Penuhi standar PCI DSS dengan Endpoint Central

Semua layanan, protokol, dan port yang diperbolehkan harus diidentifikasi, disetujui, dan memiliki kebutuhan bisnis yang terdefinisi dengan jelas.

Tim SecOps dapat melakukan port audit di lingkungan mereka dan menurunkan attack surface jika terjadi kasus eksploitasi zero-day dengan menggunakan Endpoint Central.

Fitur keamanan harus ditetapkan dan diterapkan kepada semua layanan, protokol, dan port yang sedang digunakan dan dianggap tidak aman, sehingga risiko dapat diminimalkan.

Endpoint Central, dengan kemampuan threat assessment-nya, mampu mengidentifikasi titik masuk yang rentan (port, vulnerable software, dll.) pada jaringan Anda dan menerapkan perbaikan yang diperlukan.

Referensi:
Device Control untuk port audit (#)
Software audit (#)

Traffic outbound dari CDE (Cardholder Data Environment) harus dibatasi sebagaimana berikut:

• Hanya ke traffic yang diperlukan.
• Semua traffic lainnya secara khusus ditolak.

Teknik data loss prevention (DLP) yang canggih dari Endpoint Central, dengan solusi perlindungan email dan upload cloud yang efektif, memastikan data penting perusahaan hanya dapat dibagikan ke domain tepercaya, baik itu melalui email atau upload cloud.

Referensi:
Keamanan email (#)
Pelindungan Cloud (#)

NSC (Network Security Controls) harus diimplementasikan di antara jaringan tepercaya dan tidak tepercaya.
 

Arsitektur jaringan Endpoint Central yang netral memungkinkan admin untuk mengelola dan mengamankan sistem CDE (Card Data Environment), bahkan meskipun mereka terisolasi dari internet.

Referensi:
Arsitektur DMZ Endpoint Central
 

Informasi tentang IP address internal dan routing hanya dapat diungkapkan kepada pihak yang berwenang.

Admin dapat mengatur setting NAT untuk server Endpoint Central, sehingga endpoint yang dikelola dapat menghubungi server menggunakan FQDN (Fully Qualified Domain Name).

Kontrol keamanan harus diimplementasikan pada setiap perangkat komputasi, termasuk perangkat milik perusahaan dan karyawan, yang terhubung ke jaringan tidak tepercaya (termasuk internet) dan CDE dengan ketentuan berikut:

• Pengaturan konfigurasi spesifik harus ditetapkan untuk mencegah ancaman masuk ke dalam jaringan entitas.
• Kontrol keamanan harus aktif berjalan.
• Kontrol keamanan tidak dapat diubah oleh pengguna perangkat komputasi, kecuali jika secara khusus didokumentasikan dan disetujui oleh manajemen dalam kasus tertentu untuk jangka waktu terbatas.

Dengan modul kontrol perangkat dari Endpoint Central, strategi zero trust dapat diterapkan dan diotomatisasi untuk memastikan perlindungan optimal serta membatasi akses data endpoint dari perangkat periferal yang tidak sah.
Endpoint Central juga memungkinkan penerapan kebijakan dan konfigurasi keamanan pada perangkat pengguna, untuk memberlakukan pembatasan yang menentukan apakah mereka diizinkan menyambungkan perangkat USB eksternal atau terhubung ke jaringan yang tidak tepercaya.

Referensi:
Keamanan Zero trust (#)
Keamanan perangkat USB
Kebijakan keamanan
Konfigurasi keamanan browser (#)
Perlindungan terhadap malware

Standar konfigurasi harus dikembangkan, diterapkan, dan dijaga untuk:

• Mencakup semua komponen sistem.
• Mengatasi semua kerentanan keamanan yang diketahui.
• Konsisten dengan standar hardening sistem yang diterima industri atau rekomendasi hardening dari vendor.
• Diperbarui saat muncul masalah kerentanan baru, sesuai dengan yang ditetapkan dalam Persyaratan 6.3.1.
• Diterapkan saat sistem baru dikonfigurasi dan diverifikasi sebelum atau segera setelah komponen sistem terhubung ke lingkungan produksi.

Endpoint Central memungkinkan Anda mengidentifikasi attack surface yang rentan pada jaringan dan melakukan langkah remediasi yang dibutuhkan pada mesin agent. Selain itu, proses patching juga dapat dijadwalkan oleh admin berdasarkan keparahan dari kerentanan yang terdeteksi.

Referensi:
Deployment patch otomatis (#)
Compliance CIS (#)

Akun default vendor dikelola dengan ketentuan sebagai berikut:

• Jika akun default vendor akan digunakan, password default harus diganti berdasarkan Persyaratan 8.3.6.
• Jika akun default vendor tidak akan digunakan, akun harus dihapus atau dinonaktifkan.

Dengan Endpoint Central, kebijakan password yang ketat dapat diterapkan pada perangkat pengguna. Akun yang tidak digunakan dapat dihapus.

Referensi:

Kebijakan password
Manajemen user
Laporan status akun user

Hanya layanan, protokol, daemon, dan fungsi yang diperlukan yang diaktifkan. Semua fungsi yang tidak diperlukan harus dihapus atau dinonaktifkan.

Konfigurasi blocklist berbasis kebijakan dalam modul kontrol aplikasi membantu meningkatkan keamanan dengan membatasi proses yang tidak perlu. Konfigurasi keamanan seperti perlindungan USB, permission management, kebijakan keamanan, dan konfigurasi firewall dapat diterapkan menggunakan Endpoint Central.

Referensi:
Blocklist aplikasi (#)
Keamanan perangkat USB
Kebijakan keamanan
Konfigurasi keamanan browser

Jika terdapat layanan, protokol, atau daemon yang tidak aman, maka:
• Justifikasi penggunaannya dalam bisnis harus didokumentasikan.
• Fitur keamanan tambahan didokumentasikan dan diimplementasikan untuk mengurangi risiko penggunaan layanan, protokol, atau daemon yang tidak aman.

Endpoint Central dapat membantu mengidentifikasi miskonfigurasi keamanan, termasuk identifikasi adanya protokol lama yang tidak aman.

Parameter keamanan sistem harus dikonfigurasi untuk mencegah penyalahgunaan.

Parameter keamanan seperti registry setting, account, file, directory permission setting dan setting untuk function, port, protokol, dan koneksi remote dapat dimodifikasi dengan menerapkan konfigurasi yang sesuai melalui Endpoint Central.

Referensi:
Konfigurasi setting registry

Semua akses administratif non-konsol harus dienkripsi menggunakan kriptografi yang aman dan andal.

Endpoint Central memanfaatkan protokol enkripsi 256-bit Advanced Encryption Standard (AES) selama proses troubleshoot operasional. Selain itu, endpoint juga dapat berjalan pada mode FIPS untuk memastikan operasi yang aman.

SAD (Sensitive Authentication Data) yang disimpan secara elektronik sebelum otorisasi selesai harus dienkripsi menggunakan kriptografi yang aman dan andal.

Endpoint Central membantu admin mengenkripsi perangkat Windows pengguna menggunakan Bitlocker Management dan perangkat Mac menggunakan enkripsi FileVault. Perangkat Android dan iOS juga dapat dienkripsi menggunakan fitur MDM kami.

PAN (Primary Account Number) dibuat tidak dapat dibaca di mana pun ia disimpan dengan menggunakan salah satu metode berikut:

• One-way hash berbasis kriptografi yang kuat pada seluruh PAN.
• Truncation (hashing tidak dapat digunakan untuk menggantikan segmen PAN yang dipotong).  - Jika versi PAN yang di-hash dan dipotong PAN, atau format pemotongan (truncation) yang berbeda dari PAN yang sama ada dalam suatu lingkungan, kontrol tambahan perlu diterapkan untuk mencegah rekonstruksi PAN asli.
• Index token.
• Kriptografi yang aman dan andal dengan proses dan prosedur key management terkait.

Endpoint Central membantu admin mengenkripsi perangkat Windows pengguna menggunakan Bitlocker Management dan perangkat Mac menggunakan enkripsi FileVault.Perangkat Android dan iOS juga dapat dienkripsi menggunakan fitur MDM kami.

Jika enkripsi disk-level atau partition-level (alih-alih enkripsi database file-level, column-level, atau field-level) digunakan untuk membuat PAN tidak dapat dibaca, penerapannya harus sebagai berikut:

• Pada media elektronik yang removable

ATAU

• Jika digunakan pada media elektronik non-removable, PAN juga harus dibuat tidak dapat dibaca melalui mekanisme lain yang memenuhi Persyaratan 3.5.1.

Perangkat Android dan iOS serta SD card-nya dapat dienkripsi menggunakan fitur MDM kami.

Jika enkripsi disk-level atau partition-level (alih-alih enkripsi database file-level, column-level, atau field-level) digunakan untuk membuat PAN tidak dapat dibaca, penerapannya harus sebagai berikut:

• Logical access harus dikelola secara terpisah dan independen dari mekanisme akses kontrol dan autentikasi OS native.
• Decryption key tidak boleh dikaitkan dengan akun pengguna.
• Authentication factor (password, passphrase, atau cryptographic key) yang memungkinkan akses ke data tidak terenkripsi harus disimpan dengan aman.

Endpoint Central membantu admin mengenkripsi perangkat Windows pengguna menggunakan Bitlocker Management dan perangkat Mac menggunakan enkripsi FileVault. Fitur manajemen Bitlocker kami lebih detail dan dapat memenuhi persyaratan ini.

Prosedur ditetapkan dan diimplementasikan untuk melindungi cryptographic key yang digunakan untuk melindungi data akun tersimpan dari kebocoran dan penyalahgunaan, termasuk:

• Akses ke key dibatasi hanya untuk jumlah custodian yang benar-benar diperlukan.
• Key-encrypting key setidaknya memiliki kekuatan minimal setara dengan data-encrypting key yang dilindungi.
• Key-encrypting key disimpan terpisah dari data-encrypting key.
• Key disimpan secara aman dalam jumlah lokasi dan bentuk seminimal mungkin.

Manajemen Bitlocker dari Endpoint Central menyediakan opsi untuk mengelola recovery key. 

Solusi anti-malware diterapkan pada semua komponen sistem, kecuali pada komponen sistem yang diidentifikasi pada evaluasi berkala berdasarkan Persyaratan 5.2.3 yang menyatakan bahwa komponen sistem tidak memiliki risiko terkena malware.

Endpoint Central memiliki next gen antivirus engine bawaan (saat ini tersedia untuk early access) yang secara proaktif mendeteksi ancaman siber dengan teknologi behavior detection real-time berbasis AI dan deep learning.

Solusi anti-malware yang digunakan harus:

• Mendeteksi semua tipe malware yang diketahui.
• Menghapus, memblokir, atau mengisolasi semua tipe malware yang diketahui.

Endpoint Central memiliki next-gen antivirus engine bawaan yang secara proaktif mendeteksi ancaman siber dengan teknologi behavior detection real-time berbasis AI dan deep learning.

Selain deteksi ancaman real-time, Endpoint Central juga melakukan forensik insiden dengan efektif, sehingga tim SecOps dapat menganalisis root cause dan tingkat keparahan dari ancaman yang ada.

Jika next gen antivirus engine mendeteksi perilaku mencurigakan pada endpoint, teknologi ini akan mengarantina endpoint tersebut dan mengembalikannya ke production setelah melakukan analisis forensik yang lebih detail.

Endpoint Central juga menyediakan backup yang instan dan tidak bisa dihapus pada file di jaringan Anda setiap 3 jam dengan memanfaatkan Microsoft VSS.

Jika file Anda terinfeksi ransomware, file tersebut dapat dikembalikan menggunakan backup copy terkini.

Solusi anti-malware harus tetap terkini melalui update otomatis.

Endpoint Central dikonfigurasi untuk melakukan update secara otomatis.

Solusi anti-malware harus:

• Melakukan pemindaian secara berkala serta pemindaian aktif atau real-time.

ATAU

• Melakukan analisis perilaku sistem atau proses secara berkelanjutan.

Next-gen antivirus dari Endpoint Central dapat melakukan pemindaian real-time setiap kali suatu proses dibuat, saat DLL dimuat, atau saat file baru diunduh atau diperkenalkan ke endpoint.

NGAV kami juga memiliki behavior engine yang menganalisis proses dan aktivitas mencurigakan pada endpoint.

Melakukan pemindaian otomatis ketika media dimasukkan, dihubungkan, atau dikenali oleh sistem.

Proses pemindaian akan dilakukan secara otomatis setiap kali perangkat periferal mencoba terhubung dengan endpoint, baik melalui kabel atau bluetooth, dan melakukan scan audit berdasarkan kebijakan yang dibuat. Selain itu, NGAV kami juga akan menjalankan pemindaian untuk mendeteksi adanya malware.

Referensi:
Audit dan scan perangkat (#)

Log audit untuk solusi anti-malware diaktifkan dan disimpan sesuai dengan Persyaratan 10.5.1.
 

Berdasarkan periode waktu (misalnya 12 bulan) yang dikonfigurasi oleh admin, insiden yang terdeteksi dapat disimpan di konsol sampai waktu yang ditentukan. Solusi kami juga terintegrasi dengan tool SIEM seperti Eventlog Analyzer, Splunk, Rapid 7, dan lainnya.

Mekanisme anti-malware tidak dapat dinonaktifkan atau diubah oleh pengguna, kecuali jika secara khusus didokumentasikan dan diizinkan oleh manajemen dalam kasus tertentu untuk jangka waktu terbatas.
 

NGAV kami bersifat tamper-proof, tidak dapat dinonaktifkan oleh pengguna. Selain itu, Endpoint Central juga memiliki Role-based access control sehingga hanya admin tertentu yang memiliki akses ke konsol Endpoint Central.

Proses dan mekanisme otomatis harus digunakan untuk mendeteksi dan melindungi personel dari serangan phishing.
 

Endpoint Central memanfaatkan konfigurasi keamanan browser, terutama filter phishing, untuk melindungi pengguna melawan serangan phishing.

Security vulnerability diidentifikasi dan dikelola sebagaimana berikut:

• Security vulnerability baru diidentifikasi menggunakan sumber yang diakui dalam industri untuk informasi security vulnerability, termasuk alert dari computer emergency response team (CERT) internasional dan nasional.
• Vulnerability dikategorikan berdasarkan peringkat risiko sesuai dengan best practice di industri dan pertimbangan potensi dampaknya.
• Peringat risiko mencakup, setidaknya, semua vulnerability yang dianggap berisiko tinggi atau kritis bagi lingkungan.
• Vulnerability pada software khusus, custom, dan pihak ketiga (misalnya sistem operasi dan database) juga masuk dalam cakupan.

Endpoint Central mengidentifikasi security vulnerability pada jaringan dan menyusun daftar vulnerability berdasarkan prioritas penanganannya. Tindakan remediasi dapat dilakukan langsung dari konsol produk sesuai dengan tingkat urgensinya.

Referensi:
Vulnerability Management (#)

Semua komponen sistem dilindungi dari vulnerability yang dketahui dengan menginstal patch/update keamanan yang berlaku, dengan ketentuan sebagai berikut:

• Patch/update untuk vulnerability kritis (diidentifikasi berdasarkan proses peringkat risiko pada Persyaratan 6.3.1) diinstal dalam waktu satu bulan sejak dirilis.

 

• Semua patch/update keamanan lain yang relevan diinstal dalam jangka waktu yang sesuai, sebagaimana ditentukan berdasarkan penilaian seberapa kritis risiko vulnerability terhadap lingkungan, sesuai dengan proses peringkat risiko pada Persyaratan 6.3.1.

Dengan menggunakan kemampuan vulnerability assessment dan remediasi, Endpoint Central memastikan semua sistem pada jaringan terlindungi sepenuhnya dari ancaman kritis.

Fungsi Automated Patch Deployment (APD) memungkinkan sysadmin untuk secara otomatis memperbarui sebagian atau semua patch yang hilang tanpa intervensi manusia.

Referensi:
Proses Deployment Patch

Prinsip least privilege (misalnya, pengguna, administrator) diperlukan untuk melakukan suatu fungsi pekerjaan.

Fitur PoLP (Principle of Least Privileges) yang termasuk di modul application control mendukung konsep pengurangan hak akses secara luas hingga ke tingkat minimum yang cukup untuk melakukan tugasnya. Fitur ini tidak hanya terbatas pada penguna, tetapi juga memberikan manfaat bagi sistem, aplikasi, dan layanan.

Referensi:
Privilege management (#)

Sistem kontrol akses harus diterapkan untuk membatasi akses berdasarkan kebutuhan pengguna dan mencakup semua komponen sistem.

Modul Application Control dari Endpoint Central memungkinkan admin untuk membuat allowlist/ blocklist aplikasi software pada sistem Anda. Modul ini menerapkan kebijakan akses bersyarat, memastikan hanya pengguna berwenang yang dapat mengakses sistem penting dan data sensitif.

Endpoint Central juga memiliki akses Just-in-time sehingga admin dapat mengizinkan hak akses spesifik/sementara kepada pengguna.
 

Akses pengguna yang diberhentikan harus segera dicabut.

Endpoint Central membantu admin melakukan remote wipe untuk memastikan keamanan data perusahaan.

Akun pengguna yang tidak aktif harus dihapus atau dinonaktifkan dalam 90 hari setelah tidak aktif.

Endpoint Central memungkinkan admin IT mencari dan menghapus akun pengguna yang tidak aktif.

Referensi:
Manajemen user
Laporan user Active Directory

Jika sesi pengguna idle/diam selama lebih dari 15 menit, pengguna harus melakukan autentikasi ulang untuk mengaktifkan kembali sesi atau terminal.

Endpoint Central memiliki konfigurasi power management yang dapat mengatur perangkat pengguna untuk melakukan berbagai aktivitas, seperti meredupkan atau mematikan layar, meminta pengguna untuk memasukkan password saat komputer kembali menyala dari mode sleep, dan lainnya.

Referensi:
Power Management

Semua akses pengguna ke komponen sistem untuk pengguna dan administrator harus diautentikasi setidaknya menggunakan salah satu metode authentication factor berikut:

• Sesuatu yang diketahui, misalnya password atau passphrase.

• Sesuatu yang dimiliki, misalnya token device atau smart card.

• Sesuatu yang merupakan bagian dari diri pengguna, misalnya biometrik.

Endpoint Central dapat membantu membuat dan mengonfigurasi password yang kuat untuk mengamankan perangkat dan mencegah peretas mengakses endpoint organisasi.

Referensi:
Kebijakan password
Profil MDM untuk passcode

Percobaan autentikasi yang tidak valid dibatasi dengan:

• Mengunci ID pengguna setelah tidak lebih dari 10 percobaan gagal.

• Menetapkan durasi penguncian akun minimal 30 menit atau sampai identitas pengguna dikonfirmasi.

Fitur manajemen vulnerability pada Endpoint Central memungkinkan admin IT menentukan jumlah percobaan kata sandi yang diperbolehkan sebelum akun dibatasi, untuk mencegah akses tidak sah. Fitur ini juga memungkinkan admin untuk menerapkan kebijakan passcode untuk perangkat mobile Android, Apple, dan Windows, memastikan pengguna akhir membuat passcode yang kuat untuk perangkat mereka.

Referensi:
Durasi account lockout (#)

Individu tidak boleh menggunakan password/passphrase baru yang sama dengan salah satu dari empat password/passphrase yang telah digunakan sebelumnya.

Fitur manajemen perangkat mobile Endpoint Central memungkinkan penyimpanan riwayat beberapa password, sehingga admin IT dapat menentukan jumlah pasword sebelumnya yang harus disimpan, agar pengguna tidak menggunakannya lagi.

Referensi:
Passcode MDM

Jika password/passphrase digunakan sebagai satu-satunya authentication factor untuk akses pengguna (misalnya pada implementasi single-factor authentication), maka:

• Password/passphrase harus diganti setidaknya sekali setiap 90 hari,

ATAU

• Keamanan akun harus dianalisis secara dinamis, dan akses real-time ke sumber daya otomatis ditentukan berdasarkan analisis tersebut.

Fitur MDM dari Endpoint Central dapat digunakan untuk mengonfigurasi kebijakan password yang memungkinkan Anda menerapkan karakteristik tertentu seperti panjang password, usia maksimum passcode, dan lainnya. Selain itu, Anda juga dapat membuat laporan custom berisi detail pengguna yang password-nya akan kedaluwarsa.

Referensi:
Passcode MDM

Akses fisik ke wireless access point, gateway, perangkat jaringan/komunikasi, dan jalur komunikasi dalam fasilitas harus dibatasi.

Endpoint Central memiliki kebijakan Wifi serta autentikasi berbasis restriction dan certificate (untuk mengakses wireless access points) pada perangkat mobile.

Semua media dengan data pemilik kartu harus diamankan secara fisik.

Ketika data diidentifikasi dan dikategorikan sebagai data sensitif yang berisi detail PCI, Endpoint Central yang memiliki teknik data loss prevention akan membatasi paparan atau kebocoran data perusahaan melalui media penyimpanan eksternal, pencetakan, atau penyalinan menggunakan clipboard.

Referensi:
Kontrol perangkat (#)
Insider threat (#)

Semua media yang berisi data pemegang kartu diklasifikasikan berdasarkan tingkat sensitivitas data.

Dengan aturan data Endpoint Central yang simpel dan efektif, mengidentifikasi data penting perusahaan yang mengandung kode bank, nomor routing ABA, IBAN (International Bank Account Numbers), dan nomor kartu kredit kini lebih efektif dan tepat.

Referensi:
Data discovery (#)
Data classification (#)

Pemindaian vulnerability internal harus dilakukan berdasarkan ketentuan berikut:

• Setidaknya sekali tiap tiga bulan.
• Kerentanan yang berisiko tinggi atau kritis (menurut peringkat vulnerability risk entitas yang ditetapkan dalam Persyaratan 6.3.1) harus diatasi.
• Pemindaian ulang dilakukan untuk memastikan semua kerentanan berisiko tinggi dan kritis (seperti yang tercantum sebelumnya) sudah diatasi.
• Tool pemindaian harus diperbarui dengan informasi vulnerability terkini.
• Pemindaian harus dilakukan oleh personel yang memenuhi kualifikasi dengan independensi organisasi yang terjaga.

Endpoint Central mengidentifikasi security vulnerability pada jaringan dan menyusun daftar vulnerability berdasarkan prioritas penanganannya. Tindakan remediasi dapat dilakukan langsung dari konsol produk sesuai dengan tingkat urgensinya.

Referensi:

Vulnerability Management (#)

Kebijakan penggunaan yang dapat diterima untuk teknologi end-user harus didokumentasikan dan diterapkan, mencakup:

• Persetujuan eksplisit dari pihak yang berwenang.
• Penggunaan teknologi yang diperbolehkan.
• Daftar produk yang diizinkan oleh perusahaan untuk digunakan karyawan, termasuk hardware dan software.

Endpoint Central dapat mengirimkan dokumen Terms of use ke perangkat karyawan. Manajemen perangkat hanya akan dimulai setelah pengguna memberikan consent untuk mengelola perangkatnya.

Admin juga dapat mendistribusikan acceptable IT use di organisasi melalui katalog konten.

 

Teknologi hardware dan software yang digunakan harus ditinjau setidaknya sekali setiap 12 bulan, termasuk:

• Analisis apakah teknologi yang akan lanjut digunakan terus menerima perbaikan keamanan dari vendor secara tepat waktu.

• Analisis apakah teknologi yang akan lanjut digunakan tetap mendukung (dan tidak menghalangi) compliance PCI DSS.

• Dokumentasi terkait pengumuman industri atau tren mengenai suatu teknologi, seperti ketika vendor mengumumkan rencana "end of life" untuk teknologi tersebut.

• Dokumentasi rencana yang telah disetujui oleh manajemen senior untuk menangani teknologi usang, termasuk yang telah diumumkan sebagai "end of life" oleh vendor.

Endpoint Central memonitor jaringan organisasi secara berkala untuk mengetahui EOL software dan menerapkan perbaikan keamanan software ketika diperlukan.

Referensi:
Audit end-of-life software (#)

Inventaris komponen sistem yang berada dalam cakupan PCI DSS, termasuk penjelasan fungsi/penggunaannya, harus dipelihara dan diperbarui secara berkala.

Endpoint Central menjaga inventaris aset IT dengan detail yang dipetakan ke komponen IT terkait. Dikombinasikan dengan teknik data loss prevention, Endpoint Central melindungi data sensitif dari ancaman yang terus berkembang.

Referensi:
Pindai, kelola dan lindungi data (#)
Inventory Management