Seberapa banyak PCI DSS v4.0.1 yang sebenarnya dicakup oleh ISO 27001?

Organisasi yang menerima pembayaran kartu dan sudah menjalankan ISMS ISO 27001 sering kali mengira PCI DSS hanya merupakan perluasan kecil. Angka-angkanya berkata lain. Berikut ini cara ISO 27001 disejajarkan dengan seluruh PCI DSS v4.0.1, persyaratan demi persyaratan, dan mengapa kesenjangannya lebih besar daripada yang disiratkan oleh tumpang tindih topik.

Angka utama

Dari 260 persyaratan PCI DSS, 77 (30%) dipetakan ke sesuatu dalam ISO 27001, 76 hanya terkait secara longgar, dan 107 tidak memiliki pemetaan dalam data kami. Buka laporan kesenjangan →

Kurang dari sepertiga persyaratan PCI DSS dipetakan ke sesuatu dalam ISO 27001, dan jumlah yang serupa hanya terkait secara longgar. Hampir setiap topik PCI ada di suatu tempat dalam Lampiran A, jadi ini bukan kesenjangan topik. Ini adalah kesenjangan detail.

Di mana letak tumpang tindihnya

bagian PCI DSS	Dipetakan	Terkait secara longgar	Tidak ada pemetaan
Requirement 1: Install and maintain network security controls	4 dari 19	3	12
Requirement 2: Apply secure configurations to all system components	2 dari 11	3	6
Requirement 3: Protect stored account data	8 dari 29	7	14
Requirement 4: Protect cardholder data with strong cryptography during transmission	2 dari 6	2	2
Requirement 5: Protect all systems and networks from malicious software	4 dari 13	5	4
Requirement 6: Develop and maintain secure systems and software	10 dari 19	3	6
Requirement 7: Restrict access to system components and cardholder data by business need to know	3 dari 12	3	6
Requirement 8: Identify users and authenticate access to system components	6 dari 29	15	8
Requirement 9: Restrict physical access to cardholder data	8 dari 27	9	10
Requirement 10: Log and monitor all access to system components and cardholder data	6 dari 27	10	11
Requirement 11: Test security of systems and networks regularly	3 dari 21	6	12
Requirement 12: Support information security with organizational policies and programs	21 dari 37	10	6
Appendix A: additional requirements	0 dari 10	0	10

Miliki ISO 27001, butuhkan PCI DSS. Persyaratan demi persyaratan: buka laporan celah →

Tumpang tindih terkumpul pada bagian PCI DSS yang mirip dengan standar keamanan pada umumnya: kebijakan dan peran di awal setiap persyaratan, risiko dan tata kelola dalam Persyaratan 12, prinsip kontrol akses dalam Persyaratan 7, serta respons insiden. Sistem manajemen dan Lampiran A ISO 27001 mencakup hal-hal tersebut dengan baik.

Mengapa sebagian besar PCI DSS merupakan pekerjaan baru

PCI DSS bersifat preskriptif, sedangkan ISO 27001 berbasis risiko. Lampiran A menyatakan "kelola kerentanan teknis"; PCI DSS menyatakan bagaimana, seberapa sering, dan dengan pemindai siapa. Baris tanpa pemetaan didominasi oleh persyaratan seperti berikut:

• Penanganan data pemegang kartu (Persyaratan 3): apa yang tidak boleh pernah disimpan setelah otorisasi, penyamaran PAN saat ditampilkan, membuatnya tidak dapat dibaca di mana pun disimpan, dan prosedur manajemen kunci yang terperinci.
• Frekuensi spesifik: pemindaian kerentanan internal setiap tiga bulan dan setelah perubahan signifikan, pemindaian eksternal oleh Approved Scanning Vendor, tinjauan log, dan tinjauan akses setiap enam bulan.
• Pengaturan teknis spesifik: MFA untuk semua akses ke lingkungan data pemegang kartu, batas waktu sesi, panjang kata sandi, dan ambang batas penguncian.
• Kontrol khusus pembayaran: pengelolaan skrip pada halaman pembayaran dan deteksi perusakan, serta pemeriksaan perangkat pembaca kartu untuk mendeteksi perusakan.
• Analisis risiko yang ditargetkan: v4.0 memperkenalkan analisis risiko yang menetapkan frekuensi sejumlah aktivitas, yang kemudian harus didokumentasikan.

ISO 27001 memungkinkan Anda memilih semua itu melalui perlakuan risiko. PCI DSS yang memutuskan untuk Anda.

Apa yang masih diberikan ISMS

Sepertiga yang terpetakan tidaklah sepele. ISMS yang mencakup lingkungan data pemegang kartu dalam ruang lingkupnya memberi Anda kerangka kebijakan, penilaian risiko, peran, manajemen pemasok, respons insiden, dan audit internal yang bergantung pada kepatuhan PCI dari tahun ke tahun. Persyaratan 12 terbaca seperti ringkasan dari klausul 4 hingga 10 ISO, dan organisasi dengan ISMS biasanya mendapati aspek tata kelola PCI DSS cukup mudah.

Cara merencanakan

1. Masukkan lingkungan data pemegang kartu ke dalam ruang lingkup ISMS, dan tambahkan PCI DSS ke persyaratan hukum dan kontrak Anda (A.5.31).
2. Jalankan laporan kesenjangan ISO 27001 → PCI DSS dan perlakukan setiap persyaratan yang tidak terpetakan sebagai kontrol yang harus dirancang, bukan pemetaan yang harus dicari.
3. Kurangi ruang lingkup sebelum membangun kontrol: segmentasi, tokenisasi, dan halaman pembayaran yang dialihdayakan dapat mengeluarkan sebagian besar PCI DSS dari ruang lingkup.
4. Gunakan frekuensi PCI dalam kontrol ISMS Anda, sehingga satu kontrol memenuhi keduanya: ISO terpenuhi oleh frekuensi apa pun yang beralasan baik, jadi pilih milik PCI.

Perbandingan ISO 27001 vs PCI DSS mencantumkan setiap persyaratan dari kedua arah. Teks PCI DSS merupakan hak cipta PCI SSC, sehingga judul persyaratan di situs ini adalah ringkasan singkat buatan kami sendiri.

Pertanyaan

Apakah sertifikasi ISO 27001 memenuhi PCI DSS?

Tidak. Merek kartu mewajibkan validasi PCI DSS (Report on Compliance atau Self-Assessment Questionnaire) terlepas dari sertifikasi ISO. ISMS membantu menjalankan program, tetapi sebagian besar persyaratan PCI lebih spesifik daripada Lampiran A.

Persyaratan PCI DSS mana yang paling baik dicakup oleh ISO 27001?

Tata kelola dan kebijakan (Persyaratan 12), prinsip kontrol akses (7), dan respons insiden terpetakan dengan baik. Kesenjangannya terkonsentrasi pada pengaturan teknis spesifik, frekuensi, dan penanganan data pemegang kartu.