[分享]PCI支付卡產業相關標準指引與要點

分享至

榮譽勳章：

杉仁澄虎 (JCCP)

初學者

點數：660

2009-09-06 21:26:02

前言 PCIDSS(Payment Card Industry Data Security Standard)提出了對於加強支付卡帳戶資料安全的要求。這項標準由Visa International、MasterCard Worldwide、 American Express、Discover Financial Services及JCB等支付卡產業安全標準委員會提出，目的在幫助公司保護支付卡帳戶資料。目前最新的PCIDSS版本是在2006年9月所提出的PCIDSS v1.1。PCIDSS標準包含了對安全治理、政策、流程、網路架構、軟體設計和其他對客戶帳戶資料保護措施的要求。符合PCIDSS標準的要求將可為所有參與支付系統的商家提升品牌信譽，讓顧客對商家的業務更有信心，並達成以下利益： * 隨著顧客信心的增加，商家、服務供應商及銀行的銷售業績一定可同時提升。 * 降低因資料詐欺事件的法律訴訟開支，保障營業額免受因客戶資料盜取的潛在損失。 * 減低因資料洩漏而帶來媒體公開報導的風險，提升商家信譽。例如前陣子某購物台及線上書店所發生的客戶資料外洩事件。 * 提高對保護客戶資料的安全意識，並提供與部署更多預防措施；或可做為對其他相關法規遵循的起點。 * 可減少因資料洩漏而引發盜用交易之額外開支。對於不符合PCIDSS要求的公司最高可處以50萬美元的罰款，更嚴重者可撤消支付卡業務的資格。相對地，Visa亦於2006年12月訂定了所謂的PCI CAP(Compliance Acceleration Program)針對符合PCIDSS的銀行訂定獎勵措施，可以獲得Visa所頒發的紅利或得到Visa賦與較低的資料處理費用。PCIDSS與沙賓法案不同，後者是屬於比較隱諱的規範，可能因Auditors的見解上的差異而有所不同，但PCIDSS是一個規範表達得很明白的標準，可以很清楚地規範出商家與銀行對於符合PCIDSS的要求，因為PCIDSS只要求對持卡人資料從刷卡開始一直到銀行間涉及的資料安全做要求。 PCI標準主要是一個預防性的標準，用來減少相關商家於潛在的支付卡相關詐欺及客戶帳號資料被盜的損失，所以PCI的稽核就是要提供某種程度上的保證，確保商家在有關客戶信用卡相關個人資料的保護上採取有效的安控政策及措施。但因為PCI標準並不像沙賓法案(Sarbanes-Oxley Act)及其他法規一樣具備法律效力，而是支付卡產業安全標準委員會(PCI Security Standard Council)與Acquirer(收單機構，通常是指銀行)之間的契約(Contract)。對於違反契約的商家(Merchants)或服務提供商(Service Providers)，信用卡公司(Brands)得以對銀行要求罰款。

資料來源：
麟瑞科技

回覆會員暱稱：
點數：
等級：初學者

榮譽勳章：初學者
發文篇數：268
回文時間：2009-11-20 20:19:45

謝謝大大的分享

回覆會員暱稱：
點數：
等級：初學者

榮譽勳章：初學者
發文篇數：236
回文時間：2009-11-20 20:19:29

原來事情是這樣子阿

回覆會員暱稱：
點數：
等級：初學者

榮譽勳章：初學者
發文篇數：514
回文時間：2009-11-20 20:19:18

多謝給我新的知識

回覆會員暱稱：
點數：
等級：初學者

榮譽勳章：初學者
發文篇數：500
回文時間：2009-11-19 14:06:50

感謝您的建議在下受用無窮

回覆會員暱稱：菜鳥
點數：5900
等級：知識長

榮譽勳章：知識長
發文篇數：272
回文時間：2009-11-19 14:06:26

回答的真是詳細 3Q3Q

回覆會員暱稱：
點數：
等級：初學者

榮譽勳章：初學者
發文篇數：500
回文時間：2009-11-19 14:06:10

多謝您提供寶貴的知識

回覆會員暱稱：杉仁澄虎
點數：660
等級：初學者

榮譽勳章：初學者
發文篇數：30
回文時間：2009-09-06 21:27:27

PCI稽核要點舉凡支付卡產業的零售商、銀行及服務提供者都必須依照交易量筆數通過PCI不同等級的要求，例如交易量超過600萬筆的店家都屬於Level 1等級，這些零售商、銀行及服務提供者必須要通過合格的PCI稽核機構所進行的包括年度稽核、季的網路稽核、自我評估問卷(Self-Assessment Questionnaire, SAQ)及現場審查(Onsite review)等。 PCIDSS標準的要求重點 PCIDSS涵蓋六大領域及十二項要求，以下就此6大領域與PCIDSS SAP (Security Audit Procedures)之間的關係、牽涉技術範圍、重點技術及PCIDSS SAQ做一闡述，供讀者做為建置符合PCIDSS標準的參考。一、建立並維護安全的網路要求 1: 安裝並且維護防火牆以保護持卡人資訊要求 2: 避免使用供應商提供的預設系統密碼和其他安全參數 SAP中Tested Procedures相關項目為38項牽涉技術範圍：Firewall, VPN, routers, configuration, management software, network nodes, and computing devices 重點觀念： 1.Egress Filtering: PCI稽核範圍僅局限於PCI in-scope環境，一般而言持卡人資料在持卡人刷卡後會經由私有網路(SSL、VPN、MPLS VPN或Frame-Relay Virtual Circuit)經由Hub-and-Spoke網路架構連回資料處理商，資料在從刷卡後一路回到資料處理商的整個路徑都是屬於PCI in-scope的範圍，而中間可能經過數個Routers。商家可能必須在Router上設定egress filtering規則來確保持卡人資料只會傳回PCI in-scope的網路，所以這些非處與PCI in-scope範圍中的其他網路界限並不需受到PCI稽核要點的限制。據統計有很大比例的商家在被稽核時發現未符合egress filtering事項，這是因為一般觀念比較注重ingress filtering，也就是針對外部進入內部網路的存取控制，但是PCIDSS強調的是持卡人資料從刷卡開始一路到資料處理中心的安全，所以Auditors在稽核時會審查是否有egress filtering機制及相關的文件及程序做佐證。 2.資料庫主機的位置 PCIDSS要求即使是提供對外營運的資料庫主機不得放置於DMZ區，必須要放置在另一個獨立於其他外部主機的安全區域。 3. 無線網路安全與加密 PCIDSS要求商家必須將無線網路在安全性上視同是外部網路，在無線網路與內部網路之間必須要部署防火牆。防火牆上的設定必須從嚴限制，只允許信用卡業務相關的IP及Port通過。除非你能保證所使用無線網路與持卡人資料無關，否則必須將無線網路視同是in-scope環境。 4.權責分離(Segregation of Duties) PCIDSS Section 2.2.1要求主機必須符合權責分離原則，也就是單一主機只能提供單一服務，例如DNS主機只能提供DNS服務。但是考量到業務特殊性可以允許使用補償措施(Compensating Controls)，例如某些商家的POS系統必須同時支援非POS業務時，可以考慮使用虛擬機。 PCIDSS SAQ評估項目例釋： l所有路由器、交換器、無線接入點以及防火牆設定檔資料是否有保護並文件化？ l是否有在所有邊界路由器上設定egress和ingress的filtering，以防止偽造IP地址的通過？ l支付卡帳戶資訊是否儲存到位於內部網路（非DMZ）的資料庫，並用防火牆加以保護？ l使用無線技術時，防火牆是否存在於無線網路和支付卡環境之間？ l是否已配置防火牆，以通過網路位址轉換來轉換（隱藏）內部IP位址？二、保護持卡人資料要求 3: 保護儲存的持卡人資料要求 4: 加密開放/公共網路上的持卡人資料傳輸 SAP中Tested Procedures相關項目為34項牽涉技術範圍：Cryptography, Key management 重點觀念： 1.持卡人資料的保護為PCIDSS標準的核心，PCIDSS要求在持卡人資料經過證授權後，所有磁性記錄、信用卡查核碼(CVV2)及PIN碼等都不可被儲存。商家可以經由確認POS系統是否有任何持卡人資料的磁性記錄，另外應用程式及系統主機皆需被reviewed確保沒有任何debugging log或交易的log及trace files存有有關持卡人的資料。電腦鑑識工具也有助於達成此項要求，例如EnCase Enterprise分析工具可以針對整個磁碟鏡像做磁性記錄分析，以確保沒有任何持卡人的資料被非法儲存。 2. 加密及密鑰管理PCIDSS考量到業務特殊性亦可以使用補償措施，允許商家可以在部分情況下不使用加密。Visa的CAP計畫就有針對使用加密技術加密包括持卡人CVV2及PIN的商家提供獎勵。商家可以向POS系統商要求使用POS加密機制或可以考慮使用OASIS的一個Open Source的EKMI(Enterprise Key Management Infrastructure)來整合POS系統。如果要儲存持卡人的PAN(Primary Account Number)資訊可使用Hash技術或亦可使用另一種位元掩蓋機制(Marking)使PAN資訊不可讀(Unreadable)。 PCIDSS SAQ評估項目例釋： l是否禁止在資料庫、日誌檔或POS系統中儲存信用卡驗證碼？ l顯示持卡人資料時，除了帳號的最後4位外，是否無法看到其他所有的數字？ l是否通過例如加密的方式安全地儲存（在資料庫、日誌檔、備份介質中）帳號？ l當通過公共網路傳輸敏感的持卡人資料時，是否使用SSL或其他行業可接受的方法進行加密？ l使用無線技術時，是否使用WPA、VPN、128位SSL或WEP進行通信加密？ l通過電子郵件傳輸帳號時，是否進行加密？三、維護一個弱點管理計劃要求 5: 使用定期升級的防毒軟體要求 6: 開發並維護安全的系統和應用程式 SAP中Tested Procedures相關項目為33項牽涉技術範圍：Anti-virus, patch management; Web application firewall; change management system 重點觀念： 1.Web application firewall (網頁應用程式防火牆) PCIDSS 6.3.2、6.3.3、6.3.7b都有提到有關開發的控制措施，要求有關系統開發、測試及上線的環境要分離，並一并要求系統開發、測試及上線的權責分離(Separation of Duties)，以及程式碼在開發及變更上的審查。對於客製化的應用程必需按照SDLC(System Development Life Cycle)系統開發生命周期的概念來進行。對於Level 1的商家來說，Code Review必須強制由外部合格的Auditors來做審查。 2.PCIDSS v1.1特別對網頁應用程式安全做出說明，基本上將其分為兩類：對外存取的網頁應用程式及內部使用的網頁應用程式。內部使用的網頁應用程式只需由原程式開發人員以外的程式設計師做Code Review即可，但對外存取的網頁應用程式必須由合格的外部單位做Code Review。除此之外，PCIDSS v1.1的補償措施亦允許WAF(Web Application Firewall)的使用即可不必做Code Review。但問題是PCIDSS並無對WAF做明確的定義，市場上相似的產品很多，所以只要能達到網頁應用程式安全的目的即可，例如Fortify Software的Defender亦符合PCIDSS要求，但它並不真正算是WAF設備。 PCIDSS SAQ評估項目例釋： l是否用供應商發佈的最新安全補丁來更新開發、測試及生產系統？ l軟體及應用程式開發過程是否建立軟體發展生命週期（SDLC）過程？ l生產資料用於測試和開發時，在使用之前，敏感的持卡人資料是否已清理？ l在網頁應用程式的開發過程中，是否使用OWASP的Development Guide？ l敏感的持卡人資料是否儲存在安全或已加密的Cookie中？ l伺服器端的控制能否防止SQL Injection攻擊和其他繞過用戶端Scripts控制的攻擊？四、實施強有力的存取控制措施要求 7: 根據業務需要限制對持卡人資料的存取要求 8: 為每一個具有電腦存取許可權的用戶分配唯一的ID 要求 9: 限制對於持卡人資料的實體存取 SAP中Tested Procedures相關項目為50項牽涉技術範圍：ID management systems; directory services; two-factor authentication; physical access control; devices (video monitoring, badges); media control; systems 重點觀念： 1.Two-factor authentication 在商家的POS系統上實作Unique ID有其困難處，因此商家可能必須使用其他解決方案或補償措施(Compensating Controls)以達成要求。PCIDSS Requirement 8.3對於可以涉及到持卡人資料的儲存、處理及傳送的帳戶要求必須使用Two-factor authentication(最通用的方式是使用One-time Password)。而對於毋需時常接觸到PCI in-scope網路的一般使用者可以使用VPN的方式加以做認證。 2.Access Authentication PCIDSS Requirement 8.5.16a要求對所有儲存有持卡人資料的資料庫存取做認證，並且必須審查資料庫設定以確保所有對資料庫的存取(包括所有使用者及應用程式等)是經過認證授權的。Requirement 8.5.16b並要求除系統管理員外，直接對資料庫做SQL查詢是不被允許的。 3.Video Monitoring PCIDSS Requirement 9.1.1要求需對敏感區域做攝影監控，尤其是針對PCI in-scope的區域。 PCIDSS SAQ評估項目例釋： l是否所有網路設備和系統的密碼都進行了加密？ l員工離開公司時，該員工的帳戶和密碼是否立即失效？ l是否定期檢查所有帳戶，以確保不存在惡意、過期或不明帳戶？ l是否禁止共用帳戶和密碼？ l是否要求按預定的時間定期更換密碼？是否有密碼策略強制使用堅固的密碼？ l是否有帳戶鎖定機制，以阻止惡意用戶通過暴力密碼破解(Password Brute-force)？五、定期監視並測試網路要求 10: 追蹤並監控對網路資源和持卡人資料的所有存取要求 11：定期測試安全系統和流程 SAP中Tested Procedures相關項目為39項牽涉技術範圍：Log management system, network time protocol (NTP) 重點觀念： 1.Log management system 跟弱點掃瞄一樣，其實Log的管理是很容易實現的控制措施。但是實作的重點是要如果確保這些稽核記錄不會被變更。可以利用建置Log Management System(LMS)來輔助，包括電腦鑑識工具及Monitoring工具的使用。PCIDSS requirement 10.7要求商家必須對稽核軌跡(Audit Trail)保留至少一年的歷史資料；Requirement 10.5則要求對稽核軌跡做必要的安全措施。 2.NTP的使用以確保所有Log記錄的時間一致。 3.弱點掃瞄 PCIDSS Requirement 11.2a及11.2b要求商家要進行弱點掃瞄。 4.File Integrity Monitoring (FIM) PCIDSS Requirement 11.5要求監控檔案一致性(FIM)軟體的使用，對於所有牽涉到持卡人資料的設備皆要求使用FIM。但商家亦可使用銀行認可的具同等控制目標的補償措施而不使用FIM。 PCIDSS SAQ評估項目例釋： l是否對所有持卡人資料的存取（包括超級用戶/管理員用戶的訪問）進行記錄？ l存取記錄是否包含成功或失敗的登錄嘗試，還有資料庫記錄呢？ l是否使用NTP確保設備時間同步？ l是否定期檢查防火牆、路由器、無線接入點和驗證伺服器的日誌，以防範未經授權的交易發生？ l網路中是否使用入侵偵測防護系統並且持續監控IPS的警報，並安裝最新的Signatures？ l所有對外開放的網頁應用程式和系統在上線前是否進行弱點掃描和滲透測試？六、維護一個資訊安全政策要求 12: 維護一個政策用以向員工和3rd-Party傳達資訊安全 SAP中Tested Procedures相關項目為39項牽涉技術範圍：弱點掃瞄, 內外部的滲透測試,入侵偵測防禦系統, File Integrity Monitoring (FIM) 重點觀念：Policy Enforcement。資訊安全政策的建立及宣導，員工資訊安全教育訓練等。 PCIDSS SAQ評估項目例釋： l是否向所有系統用戶（包括外包商和其他3rd-Party）發佈資訊安全政策？ l是否至少每年一次檢查資訊安全政策，並在需要時進行更新？ l資訊安全的角色和責任在公司內是否已明確定義？ l是否所有員工都具有最新的資訊安全意識(Awareness)和資安訓練課程？ l安全事件的應變計畫是否已文件化以及是否有向資安長彙報？ l在持卡人資料洩露時，是否有資安事故應變小組隨時準備鑑識工作？結論 PCIDSS是由世界主流的信用卡公司一起制定的全球性標準。通過此標準的規範可有效防範信用卡詐欺行為。通過PCIDSS來保護持卡人資料和保障資料傳輸的安全，絕對會幫企業帶來經濟效益。 PCIDSS標準認識到網路安全的重要性，但是為了實現這個目標必須達到一些技術上的要求，對商家來說，光是保證網路的安全是不夠的，還必須通過其他技術上的方法來實現所有服務的安全，以及提供更安全的存取並確保持卡人資料的安全。從法規的單一要求方面來看，是有很多廠商的產品能滿足要求，比方網頁應用程式防火牆、資料庫稽核及資料庫防火牆等方面的產品。但是法規遵從涵蓋的是一個整體領域，信用卡商家真正需要的是一個能提供End-to-End安全的解決方案。

資料來源：
麟瑞科技