PCI DSS 4.0 och penetrationstest

Krav 11.4 för e-handel och betalningsaktörer: vad som ska testas, hur ofta och vad ni behöver dokumentera.

SAMMANFATTNING

Guiden går igenom krav 11.4 i PCI DSS 4.0.1 för e-handel och betalningsaktörer: vad som ska testas, hur ofta och vad som måste dokumenteras.

Vad krav 11.4 säger

En dokumenterad metodik för penetrationstest ska finnas och följas.
Externt penetrationstest minst en gång per år och efter varje betydande förändring.
Internt penetrationstest med samma intervall.
Fynd ska åtgärdas och testas om tills de är stängda.
Segmenteringstester ska verifiera att kortdatamiljön är isolerad, med tätare intervall för tjänsteleverantörer.

Vad som ingår i scopet

Scopet är kortdatamiljön plus alla system som kan påverka dess säkerhet: betalningsflöden, administrationsgränssnitt, jumphosts, katalogtjänster och de nätverkssegment som gränsar mot miljön. Felaktig scopeavgränsning är en av de vanligaste anmärkningarna.

Dokumentation ni behöver spara

Metodik, scope och motivering till avgränsningen.
Testrapport med datum, testarens kvalifikationer och oberoende.
Åtgärdslogg och bevis på omtest.
Resultat från segmenteringstest.

Vi skickar en nedladdningslänk till din arbetsmejl. Ingen uppföljning utan att du ber om det.

Se alla guider och checklistor