Назорат ва сертификатсияи PCI DSS
1) Чӣ PCI DSS аст ва чаро он барои IGaming муҳим аст
PCI DSS стандарти бехатарӣ барои саноати корти пардохт мебошад (Visa/Mastercard/Amex/Discover/JCB). Барои оператори IGaming, он чораҳои техникӣ ва ташкилиро барои ҳифзи маълумоти дорандагони корт (CHD), аз ҷумла PAN ва маълумоти ҳассоси аутентификатсия (SAD) муайян мекунад. Тафовут бо ҷарима, баланд шудани тарифҳои байнибонкӣ, ба хотир овардани суратҳисоби савдогарон ва зарари обрӯ таҳдид мекунад.
2) Нақшҳо, сатҳҳо ва намуди сертификатсия
Нақшҳо
Тоҷир: Кортҳои бозингаронро қабул мекунад.
Провайдери хидматрасон: равандҳо/хостҳо/мағозаҳо CHD барои тоҷирон (аз ҷумла хостинг, платформаи пардохт, токенизатсия).
Сатҳҳо (сатҳи баланд)
Сатҳи тоҷирон 1-4: аз рӯи муомилоти солона; Сатҳи 1 одатан ROC (Ҳисобот дар бораи мувофиқат) аз QSA талаб мекунад.
Сатҳи провайдери хидматрасон 1-2: Сатҳи 1 як ROC ҳатмист.
Форматҳои арзёбӣ
ROC + AOC: ҳисоботи пурраи аудитор (QSA/ISA).
SAQ: худбаҳодиҳӣ аз рӯи яке аз намудҳо (ба зер нигаред) ва инчунин сканкунии берунии ASV.
3) Соҳа ва CDE: Чӣ гуна танг кардан ва идора кардан
CDE (Cardholder Data Environment) - ҳама гуна системаҳо/шабакаҳо/равандҳое, ки CHD/SAD-ро нигоҳ медоранд, коркард ё интиқол медиҳанд.
Стратегияҳои минималӣ
1. Саҳифаи пардохтҳои мизбон (НБО): PSP → SAQ A форма.
2. Direct Post/JS + саҳифаи шумо (A-EP): саҳифаи шумо ба бехатарии ҷамъоварии SAQ A-EP → (васеътар) таъсир мерасонад.
3. Токенизатсия: мубодилаи PAN барои аломати PSP/аломати шумо; PAN бо шумо нигоҳ дошта намешавад.
4. Тақсимоти шабака: изолятсияи CDE (VLAN/firewalls/ACL), трафикро кам кунед.
5. Сиёсати "нигаҳдорӣ": PAN/SAD-ро нигоҳ надоред; истисноҳо ба таври қатъӣ асоснок карда мешаванд.
4) Намудҳои SAQ (ҷамъбаст карда мешаванд)
5) PCI DSS v4. 0: мавзӯъҳои асосӣ
Равиши фармоишӣ: назорати алтернативиро дар баробарии исботшуда имкон медиҳад (нақша, TRA, асоснокии санҷиш).
Таҳлили мақсадноки хавфҳо (TRA): таҳлили хатари нуқта барои талаботҳои "фасеҳ" (басомади раванд, мониторинг).
Аутентификатсия: ВКХ барои администратор ва дастрасии дурдаст; паролҳо/гузарвожаҳои қавӣ; қуфлҳо/вақтҳо.
Осебпазирӣ ва часпакҳо: сканҳои мунтазам (дохилӣ/беруна), ҳар семоҳа ASV, пентестҳо ҳар сол ва пас аз тағироти назаррас.
Рамзгузорӣ: дар транзит (TLS 1). 2 +) и дар истироҳат; идоракунии калидӣ (KMS/HSM), ротатсия, тақсимоти нақш.
Гузоришҳо ва мониторинг: гузоришҳои мутамарказ, муҳофизат аз тағирот (WORM/имзо), баррасии ҳаррӯзаи рӯйдодҳои амниятӣ.
Сегментатсия/деворҳо/WAF: қоидаҳои расмӣ, баррасӣ, топологияҳои ҳуҷҷатгузорӣ.
SDLC/тағирот: dev/test/prod ҷудо, SAST/DAST/вобастагӣ, идоракунии махфӣ.
Ҳодисаҳо: ҲНИТ-и расмӣ, машқҳо, нақшҳо ва рӯйхати тамос, ҳамкорӣ бо PSP/бонки бадастомада.
6) Маълумоти корт: чӣ наметавонад/наметавонад
CHD: PAN (+ ихтиёрӣ). ном, истилоҳ, рамзи хидмат).
SAD (пас аз иҷозат нигоҳ доштан манъ аст): CVV/CVC, роҳҳои пурраи магнитӣ, блокҳои PIN.
Маска: Намоиши PAN бо ниқоб (одатан аввал 6 ва охирин 4).
Токенизатсия/нигоҳдорӣ: агар шумо рамзгузории PAN → -ро нигоҳ доред, дастрасӣ ба дониш, калидҳо алоҳида, гузоришҳои сахт.
7) Доменҳои назоратӣ (рӯйхати амалии назоратӣ)
1. Сегментатсияи CDE - зершабақаҳои алоҳида, бо нобаёнӣ, egress-control.
2. Инвентаризатсияи дороиҳо - ҳамаи системаҳо дар CDE ва алоқаманд.
3. Hardning - конфигуратсияҳои бехатар, қатъкунии пешфарз, стандартҳои асосӣ.
4. Осебпазирӣ/часбҳо - равандҳо, SLA, тасдиқи густариш.
5. Воридшавӣ - ҳамоҳангсозии вақт, гузоришҳои мутамарказ, WORM/имзоҳо.
6. Дастрасӣ - RBAC/ABAC, ВКХ, СО, JIT/PAM, оффшорӣ ≤ 15 дақиқа.
7. Криптография - TLS, KMS/HSM, ротатсия, нақшҳои алоҳидаи криптовалютҳо.
8. Таҳия - SAST/DAST/DS/Ia
9. Сканкунии ASV - ҳар семоҳа ва пас аз тағирот, ҳолати "Pass" барои нигоҳдорӣ.
10. Пентестҳо - шабакаи беруна/дохилӣ ва ī., ҳадди аққал ҳар сол.
11. Нақшаи IR - машқҳо, ҳуҷраи ҷангӣ бо PSP/харидор, мӯҳлатҳо.
12. Омӯзиш - фишинг, рамзгузории бехатар, огоҳии PCI барои нақшҳо.
13. Ҳуҷҷатҳо/Тартибот - Сиёсати нигоҳдорӣ/нест кардани PAN, сабти содирот.
8) Ҳамкорӣ бо PSP/фурӯшандагон
Шартномаҳо: Дастрасӣ/Амнияти SLA, DPIA/TPRM, Ҳуқуқи аудит, Огоҳиномаҳо дар бораи ҳодисаҳо ≤ 72 соат.
Интегратсияи техникӣ: HP/масир барои TLS, веб-дастгоҳҳои имзошуда, m
Мониторинги семоҳа: Ҳисоботҳои PSP (Аттестатсия, шаҳодатномаҳо), порчаҳои ASV/pentest, тағироти SDK.
9) Ҳуҷҷатҳои мувофиқат
ROC (Ҳисобот оид ба мувофиқат): ҳисоботи пурраи QSA.
AOC (Аттестатсияи мутобиқат) - тасдиқи мутобиқат (замима ба ROC/SAQ).
SAQ: навъи интихобшудаи худбаҳодиҳӣ (A, A-EP, D ва ғайра).
Ҳисоботи ASV: сканкунии беруна аз ҷониби провайдери тасдиқшуда.
Сиёсатҳо/тартибот: версияҳо, соҳибон, гузоришҳои тағирёбанда.
Далелҳо: диаграммаҳои шабакавӣ, гузоришҳои WORM, натиҷаҳои санҷиш, чиптаҳо.
10) Нақшҳо ва RACI
11) Метрҳо (KPI/KRI)
Меъёри ASV Pass: ҳисоботи семоҳа 100% - "гузаред".
Patch SLA High/Critical: ≥ 95% сари вақт.
Пӯшидани бозёфтҳои Pentest: ≥ 95% баланд ≤ 30 рӯз баста шудааст.
Фарогирии ВКХ маъмурон: 100%.
Беайбии журнал: 100% системаҳои интиқодӣ бо WORM/имзоҳо.
Кам кардани миқёс: ҳиссаи пардохтҳо тавассути равона кардан/токенизатсия ≥ 99%.
Ҳодисаҳо: Ҳодисаҳои PCI бо мӯҳлати 100%.
12) Харитаи роҳ (8-12 ҳафта пеш аз SAQ/ROC)
Ҳафтаҳои 1-2: Интихоби модели пардохт (НБО/токенизатсия), харитасозии CDE, тарҳбандии шабака, нақшаи сегментатсия, интихоби SAQ/ROC.
Ҳафтаҳои 3-4: сахтгирӣ, ВКХ, гузоришҳои WORM, сканҳои SDLC, калидҳо/KMS, сиёсати нигоҳдории PAN (пешфарз - нигоҳ надоред).
Ҳафтаҳои 5-6: сканкунии ASV # 1, ислоҳҳо; пентест (веб/шабака/вебхукҳо), омӯзиши IR бо PSP, ба итмом расонидани ҳуҷҷатгузорӣ.
Ҳафтаҳои 7-8: ба итмом расонидани SAQ ё аудити QSA (Марҳила-мусоҳибаҳо, намунаҳо), бастани бозёфтҳо, тайёр кардани AOC/ROC.
Ҳафтаҳои 9-12 (Op.): "Равиши фармоишӣ" ва TRA, оптимизатсияи сегментатсия, ҳамгироии панели KPI/KRI.
13) Рӯйхати санҷишҳо
Пеш аз оғози қабули корт
- Роҳи нигаҳдории PAN/SAD интихоб нашудааст
- PSP/iframe PSP ё токенизатсия танзим карда шудааст
- сегментатсияи CDE, рад бо нобаёнӣ, WAF
- ВКХ/IGA/JIT/PAM барои маъмурон
- Гузоришҳо (WORM, имзоҳо, NTP) ва панели панелҳо
- Санҷиши ASV гузашт, pentest пӯшида шуд
- Нақшаи IR ва тамосҳои PSP/бонк
Барои сертификатсияи солона
- Схемаҳои навшудаи CDE ва рӯйхати система
- Ҳар семоҳа ASV-ҳо гузашт, "гузариш" наҷот ёфт
- Пентест ≤ 12 моҳ ва пас аз тағирот
- Сиёсатҳо/тартиботи муосир, версияҳо/соҳибон
- Аз ҷониби SAQ пур карда шудааст/аз ҷониби ROC, ки аз ҷониби AOC бароварда шудааст
14) Хатогиҳои зуд-зуд ва чӣ гуна аз онҳо канорагирӣ кардан
PAN-ро дар саҳифаи худ бидуни муҳофизати дуруст ҷамъ кунед → SAQ A-EP/D. НБО/ифротро аз PSP истифода баред.
Гузоришҳо бидуни муҳофизат аз тағирот. Дохил кардани WORM/имзоҳо ва шарҳи ҳаррӯза.
Не сегментация - "тамоми шабака дар CDE. "Ҳалқаи пардохтро ба таври қатъӣ ҷудо кунед.
Нигоҳдории CVV/SAD. Пас аз иҷозат манъ карда шудааст.
ASV/пентестҳои нопурра. Пас аз тағирот кор кунед ва ҳисобот/ислоҳотро нигоҳ доред.
15) Ҳамгироӣ бо қисматҳои боқимондаи вики
Саҳифаҳои марбут: Сиёсати парол ва ВКХ, RBAC/Имтиёзи камтарин, сиёсати сабти ном, ҳодисаҳо ва ихроҷ, TPRM ва SLA, ISO 27001/27701, SOC 2 - барои харитасозии назорат ва маҷмӯи ягонаи далелҳо.
TL; ДР
Муваффақияти PCI DSS v4. 0 = доираи ҳадди аққал (НБО/токенизатсия) + сегментатсияи сахт CDE + MFA/WORM гузоришҳо/рамзгузорӣ/KMS + ASV ҳар семоҳа, пентест ҳар сол ва пас аз тағирот + ҳуҷҷатҳои SAQ/ROC/AOC. Ин хароҷоти аудитро коҳиш медиҳад, ҳамгироии PSP-ро суръат мебахшад ва ҳалқаи пардохтро боэътимод таъмин мекунад.