נציג בית העסק הנכבד, בברכה, ישראכרט

Transcription

1 נציג בית העסק הנכבד, מסמך זה הינו תרגום שאלון ההערכה העצמית.SAQ המסמך תורגם מהשפה האנגלית לשפה העברית על מנת לסייע לך במילוי הדרישות. יודגש כי המסמך המקורי נכתב בשפה האנגלית והוא הנוסח המחייב. התרגום העברי פונה לנשים וגברים כאחד ונוסח בלשון זכר מטעמי נוחות בלבד. למרות כל המאמצים והזהירות בתרגום הדרישות מהשפה האנגלית, חברת EverCompliant ו/או חברות האשראי; ישראכרט בע"מ, ומי קארד בע"מ וכ.א.ל בע"מ )להלן: "הארגונים"( אינם ערבות לטיב התרגום ו/או דיוקו. לכן הארגונים יישאו בכל אחריות ו/או נזק עקב השימוש במסמך בשפה העברית. מודגש בזאת כי הנעזר במסמך המתורגם בשפה העברית לצורך מילוי השאלון המקורי עושה זאת על דעתו ועל אחריותו בלבד. בברכה, ישראכרט

2 תעשיית כרטיסי התשלום )PCI( תקן אבטחת מידע שאלון הערכה עצמית )SAQ( B והצהרת תאימות בתי עסק עם מכונות סליקה ידנית או מסופים עצמאיים בעלי יציאה ייעודית, אין שמירה אלקטרונית של נתוני אשראי גרסה 3.0

3 שינויי מסמך תאריך גרסה תיאור התאמת התוכן לתקן PCI DSS החדש גרסה 1.2 והכנסת שינויים משניים שחלו מאז גרסה 1.1 המקורית התאמת התוכן לדרישות ולנהלי הבדיקה של תקן PCI DSS החדש גרסה אוקטובר 2008 אוקטובר 2010 פברואר התאמת התוכן לדרישות ולנהלי הבדיקה של תקן PCI DSS החדש גרסה 3.0 ולשלב אפשרויות נוספות עמוד i

4 תוכן עניינים שינויי מסמך... i לפני שמתחילים... iii הערכה עצמית PCI DSS שלבי ביצוע... iii הבנת שאלון ההערכה העצמית... iii מילוי שאלון ההערכה העצמית iv... הנחיה בנוגע לחוסר הרלוונטיות של דרישות ספציפיות מסוימות...v החרגה משפטית... v פרק 1 פרטי ההערכה... 6 פרק : 2 שאלון הערכה עצמית...10 B הגנה על נתוני אשראי דרישה 3: דרישה 4: הגן על הנתונים המאוחסנים של כרטיסי האשראי הצפן את השידור של נתוני כרטיסי אשראי על פני רשתות ציבוריות פתוחות...13 הטמע אמצעי בקרת גישה חזקים דרישה 7: הגבל את הגישה לפרטי כרטיסי האשראי עפ"י העקרון של הצורך העסקי לדעת דרישה 9: הגבל את הגישה הפיזית לנתונים של כרטיסי אשראי יישם ותחזק אבטחת מידע יישם ותחזק אבטחת מידע דרישה 12: יישם ותחזק הנותנת מענה בטחת מידע בקרב כלל כח האדם )עובדים וקבלנים( נספח א': דרישות נוספות עבור ספקי אירוח משותף Providers( )Shared Hosting..24 נספח ב': גיליון בקרות מפצות נספח ג': הסבר על חוסר רלוונטיות 26...)N/A( חלק 3 אישור ואימות פרטים...27 עמוד ii

5 לפני שמתחילים שאלון הערכה עצמית B פותח עבור בתי עסק רלוונטיים המעבדים נתוני אשראי אך ורק באמצעות סליקה ידנית או באמצעות מסופים עצמאיים בעלי יציאה ייעודית בלבד. בתי עסק המתאימים למילוי שאלון B עשויים להיות בתי עסק המבצעים עסקאות פנים מול פנים )כרטיס נוכח(, מסחר אלקטרוני או הזמנות בטלפון/דואר )עסקאות ל כרטיס נוכח(. ואינם מאחסנים נתוני כרטיס אשראי בשום סביבה ממוחשבת. בתי עסק אלו מאשרים את עמידתם בתקן באמצעות מילוי שאלון B, המאמתים כי: הארגון משתמש אך ורק בסליקה ידנית או במסופים עצמאיים בעלי יציאה ייעודית )באמצעות קו טלפון לספק המעבד את נתוני האשראי( לצורך קבלת נתוני האשראי מהלקוחות; המסופים העצמאיים בעלי היציאה הייעודית, אינם מחוברים לשום מערכת נוספת בתוך הארגון; המסופים העצמאיים בעלי יציאה ייעודית, אינם מחוברים ינטרנט; הארגון אינו מעביר נתוני כרטיס אשראי דרך הרשת )ברשת פנימית או האינטרנט(. הארגון שומר רק דוחות נייר או העתקי נייר של קבלות עם נתוני אשראי, ומסמכים אלו אינם מתקבלים בצורה אלקטרונית; בנוסף הארגון אינו שומר נתוני אשראי בפורמט אלקטרוני..1 אפשרות זו אינה חלה בשום פנים ואופן על בתי עסק המקיימים מסחר עם עמדות מכירה "פנים מול פנים". כל חלק בשאלון מתמקד בתחום ספציפי של אבטחת המידע, תוך התבססות על הדרישות המפורטות בתקן.PCI DSS גרסה מקוצרת זו של שאלון הערכה עצמית כוללת שאלות הרלוונטיות לסוג מסוים של בתי עסק קטנים, כמוגדר לעיל. במידה ויש דרישות בתקן אשר רלוונטיות לסביבה הארגונית שלך ואינן נמצאות בשאלון זה, אזי ככל הנראה שאלון זה אינו מתאים רגון שלך. בנוסף לכך, על הארגון שלך לעמוד בכל הדרישות הרלוונטיות של התקן, על מנת להיות תואם לתקן. הערכה עצמית PCI DSS שלבי ביצוע יש לזהות את שאלון ההערכה העצמית המתאים לסביבת המסחר הספציפית למידע, עיין במסמך.PCI SSC באתר האינטרנט של Self-Assessment Questionnaire Instructions and Guidelines יש לוודא שסביבת המסחר הוערכה כראוי והיא נכללת בקריטריונים של השאלון שבו נעשה שימוש. יש לבצע הערכה של תאימות סביבת העבודה לדרישות.PCI DSS יש למ את כל החלקים של מסמך זה: פרק 1 )פרק 1 ו- 2 של )AOC פרטי הערכה ותקציר מנהלים. פרק 2 שאלון הערכה עצמית של D( הערכה עצמית )שאלון PCI DSS פרק 3 )חלקים 3 ו- 4 של )AOC אשרור פרטי הצהרת התאימות ותוכנית פעולה לסטטוס ' עומד בתקן' )במידה ורלוונטי(.5 יש להגיש את שאלון ההערכה העצמית ואת הצהרת התאימות, בצירוף כל מסמך נדרש אחר כגון דוחות סריקה מאת ספק הסריקות המאושר לחברת כרטיסי האשראי, לחברה המחזיקה במותג האשראי או לכל דורש אחר. הבנת שאלון ההערכה העצמית השאלות המופיעות תחת העמודה "שאלה" בשאלון הערכה עצמית זה מבוססות על דרישות תקן.PCI DSS עמוד iii

6 משאבים נוספים המספקים הנחיה לדרישות PCI DSS ואופן המילוי של שאלון ההערכה העצמית מצורפים על מנת לסייע לך בתהליך ההערכה. להלן סקירה של חלק ממסמכים אלה: מסמך PCI DSS )תקן PCI בטחת מידע: דרישות ונהלי הערכת אבטחה( מסמכי הוראות והנחיות להערכה עצמית תקן PCI בטחת מידע ותקן אבטחת נתונים של יישומי תשלום: מילון מונחים, קיצורים וראשי תיבות כולל: הנחיות לגבי היקף הסקירה הנחיות לגבי כוונת דרישות PCI DSS פרטים על נהלי הבדיקה הנחיות לגבי בקרות מפצות מידע על כל שאלוני ההערכה העצמית והקריטריונים להכללה כיצד לקבוע איזה שאלון הערכה מתאים לעסק/רגון שלך תיאורים והגדרות של המונחים שבהם נעשה שימוש בתקן PCI DSS ובשאלוני ההערכה העצמית משאבים אלה ואחרים מופיעים באתר האינטרנט של מועצת תקני האבטחה הרשמית של )PCI SSC( PCI בכתובת. ארגונים מתבקשים ל מסמכי PCI DSS ועל מסמכי התמיכה האחרים לפני ביצוע ההערכה. בדיקות נדרשות ההוראות המופיעות תחת העמודה "בדיקות נדרשות" מבוססות על נהלי הבדיקה של תקן,PCI DSS ומספקות תיאור מפורט של סוגי פעילויות הבדיקה שיש לערוך על מנת לוודא שהדרישה אכן נענתה. פרטים מים על נהלי הבדיקה עבור כל דרישה ניתן למצוא ב- DSS.PCI מילוי שאלון ההערכה העצמית בכל שאלה קיימת בחירה בין מספר תגובות המציינות את מצב החברה בנוגע ותה דרישה. יש לבחור אחת בלבד לכל שאלה. בטבלה להלן תיאור של כל : כן כן עם גיליון עבודה של בקרות מפצות רלוונטי נבדק מתי יש להשתמש ב זו: הבדיקות הנדרשות בוצעו וכל מרכיבי הדרישה נענו כפי שהוצהר. הבדיקות הנדרשות בוצעו והדרישה נענתה בסיוע בקרה מפצה. כל התגובות בעמודה זו מחייבות מילוי גיליון בקרות מפצות CCW( ) המופיע בנספח ב' של שאלון ההערכה העצמית. מידע על השימוש בבקרות מפצות והנחיות למילוי גיליון העבודה מופיעים ב- DSS.PCI חלק ממרכיבי הדרישה או כולם נענו, או נמצאים בתהליך של הטמעה ויישום, או שנדרשות בדיקות נוספות לקבלת מידע על קיומן של דרישות אלה. הדרישה אינה חלה על הסביבה הארגונית הספציפית )ר' הנחיה בנוגע לחוסר הרלוונטיות של דרישות ספציפיות מסוימות להלן(. כל התגובות בעמודה זו מחייבות הסבר תומך בנספח ג' של שאלון ההערכה העצמית. הדרישה עמדה לשיקול בהערכה ו נבדקה בדרך כלשהי )לדוגמאות לגבי השימוש באפשרות זו, ר' הבנת ההבדל בין האפשרות ' רלוונטי' פשרות ' נבחן'(. עמוד iv

7 כל התגובות בעמודה זו מחייבות הסבר תומך בנספח ג' של שאלון ההערכה העצמית. הנחיה בנוגע לחוסר הרלוונטיות של דרישות ספציפיות מסוימות אם דרישות כלשהן אינן רלוונטיות לסביבת האשראי של החברה יש לבחור באפשרות " רלוונטי" עבור אותה דרישה מסוימת, ולמ את גיליון "הסבר לחוסר רלוונטיות" שבנספח ג' עבור כל בחירה כגון זו. החרגה משפטית אם הארגון נתון להגבלה משפטית המונעת ממנו לעמוד בדרישות מסוימות של תקן,PCI DSS יש לסמן את העמודה "" עבור דרישות אלה ולמ את ההצהרה הרלוונטית בחלק 3. עמוד v

8 פרק 1 פרטי ההערכה הוראות הגשה על בית העסק למ מסמך זה כהצהרה על תוצאות ההערכה העצמית של בית העסק ל"דרישות ונהלי האבטחה של תקן אבטחת המידע של תעשיית כרטיסי האשראי" DSS(.)PCI השלם את כל החלקים: על בית העסק להבטיח את מילוי כל אחד מהחלקים של שאלון זה על-ידי הצדדים הרלוונטיים. בכל הנוגע לנהלי הדיווח וההגשה של המסמך, יש ליצור קשר עם חברת כרטיסי האשראי )בנק מסחרי( או עם החברה המחזיקה במותג האשראי. חלק 1. פרטי בית העסק וחברת ההסמכה הרשמית )QSA( חלק 1 א. פרטי בית העסק שם החברה: שם איש קשר: שם גורם ההסמכה פנימי )אם ה רלוונטי(: טלפון: כתובת העסק: מדינה: שם)ות( מסחרי)ים(: תפקיד: תפקיד: דוא"ל: עיר: מיקוד: אתר אינטרנט: חלק 1 ב. פרטי חברת ההסמכה הרשמית ( -QSA אם רלוונטי( שם החברה: שם הסוקר המוסמך הראשי: טלפון: כתובת העסק: מדינה: תפקיד: דוא"ל: עיר: מיקוד: אתר אינטרנט: עמוד 6

9 חלק 2. תקציר מנהלים חלק 2 א. סוג העסק המסחרי )יש לסמן את כל הרלוונטיים( קמעונאי דלק אחר )אנא פרט(: טלקומוניקציה מסחר אלקטרוני מרכולים וסופרמרקטים הזמנות דואר/טלפון אלו סוגים של ערוצי תשלום מציע בית העסק? הזמנות דואר/טלפון מסחר אלקטרוני נוכחות כרטיס )פנים אל פנים( אלו ערוצי תשלום כלולים בשאלון הערכה עצמית זה? הזמנות דואר/טלפון מסחר אלקטרוני נוכחות כרטיס )פנים אל פנים( הערה: אם הארגון מציע תהליכים או ערוצי תשלום שאינם נכללים בשאלון הערכה עצמית זה, יש להיוועץ בחברת כרטיסי האשראי או במותג האשראי בנוגע שרור ערוצי התשלום האחרים. חלק 2 ב: תיאור סביבת כרטיסי האשראי באיזה אופן ועד כמה בית העסק מעבד, מאחסן או משדר פרטי כרטיסי אשראי? חלק 2 ג: מיקומים פרט את סוגי המתקנים והאתרים הנכללים בסקר ה- DSS PCI )לדוגמה, חנויות מסחריות, משרדים ארגוניים, מרכזי נתונים, מוקדים טלפוניים וכיו"ב( סוג המתקן מיקום)י( המתקן )עיר, מדינה( חלק 2 ד: מערכות תשלום האם הארגון משתמש במערכת תשלום אחת או יותר? כן עמוד 7

10 ספק את המידע הבא בנוגע למערכות התשלום שבהם נעשה שימוש בארגונך: שם מערכת התשלום מספר גרסה יצרן מערכת התשלום האם מערכת התשלום מאושרת לתקן?PA-DSS תאריך תפוגה של אישור PA-DSS )אם רלוונטי( כן כן כן חלק 2 ה: תיאור הסביבה הצג תיאור פרטני של הסביבה הנכללת בהערכה זו. לדוגמה: חיבורים לתוך סביבת נתוני האשראי )CDE( וממנה. רכיבי מערכת קריטיים בתוך סביבת נתוני האשראי, כגון מסופי נקודות מכירה POS( (, בסיסי נתונים, שרתי אינטרנט וכיו"ב, וכן כל רכיבי תשלום חיוניים אחרים. האם נעשה שימוש בסגמנטציית רשת המשפיעה על היקפה של סביבת ה- DSS?PCI )עיין בחלק "סגמנטציית רשת" של PCI DSS להנחיות בנוגע לסגמנטציה של הרשת הארגונית( כן חלק 2 ו: שירותי צד ג' האם החברה משתפת את נתוני כרטיסי האשראי עם ספקים של שירותי צד ג' )לדוגמה, שירותי גישה לרשת, שירותי עיבוד תשלומים, ספקים של שירותי תשלום,)PSP( חברות אירוח אתרים, סוכני הזמנת טיסות, סוכני תוכניות נאמנות וכיו"ב(? כן אם כן: שם ספק השירות: תיאור השירות הניתן: הערה: דרישה 12.8 חלה על כל הישויות ברשימה זו. עמוד 8

11 חלק 2 ז: סיווג מתאים למילוי שאלון B בית העסק מאשר כי סיווגו מתאים למילוי גרסה מקוצרת זו של שאלון הערכה עצמית מהנימוקים הבאים: בית העסק משתמש אך ורק במכונות סליקה ידנית כדי להדפיס נתוני אשראי של הלקוחות ו משדר נתוני אשראי על גבי קו טלפון או אינטרנט; או בית העסק משתמש אך ורק במסופים עצמאיים בעלי יציאה ייעודית, אשר אינם מחוברים ינטרנט או לכל מערכת אחרת ברחבי הארגון; בית העסק אינו מעביר נתוני כרטיס אשראי דרך הרשת ( הן ברשת פנימית והן באינטרנט( בית העסק אינו מאחסן כלל נתונים של כרטיסי אשראי בפורמט אלקטרוני; ובנוסף אם בית העסק מחזיק בכל זאת נתוני כרטיסי אשראי, מידע זה מופיע אך ורק על דוחות וקבלות נייר ואינו מתקבל בצורה אלקטרונית. עמוד 9

12 פרק : 2 שאלון הערכה עצמית B הערה: השאלות הבאות ממוספרות בהתאם לנהלי הבדיקה ולדרישות PCI DSS כפי שהוגדרו במסמך דרישות ונהלי הערכת אבטחה של.PCI DSS הגנה על נתוני אשראי תאריך מילוי הטופס: דרישה 3: הגן על הנתונים המאוחסנים של כרטיסי האשראי שאלה בדיקות נדרשות )סמן אחת לכל שאלה( כן עם כן CCW רלוונטי נבדק ד. האם מידע אימות רגיש מושמד או אינו ניתן לשחזור חר השלמת הליך האימות? ה וההליכים בחן את הקונפיגורציה של המערכת 3.2 בחן את דרישות השמירה ה. האם כל המערכות עונות לדרישות הבאות בנוגע י- שמירה של מידע אימות רגיש חר אישור עסקה )אפילו אם הוא מוצפן(? האם תכולתו המה של אף אחד מהערוצים )track( מהפס המגנטי )הממוקם בגב הכרטיס, או מידע זהה הממוקם על שבב או בכל מקום אחר( אינה נשמרת חר אימות? בחן מקורות מידע כולל: מידע נכנס על עסקאות מידע זה גם נקרא ערוץ מ ( full track ערוץ ( 2,)track ערוץ 1( 1,)track 2( ופרטי הפס המגנטי. הערה: ייתכן ובמהלכם הרגיל של העסקים יהיה צורך לשמור את הפרטים הבאים המצויים בפס המגנטי: שם בעל הכרטיס מספר כרטיס האשראי )PAN( תאריך התפוגה )תוקף( כל הרשומות קבצי היסטוריה קבצי ערוצים סכמת מאגר המידע תוכן מאגר המידע וקוד השירות עמוד 10

13 שאלה בדיקות נדרשות )סמן אחת לכל שאלה( על מנת לצמצם את הסיכון, שמור רק את הפרטים הללו כאשר יש צורך עסקי בכך. כן עם כן CCW רלוונטי נבדק האם הקוד )CVC) או ערך הקוד (CVV) ימות הכרטיס )המספר בעל שלוש או ארבע ספרות המודפס בקדמת או בגב הכרטיס( אינו נשמר חר האימות? בחן מקורות מידע כולל: מידע נכנס על עסקאות כל הרשומות קבצי היסטוריה קבצי ערוצים סכמת מאגר המידע תוכן מאגר המידע האם מספר הזיהוי האישי )PIN( או בלוק מידע הכולל את ה PIN המוצפן אינם נשמרים חר האימות? בחן מקורות מידע כולל: מידע נכנס על עסקאות כל הרשומות קבצי היסטוריה קבצי ערוצים סכמת מאגר המידע תוכן מאגר המידע האם מספר כרטיס האשראי ממוסך כאשר הוא מוצג )שש הספרות הראשונות וארבע הספרות האחרונות הן המספר המקסימלי של ספרות שיוצגו( כך שרק עובדים עם צורך עסקי לגיטימי יוכלו לראות את ה- PAN המ? הערה: דרישה זו אינה גוברת על דרישות מחמירות יותר הנוגעות ה והנהלים התפקידים שצריכים גישה לתצוגה מה של ה- PAN בחן את קונפיגורציית 3.3 עמוד 11

14 שאלה בדיקות נדרשות )סמן אחת לכל שאלה( להצגה של נתוני מחזיקי כרטיסי אשראי למשל דרישות סוג כרטיס תשלום או דרישות משפטיות בנוגע לקבלות בנקודות מכירה )POS) המערכת צפה בתצוגות של PAN כן עם כן CCW רלוונטי נבדק עמוד 12

15 דרישה 4: הצפן את השידור של נתוני כרטיסי אשראי על פני רשתות ציבוריות פתוחות שאלה בדיקות נדרשות )סמן אחת לכל שאלה( כן עם כן CCW רלוונטי נבדק ב. האם ישנם נהלים הקובעים כי אין לשלוח מספרי כרטיסי אשראי בלתי מוגנים באמצעות טכנולוגיות העברת מסרים של משתמשי קצה? והליכים 4.2 עמוד 13

16 הטמע אמצעי בקרת גישה חזקים דרישה 7: הגבל את הגישה לפרטי כרטיסי האשראי עפ"י העקרון של הצורך העסקי לדעת שאלה דרישות נדרשות )סמן אחת לכל שאלה( כן עם כן CCW רלוונטי נבדק האם הגישה לרכיבי מערכת ולנתוני כרטיסי אשראי מוגבלת רק נשים שתפקידם מחייב זאת, כדלקמן: 7.1 האם הקצאת ההרשאות המיוחדות לעובדים המורשים מוגבלת כדלקמן? למספר ההרשאות המינימלי הדרוש למילוי התפקיד? ראיין את כוח האדם ראיין את ההנהלה מספרי משתמש מסווגים הקצאה רק לתפקידים שדורשים גישה מסווגת זו? האם גישה מאושרת בהתבסס על הסיווג והתפקוד של כל תפקיד? ראיין את ההנהלה מספרי המשתמש עמוד 14

17 דרישה 9: הגבל את הגישה הפיזית לנתונים של כרטיסי אשראי שאלה בדיקות נדרשות )סמן אחת לכל שאלה( כן עם כן CCW רלוונטי נבדק האם כל סוגי המדיה, מאובטחים פיזית )לרבות, אך רק, מחשבים, אמצעי אחסון אלקטרוניים ניידים, קבלות נייר, דוחות נייר ופקסים(? למטרות דרישה 9, המונח "מדיה" מתייחס לכל הניירת ואמצעי האחסון האלקטרוניים המכילים נתוני כרטיסי האשראי. והליכים בטחה פיזית של מדיה ראיין את כוח האדם 9.5 א. האם קיימת בקרה מחמירה על התפוצה הפנימית והחיצונית של כל סוגי המדיה? והליכים לסיווג מדיה ראיין עובדי אבטחה 9.6 ב. האם הבקרות כוללות את הדברים הבאים: האם המדיות מסווגות כך שניתן לזהות מהי רמת הרגישות של המידע )המצוי בהן(? ראיין את כוח האדם בחן את יומני הפצת המדיה והתיעוד האם המדיות נשלחות באמצעות שליח מאובטח או בשיטת מסירה אחרת המאפשרת לעקוב אחריהן באופן מדויק? ראיין את כוח האדם בחן את יומני הפצת המדיה והתיעוד האם נדרש אישור הנהלה לפני העברה של מדיות )במיוחד כשהן מופצות ליחידים(? ראיין את כוח האדם בחן את יומני הפצת המדיה והתיעוד עמוד 15

18 שאלה בדיקות נדרשות )סמן אחת לכל שאלה( כן עם כן CCW רלוונטי נבדק האם ישנה בקרה מחמירה על אופן האחסון והנגישות למדיות )המכילות נתוני כרטיסי אשראי(? והליכים 9.7 א. האם כל המדיות המכילות נתוני כרטיסי אשראי מושמדות כאשר אין בהן עוד צורך עסקי או חוקי? והליכים להשמדת מדיה תקופתית 9.8 ג. האם המדיה מושמדת בצורה הבאה: א. האם מדיה קשיחה נגרסת, נשרפת או נכתשת באופן שאינו מאפשר לשחזר את הנתונים של כרטיסי האשראי?? ראיין את כוח האדם בחן הליכים צפה בהליכים ב. האם מכלים המאחסנים מידע המיועד להשמדה מאובטחיםבאופן המונע גישה לתכולתם? בחן אבטחה של המכלים המאחסנים מידע האם מכשירים המאחסנים נתוני כרטיסי אשראי דרך ממשק פיזי עם הכרטיס מוגנים נגד החלפה והתעסקות? הערה: דרישה זו מתייחסת למכשירי קריאת כרטיסים המשמשים בעסקאות בהם הכרטיס נוכח פיזית )יש העברת כרטיס פיזית( בנקודת המכירה. דרישהזו מתייחסת לרכיבים של הקלדה ידנית כגון על מקלדות מחשבים או.POS הערה: דרישה 9.9 מהווה המלצה עד ל- 30 ביוני, 2015, 9.9 עמוד 16

19 שאלה בדיקות נדרשות )סמן אחת לכל שאלה( וחר מכן תהפוך לדרישה. כן עם כן CCW רלוונטי נבדק א. האם ה וההליכים מחייבים שמירת רשימה של מכשירים כאלו? והליכים ב. האם ה וההליכים מחייבים בדיקה תקופתית של מכשירים אלו לגילוי התערבות או החלפה? והליכים ג. האם ה וההליכים מחייבים הכשרה של העובדים לעירנות להתנהגות חשודה ולדיווח התערבות או החלפה של המכשירים? והליכים א. האם רשימת המכשירים כוללת את הנתונים הבאים? בחן את רשימת המכשירים סוג, מודל המכשיר. מיקום המכשיר )לדוגמה, כתובת האתר או המתקן בו נמצא המכשיר( מספר סידרתי של המכשיר או שיטת זיהוי ייחודית אחרת ב. האם הרשימה מדויקת ומעודכנת? צפה במיקום המכשירים והשווה לרשימה ג. האם רשימת המכשירים מעודכנת כאשר מכשירים מתווספים, משנים ראיין את כוח האדם עמוד 17

20 שאלה בדיקות נדרשות )סמן אחת לכל שאלה( מיקום, יוצאים מכלל פעולה, ועוד? כן עם כן CCW רלוונטי נבדק א. האם משטחי המכשירים נבדקים תקופתית כדי לגלות התערבות )לדוגמה, הוספה של קוראי כרטיסים למכשיר( או החלפה )לדוגמה, על ידי בדיקת המספר הסידרתי או מאפייני מכשיר אחרים לוודא שהמכשיר הוחלף בזיוף( כדלקמן: הערה: דוגמאות לסימנים של התעסקות או החלפה של מכשיר כוללים תוספות צפויות או כבלים המחוברים למכשיר, תוויות אבטחה חסרות או שונות, כיסוי שבור או בצבע שונה, או שינויים במספר הסידרתי או סימנים חיצוניים אחרים. ראיין את כוח האדם צפה בהליכי הבדיקה והשווה להליכים המוגדרים ב. האם העובדים מודעים להליכים לבדיקת המכשירים? ראיין את כוח האדם האם העובדים מקבלים הכשרה כדי להיות ערנים פשרות של מכשירים שהוחלפו או התעסקו איתם, כולל הבאים: א. האם חומרי ההכשרה עבור עובדים בנקודות מכירה כוללים את הנקודות הבאות? חומר ההכשרה אימות זיהוי של אנשים מצד שלישי הטוענים שהם עובדי תחזוקה או שירות לפני שהם מקבלים גישה עמוד 18

21 שאלה בדיקות נדרשות )סמן אחת לכל שאלה( לשנות או לתקן מכשירים כן עם כן CCW רלוונטי נבדק אין להתקין, להחליף, או להשיב מכשירים ל אימות יש לשים לב להתנהגות חשודה סביב מכשירים )לדוגמה, ניסיונות של אנשים ידועים לפתוח מכשירים או לנתקם( יש לדווח לעובדים המתאימים )כגון מנהל או קצין אבטחה( על התנהגות חשודה וסימנים של התעסקות או החלפה של המכשיר. ב. האם העובדים בנקודות המכירה קיבלו הכשרה, והם מודעים להליכים לגילוי ודיווח ניסיונות להתעסק עם המכשירים או להחליפם? ראיין עובדים בנקודות המכירה עמוד 19

22 יישם ותחזק אבטחת מידע יישם ותחזק אבטחת מידע דרישה : 12 יישם ותחזק הנותנת מענה בטחת מידע בקרב כלל כח האדם )עובדים וקבלנים( הערה: לצרכי כוונת סעיף 12, "כח האדם" מתייחס לעובדים במשרה מה, עובדים במשרה חלקית, עובדים זמניים, קבלנים ויועצים שעובדים פיזית בתוך מתחמי הארגון או לחילופין שיש להם גישה לסביבת נתוני כרטיסי האשראי של החברה. שאלה בדיקות נדרשות )סמן אחת לכל שאלה( כן עם כן CCW רלוונטי נבדק האם האבטחה קיימת, מפורסמת, מתוחזקת ומופצת לכל כח האדם הרלוונטי? אבטחת המידע 12.1 האם אבטחת המידע נסקרת/נבדקת לפחות אחת לשנה ומעודכנת בהתאם לצורך על מנת לשקף שינויים ביעדי העסק ובסביבת הסיכונים שלו? אבטחת המידע ראיין עובדים אחראיים האם פותחה שימוש בטכנולוגיות קריטיות על מנת להבטיח את השימוש הנאות בטכנולוגיות הללו ואשר כוללת את הדרישות הבאות: הערה: טכנולוגיות קריטיות כוללות לדוגמה, אבל רק, טכנולוגיות גישה מרחוק, טכנולוגיות אלחוטיות, מדיות אלקטרוניות נשלפות, מחשבים ניידים, טבלטים, מחשבי כף יד, דוא"ל ואינטרנט 12.3 אישור מפורש מטעם גורמים מורשים לשימוש בטכנולוגיות? עקוב אחר שימוש רשימה של המכשירים מסוג זה ראיין מדגם של עובדים אחראיים עקוב אחר עמוד 20

23 שאלה בדיקות נדרשות )סמן אחת לכל שאלה( והעובדים בעלי הגישה? שימוש כן עם כן CCW רלוונטי נבדק ראיין מדגם של עובדים אחראיים שימושים מקובלים בטכנולוגיה? עקוב אחר שימוש ראיין מדגם של עובדים אחראיים א. האם ה מכילה דרישה עבור אנשים עם הרשאה מתאימה להגן על נתוני כרטיסי האשראי בהתאם לדרישות תקן PCI?DSS עקוב אחר שימוש ראיין מדגם של עובדים אחראיים האם ה ונהלי האבטחה מגדירים בבירור את תחומי האחריות של כל עובד בכל הקשור בטחת מידע? והליכים של אבטחת מידע ראיין מדגם של עובדים אחראיים 12.4 ב. האם סמכויות הניהול הבאות בתחום אבטחת המידע מוקצות דם או לקבוצה: 12.5 פיתוח, תיעוד והפצת נהלי ירועי אבטחה ותהליכי הסלמה )אסקלציה( על מנת להבטיח טיפול יעיל ומתוזמן היטב בכל מצבי האבטחה? והליכים של אבטחת מידע עמוד 21

24 שאלה בדיקות נדרשות )סמן אחת לכל שאלה( כן עם כן CCW רלוונטי נבדק א. האם ישנה תכנית מודעות אבטחה רשמית שתפקידה לגרום לכלל העובדים להיות מודעים לחשיבות אבטחת נתוני כרטיסי אשראי? התוכנית למודעות בטחה 12.6 אם נתוני כרטיסי האשראי מועברים לספקי שירות אחרים, האם קיימים ומוטמעים ונהלים לניהול ספקי השירות, כדלהלן? 12.8 האם ישנה רשימה מתוחזקת של ספקי השירות? והליכים צפה בהליכים רשימת ספקי השירות האם קיים הסכם בכתב הכולל הכרה באחריותו של ספק השירות בטחת נתוני כרטיסי האשראי הנמצאים ברשותו או שהוא מאחסן, מעבד או משדר עבור הלקוח, או במידה שהם יכולים להשפיע על האבטחה של סביבת נתוני כרטיסי האשראי של הלקוח? הערה: המינוח המדויק של ההכרה יהיה תלוי בהסכם בין שני הצדדים, פרטי השירות המסופק, והאחריות המוטלת על כל אחד מהצדדים. ההכרה חייבת לכלול את המינוח המדויק המופיע בדרישה זו. האם קיים תהליך מסודר להתחלת העסקה של ספק שירות, לרבות בדיקת נאותות הולמת לפני תחילת העבודה מולו? צפה בהסכמים הכתובים והליכים צפה תהליכי ם ב והליכים עמוד 22

25 שאלה בדיקות נדרשות )סמן אחת לכל שאלה( ומסמכים תומכים כן עם כן CCW רלוונטי נבדק האם קיימת תכנית כדי לנטר אחר מצב התאימות של ספקי השירות לתקן PCI DSS לפחות פעם בשנה? צפה תהליכי ם ב והליכים ומסמכים תומכים האם נשמר מידע בנוגע ילו דרישות PCI DSS מטופלות על ידי איזה ספק שירות, ואילו מטופלות על ידי הארגון? צפה תהליכי ם ב והליכים ומסמכים תומכים א. האם פותחה תכנית ירוע אבטחה שניתן ליישמה במקרה של אירוע פריצת אבטחה במערכת? תוכנית ירוע תהליכי ם ה לתוכנית ירוע עמוד 23

26 נספח א': דרישות נוספות עבור ספקי אירוח משותף ( Hosting Shared )Providers נספח זה אינו לשימוש הערכת בתי עסק. עמוד 24

27 נספח ב': גיליון בקרות מפצות יש להשתמש בגיליון עבודה זה כדי להגדיר את הבקרות המפצות עבור כל אחת מן הדרישות אשר סומנה עבורה התשובה " כן עם גליות עבודה של בקרות מפצות". הערה: רק חברות שביצעו הערכת סיכונים ושיש להן אילוצים עסקיים או טכנולוגיים מתועדים לגיטימיים רשאיות לעשות שימוש בבקרות מפצות על מנת לעמוד בתקן. עיין בנספחים זה. מספר הדרישה והגדרתה: B,C ו- D של מסמך PCI DSS לקבלת מידע על בקרות מפצות והדרכה כיצד להשלים גיליון מידע נדרש הסבר מנה את האילוצים המונעים עמידה בדרישת התקן המקורית. 1. אילוצים יעד הגדר את יעד הבקרה המקורית; זהה את היעד המושג על ידי הבקרה המפצה הסיכון המזוהה 4. הגדרה הבקרה המפצה 5. בדיקת תקפות הבקרה המפצה זהה סיכונים נוספים הנובעים מהעדרו של אמצעי הבקרה המקורי. הגדר את הבקרות המפצות והסבר כיצד הן נותנות מענה ליעדי הבקרה המקורית והסיכון המוגבר, אם קיים. הגדר כיצד נבדקו הבקרות המפצות וכיצד אושררה תקפותן. הגדר את התהליכים ואמצעי הבקרה המיושמים לצורך תחזוקת הבקרות המפצות. 6. תחזוקה עמוד 25 PCI DSS שאלון הערכה עצמית D לבתי עסק, גרסה 3.0

28 נספח ג': הסבר על חוסר רלוונטיות )N/A( במידה והוזן ערך "N/A" או " רלוונטי", יש להשתמש בגיליון עבודה זה כדי להסביר מדוע הדרישה האמורה אינה רלוונטית רגון. דרישה דוגמה: הסיבה לחוסר הרלוונטיות נתוני כרטיסי האשראי אף פעם מאוחסנים באופן אלקטרוני. 3.4 עמוד 26

29 חלק 3 אישור ואימות פרטים חלק.3 אישור PCI DSS בהסתמך על התוצאות שהתקבלו בשאלון B מתאריך )תאריך מילוי השאלון(, )שם נותן שירות( סטטוס התאימות הבא )יש לסמן אחד(: מצהיר על עומד בתקן: כל חלקי שאלון PCI SAQ מוו וכל השאלות נענו בחיוב ולפיכך הדירוג הכללי של החברה הוא עומד בתקן, ובנוסף סריקה עם ציון עובר בוצעה על ידי ספק סריקות מאושר )ASV( בהתאם לכך )שם נותן שירות( הראה תאימות מה לדרישות.PCI DSS עומד בתקן: מוו כל חלקי שאלון,PCI SAQ או שישנן שאלות שהתשובה אליהן היתה "", ולכן דירוגה הכללי של החברה עומד בתקן, או בוצעה סריקה עם ציון עובר על ידי ספק סריקות מאושר,)ASV( לפיכך )שם נותן שירות( הראה תאימות מה לדרישות.PCI DSS תאריך יעד לתאימות לתקן: ישות עסקית המגישה טופס זה עם סטטוס ' עומד בתקן' עשויה להידרש לביצוע 'תוכנית הפעולה' המפורטת בחלק 4 שבמסמך זה. יש לברר מול חברת כרטיסי האשראי או מותג)י( האשראי שאיתו)ם( אתם עובדים לפני ביצוע חלק 4 הואיל ו כל חברות מותגי האשראי דורשות חלק זה. עומד בתקן אבל עם החרגה משפטית: אחד או יותר מהדרישות סומנו "" בשל מגבלה משפטית המונעת מהדרישה להתקיים. אפשרות זו מחייבת בחינה נוספת של חברת האשראי. אם אופציה זו סומנה, השלם את הטבלה הבאה: דרישה רלוונטית פירוט כיצד מגבלה משפטית מונעת מהדרישה להתקיים חלק 3 א. אישור סטטוס התאימות נותן השירות מאשר כי: שאלון הערכה עצמית B של,PCI DSS גרסה )מס' הגרסה של השאלון(, הושלם בהתאם להוראות המופיעות בו. כל המידע הנכלל בשאלון האמור ובהצהרה זאת מייצג נאמנה את תוצאות ההערכה שלי בכל ההיבטים המהותיים. אישרתי עם ספק התשלומים שלי כי מערכת התשלומים אינה מאחסנת נתוני אימות רגישים חר קבלת אישור. קראתי את תקנות PCI DSS ואני מכיר בזאת כי מחובתי לשמור על תאימות מה ל- DSS PCI בכל זמן. אם הסביבה שלי משתנה, אני מכיר בך שאני חייב להעריך מחדש את הסביבה שלי וליישם את כל עמוד 27

30 דרישות PCI DSS נוספות שחלות. נמצאו כל ראיות לשמירה של נתוני הפס המגנטי, 1 נתוני,CID,CVC2,CAV2 או, 2 CVV2 או נתוני, 3 PIN חר אישור עסקה באף אחת מהמערכות שנבדקו במהלך הערכה זו. סריקות ASV הושלמו ומתבצעות על ידי ספר סריקה PCI DSS מאושר )שם ספק סקירה(. חלק 3 ב. אישור נותן השירות חתימה של מנהל בכיר בבית העסק תאריך שם המנהל הבכיר בבית העסק תפקיד חלק 3 ג. אישור QSA )אם רלוונטי( אם QSA היה מעורב או סייע בהערכה זו, תאר את התפקיד שבוצע: חתימה של נציג :QSA תאריך חברת :QSA שם נציג :QSA חלק 3 ד. אישור ISA )אם רלוונטי( אם ISA היה מעורב או סייע בהערכה זו, תאר את התפקיד שבוצע: חתימה של נציג :ISA תאריך שם נציג :ISA תפקיד: 1 נתונים המקודדים בפס המגנטי או מידע דומה על שבב המשמשים ישור בעסקאות בהן הכרטיס נוכח. יישויות אינן רשאיות לשמור את נתוני הפס המגנטי במלואם חר אישור העסקה. הערכים היחידים המצויים על הפס המגנטי ומותרים לשמירה הינם מספר הכרטיס, תאריך תפוגה, ושם בעל הכרטיס. 2 המספר בעל שלוש או ארבע הספרות המודפס על תיבת החתימה או מימין לתיבת החתימה או על חזית הכרטיס האשראי המשמש לביצוע אימות בעסקאות בהן הכרטיס אינו נוכח. 3 הקוד הסודי האישי המוקלד על ידי בעל הכרטיס בעסקאות בהן הכרטיס נוכח, ו/או מספר PIN מוצפן בהודעת העסקה. עמוד 28

31 חלק 4. תוכנית פעולה לסטטוס ' עומד בתקן' אנא בחר את "סטטוס התאימות" המתאים לכל דרישה. אם התשובה חת מן הדרישות היא "", הנך נדרש למ את התאריך שבו תעמוד החברה בדרישה ולתאר בקצרה את הפעולות הננקטות על מנת לעמוד בדרישה. בדוק מול חברת כרטיסי האשראי או מותג)י( האשראי לפני מילוי חלק 4, הואיל ו כל חברות מותגי האשראי דורשות חלק זה. דרישת PCI DSS תיאור הדרישה סטטוס תאימות )בחר אחד( כן תאריך ופעולות תיקון )אם סטטוס התאימות שסומן הוא ""( 3 הגן על הנתונים המאוחסנים של כרטיסי האשראי. הצפן את ההעברה של פרטי בעל הכרטיס על פני רשתות ציבוריות פתוחות. 4 הגבל את הגישה לפרטי כרטיסי האשראי עפ"י העקרון של הצורך העסקי לדעת. 7 9 הגבל את הגישה הפיזית לנתונים של כרטיסי האשראי. יישם ותחזק המטפלת באבטחת מידע בקרב כלל כח האדם )עובדים וקבלנים(. 12 עמוד 29