Ana sayfa Yazılar PCI DSS sızma testi ne ister
PCI DSS sızma testi ne ister
Kart verisi kapsamındaysanız ölçü, PCI DSS’in güncel metnidir. v4.0.1 içinde 11.4, iç ve dış penetrasyon testinin düzenli yapılmasını ve bulunan zayıflığın düzeltilmesini anlatır. Bu yazı o metnin yerine geçmez. Kart veriniz yoksa 11.4 size görev yazmaz. Sızma testi, standardın adını taşısa da yine imzalı formla yürür.
Kısa sonuç
- Madde numarasını ve sürümü güncel PCI DSS’ten okuyun.
- Segmentasyon kullanıyorsanız onun testi de metindedir. Bu sayfa eşiği koymaz.
- Bulgunun kapanması, raporun teslimiyle bitmez.
- Test firmasının raporu, değerlendiricinin yerine geçmez.
Metin ne söyler
v4.0.1’in 11.4 başlığı, dış ve iç penetrasyon testinin düzenli yapılmasını ve sömürülebilir zayıflığın düzeltilmesini ister. Alt maddeler, yöntem, sıklık ve segmentasyon için ayrı cümleler taşır. Sizin kapsamınız hangi alt maddeye düşüyorsa onu belge kitaplığındaki güncel dosyadan okuyun. Eski bir rehber, v4.0.1’in yerine konmaz.
Sıklığı biz uydurmayız. “Yılda bir herkese yeter” cümlesi, standardın cümlesi değilse takvim değildir. Değişiklik, eski turun kapsamını da düşürebilir. Bunu sıklık yazısı ayırır.
Form hâlâ gerekir
Standart test istiyor diye form kalkmaz. Adres, ortam, saat, hız ve yasak kilitlenir. Kart verisini dışarı çıkarmak, formda ayrıca açılmadıkça yasaktır. Kanıt maskelidir. Ham kart alanı rapora yapışmaz.
NIST SP 800-115, testi bir uygunluk aracı olarak da anlatır. Araç, standardın kendi test adımının yerine geçmez. Değerlendirici, kendi prosedürünü uygular. Bizim teslim, yönetici özeti ve teknik rapordur.
Raporu nasıl okursunuz
Kartın önem, CVSS, CWE, sorumlu ve etki satırı durur. Segmentasyon denendiyse, denenen kontrolün adı yazılır. Denenmediyse “ayrım sağlam” yazılmaz. O satır açık kalan veya uygulanamaz olur. Düzeltme bitince aynı madde yeniden teste gider.
Güncel metin PCI SSC belge kitaplığındadır. Tur için iletişim açıktır.