Quanta parte di PCI DSS v4.0.1 copre davvero ISO 27001?

Le organizzazioni che accettano pagamenti con carta e gestiscono già un ISMS basato su ISO 27001 spesso si aspettano che PCI DSS sia una piccola estensione. I numeri dicono il contrario. Ecco come ISO 27001 si confronta con l'intero PCI DSS v4.0.1, requisito per requisito, e perché il divario è più ampio di quanto suggerisca la sovrapposizione degli argomenti.

La cifra principale

Dei 260 requisiti di PCI DSS, 77 (30%) corrispondono a qualcosa in ISO 27001, 76 sono solo debolmente correlati e 107 non hanno mappature nei nostri dati. Apri il report sui gap →

Meno di un terzo dei requisiti PCI DSS corrisponde a qualcosa in ISO 27001, e un numero simile è solo debolmente correlato. Quasi ogni argomento PCI esiste da qualche parte nell'Allegato A, quindi non si tratta di un divario di argomenti, ma di un divario di dettaglio.

Dove si trova la sovrapposizione

PCI DSS sezione	Mappato	Correlazione debole	Nessuna mappatura
Requirement 1: Install and maintain network security controls	4 di 19	3	12
Requirement 2: Apply secure configurations to all system components	2 di 11	3	6
Requirement 3: Protect stored account data	8 di 29	7	14
Requirement 4: Protect cardholder data with strong cryptography during transmission	2 di 6	2	2
Requirement 5: Protect all systems and networks from malicious software	4 di 13	5	4
Requirement 6: Develop and maintain secure systems and software	10 di 19	3	6
Requirement 7: Restrict access to system components and cardholder data by business need to know	3 di 12	3	6
Requirement 8: Identify users and authenticate access to system components	6 di 29	15	8
Requirement 9: Restrict physical access to cardholder data	8 di 27	9	10
Requirement 10: Log and monitor all access to system components and cardholder data	6 di 27	10	11
Requirement 11: Test security of systems and networks regularly	3 di 21	6	12
Requirement 12: Support information security with organizational policies and programs	21 di 37	10	6
Appendix A: additional requirements	0 di 10	0	10

Hai ISO 27001, ti serve PCI DSS. Requisito per requisito: apri il report sul gap →

La sovrapposizione si concentra nelle parti di PCI DSS che somigliano a qualsiasi standard di sicurezza: politiche e ruoli all'inizio di ogni requisito, rischio e governance nel Requisito 12, principi di controllo degli accessi nel Requisito 7 e risposta agli incidenti. Il sistema di gestione di ISO 27001 e l'Allegato A coprono bene questi aspetti.

Perché gran parte di PCI DSS è lavoro nuovo

PCI DSS è prescrittivo dove ISO 27001 è basato sul rischio. L'Allegato A dice «gestire le vulnerabilità tecniche»; PCI DSS stabilisce come, con quale frequenza e con quale scanner. Le righe senza mappatura sono dominate da requisiti come questi:

• Gestione dei dati dei titolari di carta (Requisito 3): ciò che non si può mai conservare dopo l'autorizzazione, il mascheramento del PAN quando visualizzato, il suo rendering illeggibile ovunque sia memorizzato e procedure dettagliate di gestione delle chiavi.
• Frequenze specifiche: scansioni interne delle vulnerabilità ogni tre mesi e dopo modifiche significative, scansioni esterne da parte di un Approved Scanning Vendor, revisioni dei log e revisioni degli accessi ogni sei mesi.
• Impostazioni tecniche specifiche: MFA per tutti gli accessi al cardholder data environment, timeout di sessione, lunghezze delle password e soglie di blocco.
• Controlli specifici per i pagamenti: gestione degli script nelle pagine di pagamento e rilevamento delle manomissioni, e ispezione dei dispositivi di lettura delle carte per individuare manomissioni.
• Analisi del rischio mirate: la v4.0 ha introdotto analisi del rischio che stabiliscono la frequenza di alcune attività, che devono poi essere documentate.

ISO 27001 consente di scegliere tutto questo attraverso il trattamento del rischio. PCI DSS decide per voi.

Cosa offre ancora un ISMS

Il terzo mappato non è banale. Un ISMS che include il cardholder data environment nel perimetro vi fornisce il framework di politiche, la valutazione del rischio, i ruoli, la gestione dei fornitori, la risposta agli incidenti e l'audit interno da cui la conformità PCI dipende anno dopo anno. Il Requisito 12 sembra un riepilogo delle clausole 4-10 di ISO, e le organizzazioni con un ISMS di solito trovano semplice l'aspetto di governance di PCI DSS.

Come pianificare

1. Includere il cardholder data environment nel perimetro dell'ISMS e aggiungere PCI DSS ai vostri requisiti legali e contrattuali (A.5.31).
2. Eseguire il report di gap analysis ISO 27001 → PCI DSS e trattare ogni requisito non mappato come un controllo da progettare, non come una mappatura da trovare.
3. Ridurre il perimetro prima di costruire i controlli: segmentazione, tokenizzazione e pagine di pagamento esternalizzate possono escludere ampie parti di PCI DSS dal perimetro.
4. Usare le frequenze di PCI nei controlli del vostro ISMS, così un solo controllo soddisfa entrambi: ISO è soddisfatto da qualsiasi frequenza ben motivata, quindi scegliete quella di PCI.

Il confronto ISO 27001 vs PCI DSS elenca ogni requisito in entrambe le direzioni. Il testo di PCI DSS è copyright di PCI SSC, quindi i titoli dei requisiti su questo sito sono nostri riassunti brevi.

Domande

La certificazione ISO 27001 soddisfa PCI DSS?

No. I circuiti di carte richiedono la validazione PCI DSS (un Report on Compliance o un Self-Assessment Questionnaire) indipendentemente dalla certificazione ISO. Un ISMS aiuta a gestire il programma, ma la maggior parte dei requisiti PCI è più specifica dell'Allegato A.

Quali requisiti PCI DSS copre meglio ISO 27001?

Governance e politiche (Requisito 12), principi di controllo degli accessi (7) e risposta agli incidenti sono ben mappati. Le lacune si concentrano in impostazioni tecniche specifiche, frequenze e gestione dei dati dei titolari di carta.