Dela via

Microsoft Entra ID och PCI-DSS Krav 2

  • Artikel

Krav 2: Tillämpa säkra konfigurationer på alla systemkomponenters
definierade metodkrav

2.1 Processer och mekanismer för att tillämpa säkra konfigurationer på alla systemkomponenter definieras och förstås.

Krav för PCI-DSS-definierad metod Vägledning och rekommendationer för Microsoft Entra
2.1.1 Alla säkerhetsprinciper och operativa förfaranden som identifieras i krav 2 är:
Dokumenterad
uppdaterad
Användning
Känd för alla berörda parter		 Använd vägledningen och länkarna häri för att skapa dokumentationen för att uppfylla kraven baserat på din miljökonfiguration.
2.1.2 Roller och ansvarsområden för att utföra aktiviteter i krav 2 dokumenteras, tilldelas och förstås. Använd vägledningen och länkarna häri för att skapa dokumentationen för att uppfylla kraven baserat på din miljökonfiguration.

2.2 Systemkomponenter konfigureras och hanteras på ett säkert sätt.

Krav för PCI-DSS-definierad metod Vägledning och rekommendationer för Microsoft Entra
2.2.1 Konfigurationsstandarderna utvecklas, implementeras och underhålls för att:
Täcka alla systemkomponenter.
Åtgärda alla kända säkerhetsrisker.
Var konsekvent med branschgodkända systemhärdningsstandarder eller leverantörshärdningsrekommendationer.
Uppdateras när nya sårbarhetsproblem identifieras enligt definitionen i Krav 6.3.1.
Tillämpas när nya system konfigureras och verifieras som på plats före eller omedelbart efter att en systemkomponent är ansluten till en produktionsmiljö.		 Se guide för Microsoft Entra-säkerhetsåtgärder
2.2.2 Leverantörsstandardkonton hanteras på följande sätt:
Om leverantörens standardkonton används ändras standardlösenordet enligt krav 8.3.6.
Om leverantörens standardkonton inte används tas kontot bort eller inaktiveras.		 Gäller inte för Microsoft Entra-ID.
2.2.3 Primära funktioner som kräver olika säkerhetsnivåer hanteras på följande sätt:
Endast en primär funktion finns på en systemkomponent,
ELLER
Primära funktioner med olika säkerhetsnivåer som finns på samma systemkomponent är isolerade från varandra,
ELLER
Primära funktioner med olika säkerhetsnivåer på samma systemkomponent är alla skyddade till den nivå som krävs av funktionen med det högsta säkerhetsbehovet.		 Lär dig mer om att bestämma roller med minst privilegier. Minst privilegierade roller efter uppgift i Microsoft Entra ID
2.2.4 Endast nödvändiga tjänster, protokoll, daemoner och funktioner är aktiverade och alla onödiga funktioner tas bort eller inaktiveras. Granska Microsoft Entra-inställningarna och inaktivera oanvända funktioner. Fem steg för att skydda din identitetsinfrastruktur
Microsoft Entra-säkerhetsåtgärdsguide
2.2.5 Om det finns några osäkra tjänster, protokoll eller daemoner:
Affärsmotivering dokumenteras.
Ytterligare säkerhetsfunktioner dokumenteras och implementeras som minskar risken för att använda osäkra tjänster, protokoll eller daemoner.		 Granska Microsoft Entra-inställningarna och inaktivera oanvända funktioner. Fem steg för att skydda din identitetsinfrastruktur
Microsoft Entra-säkerhetsåtgärdsguide
2.2.6 Systemsäkerhetsparametrar är konfigurerade för att förhindra missbruk. Granska Microsoft Entra-inställningarna och inaktivera oanvända funktioner. Fem steg för att skydda din identitetsinfrastruktur
Microsoft Entra-säkerhetsåtgärdsguide
2.2.7 All icke-administrativ åtkomst krypteras med stark kryptografi. Microsoft Entra ID-gränssnitt, till exempel hanteringsportalen, Microsoft Graph och PowerShell, krypteras under överföring med hjälp av TLS. Aktivera stöd för TLS 1.2 i din miljö för Utfasning av Microsoft Entra TLS 1.1 och 1.0

2.3 Trådlösa miljöer konfigureras och hanteras på ett säkert sätt.

Krav för PCI-DSS-definierad metod Vägledning och rekommendationer för Microsoft Entra
2.3.1 För trådlösa miljöer som är anslutna till CDE eller överför kontodata ändras alla standardvärden för trådlösa leverantörer vid installationen eller bekräftas vara säkra, inklusive men inte begränsat till:
Standard trådlösa krypteringsnycklar
Lösenord på trådlösa åtkomstpunkter
SNMP standardinställningar
För andra säkerhetsrelaterade trådlösa leverantörer		 Om din organisation integrerar nätverksåtkomstpunkter med Microsoft Entra-ID för autentisering läser du Krav 1: Installera och underhålla nätverkssäkerhetskontroller.
2.3.2 För trådlösa miljöer som är anslutna till CDE eller överför kontodata ändras trådlösa krypteringsnycklar enligt följande:
När personal med kunskap om nyckeln lämnar företaget eller den roll som kunskapen var nödvändig för.
När en nyckel misstänks för eller är känd för att vara komprometterad.		 Gäller inte för Microsoft Entra-ID.

Nästa steg

PCI-DSS-kraven 3, 4, 9 och 12 gäller inte för Microsoft Entra-ID, därför finns det inga motsvarande artiklar. Om du vill se alla krav går du till pcisecuritystandards.org: Officiell PCI Security Standards Council Site.

Information om hur du konfigurerar Microsoft Entra-ID för att följa PCI-DSS finns i följande artiklar.