentificeerd in vereiste 5 zijn:
Gedocumenteerd
up-to-date
in gebruik
Bekend bij alle betrokken partijen		 Gebruik de richtlijnen en koppelingen hier om de documentatie te produceren om te voldoen aan de vereisten op basis van uw omgevingsconfiguratie.
5.1.2 Rollen en verantwoordelijkheden voor het uitvoeren van activiteiten in vereiste 5 worden gedocumenteerd, toegewezen en begrepen. Gebruik de richtlijnen en koppelingen hier om de documentatie te produceren om te voldoen aan de vereisten op basis van uw omgevingsconfiguratie.

5.2 Schadelijke software (malware) wordt voorkomen of gedetecteerd en geadresseerd.

Vereisten voor gedefinieerde PCI-DSS-benadering Richtlijnen en aanbevelingen voor Microsoft Entra
5.2.1 Een antimalwareoplossing(en) wordt geïmplementeerd op alle systeemonderdelen, met uitzondering van die systeemonderdelen die zijn geïdentificeerd in periodieke evaluaties per vereiste 5.2.3, waardoor de systeemonderdelen geen risico lopen op malware. Beleid voor voorwaardelijke toegang implementeren waarvoor apparaatcompatibiliteit is vereist. Gebruik nalevingsbeleid om regels in te stellen voor apparaten die u beheert met Intune
Apparaatnalevingsstatus integreren met antimalwareoplossingen. Naleving afdwingen voor Microsoft Defender voor Eindpunt met voorwaardelijke toegang in Intune
Mobile Threat Defense-integratie met Intune
5.2.2 De geïmplementeerde antimalwareoplossing(en):
Detecteert alle bekende soorten malware. Verwijdert, blokkeert of bevat alle bekende soorten malware.		 Niet van toepassing op Microsoft Entra-id.
5.2.3 Alle systeemonderdelen die geen risico lopen op malware, worden periodiek geëvalueerd om het volgende op te nemen:
Een gedocumenteerde lijst met alle systeemonderdelen die niet risico lopen op malware.
Identificatie en evaluatie van veranderende malwarebedreigingen voor deze systeemonderdelen.
Bevestiging of dergelijke systeemonderdelen geen antimalwarebeveiliging vereisen.		 Niet van toepassing op Microsoft Entra-id.
5.2.3.1 De frequentie van periodieke evaluaties van systeemonderdelen die zijn geïdentificeerd als niet risico voor malware, wordt gedefinieerd in de gerichte risicoanalyse van de entiteit, die wordt uitgevoerd op basis van alle elementen die zijn opgegeven in Vereiste 12.3.1. Niet van toepassing op Microsoft Entra-id.

5.3 Antimalwaremechanismen en -processen worden actief, onderhouden en bewaakt.

Vereisten voor gedefinieerde PCI-DSS-benadering Richtlijnen en aanbevelingen voor Microsoft Entra
5.3.1 De antimalwareoplossing(en) wordt actueel gehouden via automatische updates. Niet van toepassing op Microsoft Entra-id.
5.3.2 De antimalwareoplossing(en):
voert periodieke scans en actieve of realtime scans uit.
OR
voert continue gedragsanalyse van systemen of processen uit.		 Niet van toepassing op Microsoft Entra-id.
5.3.2.1 Als periodieke malwarescans worden uitgevoerd om te voldoen aan vereiste 5.3.2, wordt de frequentie van scans gedefinieerd in de gerichte risicoanalyse van de entiteit, die wordt uitgevoerd op basis van alle elementen die zijn opgegeven in Vereiste 12.3.1. Niet van toepassing op Microsoft Entra-id.
5.3.3 Voor verwisselbare elektronische media voert de antimalwareoplossing(en)
automatische scans uit wanneer de media worden ingevoegd, verbonden of logisch zijn gekoppeld,
OF
voert continue gedragsanalyse van systemen of processen uit wanneer de media wordt ingevoegd, verbonden of logisch gekoppeld.		 Niet van toepassing op Microsoft Entra-id.
5.3.4 Auditlogboeken voor de antimalwareoplossing(en) zijn ingeschakeld en bewaard overeenkomstig vereiste 10.5.1. Niet van toepassing op Microsoft Entra-id.
5.3.5 Antimalwaremechanismen kunnen niet worden uitgeschakeld of gewijzigd door gebruikers, tenzij specifiek gedocumenteerd en geautoriseerd door beheer gedurende een beperkte periode. Niet van toepassing op Microsoft Entra-id.

5.4 Antiphishingmechanismen beschermen gebruikers tegen phishingaanvallen.

Vereisten voor gedefinieerde PCI-DSS-benadering Richtlijnen en aanbevelingen voor Microsoft Entra
5.4.1 Processen en geautomatiseerde mechanismen zijn aanwezig om personeel te detecteren en te beschermen tegen phishingaanvallen. Configureer De Microsoft Entra-id voor het gebruik van phishingbestendige referenties. Implementatieoverwegingen voor phishingbestendig MFA
Gebruik besturingselementen in voorwaardelijke toegang om verificatie met phishingbestendige referenties te vereisen. Richtlijnen voor de sterkte
van voorwaardelijke toegang hebben betrekking op de configuratie van identiteits- en toegangsbeheer. Als u phishingaanvallen wilt beperken, implementeert u workloadmogelijkheden, zoals in Microsoft 365. Bescherming tegen phishing in Microsoft 365

Volgende stappen

PCI-DSS-vereisten 3, 4, 9 en 12 zijn niet van toepassing op Microsoft Entra-id, daarom zijn er geen bijbehorende artikelen. Als u alle vereisten wilt zien, gaat u naar pcisecuritystandards.org: officiële site van de PCI Security Standards Council.

Zie de volgende artikelen voor het configureren van Microsoft Entra ID om te voldoen aan PCI-DSS.