PCI DSS v4.0.1 Sızma Testi (Gereksinim 11.4)

PCI DSS (Payment Card Industry Data Security Standard), PCI Security Standards Council (PCI SSC) tarafından yayımlanan kart verisi güvenlik standardıdır. Güncel sürüm, Haziran 2024'te yayımlanan v4.0.1'dir.

Kart sahibi verisini saklayan, işleyen veya ileten ya da bu ortamın güvenliğini etkileyebilen tüm kuruluşları kapsar: üye işyerleri, e-ticaret siteleri, ödeme kuruluşları ve hizmet sağlayıcılar. Uyumun nasıl doğrulanacağı kart markaları ve ödeme altyapı sağlayıcınızın beklentilerine göre değişir.

• Metodoloji (11.4.1): Sektörce kabul görmüş yaklaşım; tüm CDE çevresi ve kritik sistemler; ağın içinden ve dışından test; uygulama katmanı ve ağ katmanı testleri; sonuçların en az 12 ay saklanması.
• İç ve dış sızma testi (11.4.2, 11.4.3): En az 12 ayda bir ve her önemli altyapı veya uygulama yükseltmesi ya da değişikliğinden sonra; nitelikli iç kaynak veya nitelikli dış üçüncü tarafça; test edenin organizasyonel bağımsızlığı sağlanarak. Test edenin QSA veya ASV olması gerekmez.
• Düzeltme ve tekrar test (11.4.4): İstismar edilebilir açıklar risk değerlendirmesine göre giderilir ve düzeltmeler tekrar test edilir.
• Segmentasyon testi (11.4.5, 11.4.6): CDE segmentasyonla ayrılıyorsa en az 12 ayda bir ve segmentasyon değişikliklerinden sonra; hizmet sağlayıcılarda en az altı ayda bir.
• Dış zafiyet taraması (11.3.2): En az üç ayda bir, PCI SSC onaylı bir tarama sağlayıcısı (ASV) tarafından yapılır.

Nokta Guard bir ASV veya QSA değildir. Üç aylık ASV taramaları için PCI SSC onaylı bir ASV ile, uyum değerlendirmesi için QSA'nız veya ödeme altyapı sağlayıcınızla çalışmanız gerekir; sızma testi tarafında bu süreçlerle uyumlu çalışırız.

• CDE kapsamının ve veri akışının belirlenmesi, 11.4.1'e uygun yazılı test metodolojisi.
• Dış ve iç ağ sızma testi, ödeme sayfaları ve API'ler için uygulama katmanı testi.
• Segmentasyon kontrollerinin etkinliğini doğrulayan segmentasyon testi.
• Değerlendiricinin izleyebileceği, gereksinimlere eşlenmiş rapor ve 11.4.4 kapsamında doğrulama testi.