Megjelent a PCI DSS legújabb, 3.2-es verziója!

2016 május 3. – A PCI Council április 28-án hivatalosan is kibocsátotta a PCI Data Security Standard (PCI DSS) új, 3.2-es verzióját. Az új szabvány kiváltja a korábbi, 3.1-es verzió rendelkezéseit, megerősített védelmet kínálva az ügyfelek fizetési adatait érintő növekvő fenyegetések ellen. A korábbi, 3.1-es verzió 2016 október 31-én lejár, ezen dátum után már nem lesz alkalmazható.

A frissített szabvány verzió ezúttal is a korábbi verzióváltásoknál már megismert változás típusokat tartalmazza.

• Tisztázás (clarification): az adott követelmény céljának pontosítása
• További útmutatás (additional guidance): további magyarázat, utasítás vagy információ nyújtása egy adott témakör jobb megértéséhez
• Új megjelenő követelmény (evolving requirement): a szabvány mindenkori aktualitásának biztosítását célzó változtatások, a piaci változások függvényében

A 3.2 verzió legfontosabb változásai a következők:

• Az SSL és korai TLS verziók használatának megszűntetésére vonatkozó céldátum meghosszabbítása
• Útmutatás arra vonatkozóan, hogy az első 6/utolsó 4 karaktert meghaladó kártyaszám megjelenítés csak valós üzleti indoklás mellett megengedett, kiegészítve maszkolási lehetőségek bemutatásával
• Új dokumentációs követelmény Szolgáltatók részére a használt kriptográfiai architektúra bemutatására
• Új követelmény érintett PCI DSS követelmények ellenőrzésére a változáskezelési folyamat során
• Több faktoros autentikáció használatának bevezetése nem konzol alapú adminisztratív hozzáférés, illetve a CDE távoli elérése esetén
• Új követelmény Szolgáltatók részére a biztonsági ellenőrző rendszerek meghibásodásának észlelésére és jelzésére
• Új követelmény Szolgáltatók részére minimum félévente a hálózat szegmentációs kontrollok behatolási teszttel történő ellenőrzésére
• Új követelmény Szolgáltató cégek menedzsmentje részére a kártyaadat védelem és a PCI DSS megfelelési program felelősségeinek meghatározására
• Új követelmény Szolgáltatók részére minimum negyedéves ellenőrzések végrehajtására, hogy a személyzet megfelelően követi a biztonsági szabályzatot és az operatív folyamatokat
• Kiegészítő biztonság ellenőrzési rendelkezések a DESV (Designated Entities Supplemental Validation) kategória alá eső Szolgáltatók részére

A Szabvány új verziója, egyéb PCI vonatkozású anyagokkal együtt szabadon elérhető a PCI Security Standards Council honlapján.