Какую часть PCI DSS v4.0.1 ISO 27001 реально покрывает?

Организации, которые принимают платежи картами и уже работают с СУИБ по ISO 27001, часто ожидают, что PCI DSS потребует лишь небольшого дополнения. Цифры говорят об обратном. Ниже показано, как ISO 27001 соотносится со всем PCI DSS v4.0.1 требование за требованием и почему разрыв больше, чем предполагает пересечение тем.

Главный показатель

Из 260 требования PCI DSS 77 (30%) сопоставлены с чем-либо в ISO 27001, 76 связаны лишь косвенно, а для 107 в наших данных нет сопоставления. Открыть отчёт о разрывах →

Менее трети требований PCI DSS сопоставляется с чем-либо в ISO 27001, и примерно столько же связаны с ним лишь косвенно. Почти каждая тема PCI присутствует где-то в Приложении A, поэтому это не разрыв по темам, а разрыв в детализации.

Где пересечения

раздел PCI DSS	Сопоставлено	Косвенно связано	Нет сопоставления
Requirement 1: Install and maintain network security controls	4 из 19	3	12
Requirement 2: Apply secure configurations to all system components	2 из 11	3	6
Requirement 3: Protect stored account data	8 из 29	7	14
Requirement 4: Protect cardholder data with strong cryptography during transmission	2 из 6	2	2
Requirement 5: Protect all systems and networks from malicious software	4 из 13	5	4
Requirement 6: Develop and maintain secure systems and software	10 из 19	3	6
Requirement 7: Restrict access to system components and cardholder data by business need to know	3 из 12	3	6
Requirement 8: Identify users and authenticate access to system components	6 из 29	15	8
Requirement 9: Restrict physical access to cardholder data	8 из 27	9	10
Requirement 10: Log and monitor all access to system components and cardholder data	6 из 27	10	11
Requirement 11: Test security of systems and networks regularly	3 из 21	6	12
Requirement 12: Support information security with organizational policies and programs	21 из 37	10	6
Appendix A: additional requirements	0 из 10	0	10

Есть ISO 27001, нужен PCI DSS. Требование за требованием: открыть отчёт о разрывах →

Пересечения сосредоточены в тех частях PCI DSS, которые похожи на любой стандарт информационной безопасности: политики и роли в начале каждого требования, риски и управление в Требовании 12, принципы контроля доступа в Требовании 7, а также реагирование на инциденты. Система управления ISO 27001 и Приложение A хорошо покрывают эти области.

Почему большая часть PCI DSS — новая работа

PCI DSS предписывает, как действовать, тогда как ISO 27001 основан на оценке рисков. Приложение A говорит «управлять техническими уязвимостями»; PCI DSS указывает как, как часто и каким сканером. В строках без сопоставления преобладают требования такого рода:

• Обработка данных держателей карт (Требование 3): что нельзя хранить после авторизации, маскирование PAN при отображении, обеспечение нечитаемости везде, где он хранится, и детальные процедуры управления ключами.
• Конкретные периодичности: внутреннее сканирование уязвимостей раз в три месяца и после существенных изменений, внешнее сканирование аттестованным поставщиком сканирования (ASV), проверка журналов и проверка доступа раз в шесть месяцев.
• Конкретные технические настройки: MFA для всего доступа в среду данных держателей карт, тайм-ауты сеансов, минимальная длина паролей и пороги блокировки.
• Специфические для платежей меры: управление скриптами на платёжных страницах и обнаружение их подмены, а также проверка устройств считывания карт на предмет манипуляций.
• Целевые анализы рисков: в версии v4.0 введены анализы рисков, которые определяют периодичность отдельных действий; такие решения затем должны документироваться.

ISO 27001 позволяет выбрать всё это через обработку рисков. PCI DSS решает за вас.

Что по-прежнему даёт СУИБ

Сопоставимая треть требований — не пустяк. СУИБ, которая включает среду данных держателей карт в область действия, даёт основу политик, оценку рисков, роли, управление поставщиками, реагирование на инциденты и внутренний аудит, от которых год за годом зависит соответствие PCI. Требование 12 напоминает сводку пунктов 4–10 ISO, и организации с СУИБ обычно находят управленческую часть PCI DSS простой.

Как планировать

1. Включите среду данных держателей карт в область СУИБ и добавьте PCI DSS в перечень применимых законодательных и договорных требований (A.5.31).
2. Выполните отчёт о разрывах ISO 27001 → PCI DSS и рассматривайте каждое несопоставленное требование как меру контроля, которую нужно спроектировать, а не соответствие, которое нужно найти.
3. Сократите область действия до построения мер контроля: сегментация, токенизация и передача платёжных страниц внешнему провайдеру могут вывести большие части PCI DSS из области действия.
4. Используйте периодичности PCI в мерах контроля СУИБ, чтобы одна мера выполняла оба требования: ISO удовлетворяет любая обоснованная периодичность, поэтому выбирайте периодичность PCI.

Сравнение ISO 27001 и PCI DSS перечисляет каждое требование в обоих направлениях. Текст PCI DSS защищён авторским правом PCI SSC, поэтому названия требований на этом сайте — наши собственные краткие описания.

Вопросы

Может ли сертификация ISO 27001 подтвердить соответствие PCI DSS?

Нет. Платёжные системы требуют подтверждения соответствия PCI DSS (Отчёт о соответствии или Опросник самооценки) независимо от сертификации ISO. СУИБ помогает вести программу, однако большинство требований PCI более конкретны, чем Приложение A.

Какие требования PCI DSS ISO 27001 покрывает лучше всего?

Управление и политики (Требование 12), принципы контроля доступа (7) и реагирование на инциденты сопоставляются хорошо. Разрывы сосредоточены в конкретных технических настройках, периодичностях и обработке данных держателей карт.