Microsoft Entra ID en PCI-DSS Vereiste 5

Vereiste 5: Alle systemen en netwerken beschermen tegen schadelijke software
Vastgestelde benaderingsvereisten

5.1 Processen en mechanismen voor het beveiligen van alle systemen en netwerken tegen schadelijke software worden gedefinieerd en begrepen.

Vereisten voor gedefinieerde PCI-DSS-benadering Richtlijnen en aanbevelingen voor Microsoft Entra
5.1.1 Alle beveiligingsbeleidsregels en operationele procedures die zijn geïdentificeerd in vereiste 5 zijn:
Gedocumenteerd
up-to-date
in gebruik
Bekend bij alle betrokken partijen		 Gebruik de richtlijnen en koppelingen hier om de documentatie te produceren om te voldoen aan de vereisten op basis van uw omgevingsconfiguratie.
5.1.2 Rollen en verantwoordelijkheden voor het uitvoeren van activiteiten in vereiste 5 worden gedocumenteerd, toegewezen en begrepen. Gebruik de richtlijnen en koppelingen hier om de documentatie te produceren om te voldoen aan de vereisten op basis van uw omgevingsconfiguratie.

5.2 Schadelijke software (malware) wordt voorkomen of gedetecteerd en geadresseerd.

Vereisten voor gedefinieerde PCI-DSS-benadering Richtlijnen en aanbevelingen voor Microsoft Entra
5.2.1 Een antimalwareoplossing(en) wordt geïmplementeerd op alle systeemonderdelen, met uitzondering van die systeemonderdelen die zijn geïdentificeerd in periodieke evaluaties per vereiste 5.2.3, waardoor de systeemonderdelen geen risico lopen op malware. Implementeer beleid voor voorwaardelijke Access waarvoor apparaatcompatibiliteit is vereist. Gebruik nalevingsbeleid om regels in te stellen voor apparaten die u beheert met Intune
Apparaatnalevingsstatus integreren met antimalwareoplossingen. Handhaaf naleving voor Microsoft Defender voor Eindpunt met Voorwaardelijke Toegang in Intune
Mobile Threat Defense-integratie met Intune
5.2.2 De geïmplementeerde antimalwareoplossing(en):
Detecteert alle bekende soorten malware. Verwijdert, blokkeert of bevat alle bekende soorten malware.		 Niet van toepassing op Microsoft Entra ID.
5.2.3 Alle systeemonderdelen die geen risico lopen op malware, worden periodiek geëvalueerd om het volgende op te nemen:
Een gedocumenteerde lijst met alle systeemonderdelen die niet risico lopen op malware.
Identificatie en evaluatie van veranderende malwarebedreigingen voor deze systeemonderdelen.
Bevestiging of dergelijke systeemonderdelen nog steeds geen antimalwarebeveiliging vereisen.		 Niet van toepassing op Microsoft Entra ID.
5.2.3.1 De frequentie van periodieke evaluaties van systeemonderdelen die zijn geïdentificeerd als niet risico voor malware, wordt gedefinieerd in de gerichte risicoanalyse van de entiteit, die wordt uitgevoerd op basis van alle elementen die zijn opgegeven in Vereiste 12.3.1. Niet van toepassing op Microsoft Entra ID.

5.3 Antimalwaremechanismen en -processen worden actief, onderhouden en bewaakt.

Vereisten voor gedefinieerde PCI-DSS-benadering Richtlijnen en aanbevelingen voor Microsoft Entra
5.3.1 De antimalwareoplossing(en) wordt actueel gehouden via automatische updates. Niet van toepassing op Microsoft Entra ID.
5.3.2 De antimalwareoplossing(en):
voert periodieke scans en actieve of realtime scans uit.
OR
voert continue gedragsanalyse van systemen of processen uit.		 Niet van toepassing op Microsoft Entra ID.
5.3.2.1 Als periodieke malwarescans worden uitgevoerd om te voldoen aan vereiste 5.3.2, wordt de frequentie van scans gedefinieerd in de gerichte risicoanalyse van de entiteit, die wordt uitgevoerd op basis van alle elementen die zijn opgegeven in Vereiste 12.3.1. Niet van toepassing op Microsoft Entra ID.
5.3.3 Voor verwisselbare elektronische media voert de antimalwareoplossing(en)
automatische scans uit wanneer de media worden ingevoegd, verbonden of logisch zijn gekoppeld,
OF
voert continue gedragsanalyse van systemen of processen uit wanneer de media wordt ingevoegd, verbonden of logisch gekoppeld.		 Niet van toepassing op Microsoft Entra ID.
5.3.4 Auditlogboeken voor de antimalwareoplossing(en) zijn ingeschakeld en bewaard overeenkomstig vereiste 10.5.1. Niet van toepassing op Microsoft Entra ID.
5.3.5 Antimalwaremechanismen kunnen niet worden uitgeschakeld of gewijzigd door gebruikers, tenzij specifiek gedocumenteerd en geautoriseerd door beheer gedurende een beperkte periode. Niet van toepassing op Microsoft Entra ID.

5.4 Antiphishingmechanismen beschermen gebruikers tegen phishingaanvallen.

Vereisten voor gedefinieerde PCI-DSS-benadering Richtlijnen en aanbevelingen voor Microsoft Entra
5.4.1 Processen en geautomatiseerde mechanismen zijn aanwezig om personeel te detecteren en te beschermen tegen phishingaanvallen. Configureer Microsoft Entra ID om phishingbestendige referenties te gebruiken. Implementatieoverwegingen voor phishing-resistente MFA
Gebruik controles in Voorwaardelijke Toegang om authenticatie met phishing-resistente inloggegevens te vereisen. Conditional Access verificatiesterkte
De richtlijnen hebben betrekking op identiteits- en toegangsbeheerconfiguratie. Als u phishingaanvallen wilt beperken, implementeert u workloadmogelijkheden, zoals in Microsoft 365. Antiphishingbeveiliging in Microsoft 365

Volgende stappen

PCI-DSS vereisten 3, 4, 9 en 12 zijn niet van toepassing op Microsoft Entra ID, daarom zijn er geen overeenkomstige artikelen. Als u alle vereisten wilt zien, gaat u naar pcisecuritystandards.org: officiële site van de PCI Security Standards Council.

Zie de volgende artikelen om Microsoft Entra ID te configureren om te voldoen aan PCI-DSS.

  • Last updated on