Cumpla las normas del PCI DSS fácilmente con Endpoint Central

Endpoint Central, con sus funciones de evaluación de amenazas, identifica los puntos de entrada vulnerables (puertos, software vulnerable, etc.) en su red y aplica correcciones.

Consulte: 
Control de dispositivos para auditorías de puertos (#)
Auditoría de software (#)

El tráfico saliente del CDE (Entorno de datos del titular de la tarjeta) está restringido de la siguiente manera:

• Sólo para el tráfico necesario.
• El tráfico restante está específicamente denegado.

Las avanzadas técnicas de prevención de pérdida de datos de Endpoint Central, con su efectiva solución de protección del correo electrónico y la carga en la nube, restringen los datos críticos de la empresa para que sólo se compartan con dominios de confianza, ya sea a través del correo electrónico o de la carga en la nube.

Consulte: 
Seguridad del correo (#)
Protección en la nube (#)

La arquitectura de red neutral de Endpoint Central permite a nuestros administradores gestionar y proteger los sistemas CDE (entorno de datos del titular de la tarjeta), incluso si están aislados de Internet.

Consulte:
Arquitectura DMZ de Endpoint Central 
 

Los controles de seguridad se implementan en cualquier equipo informático, incluyendo los dispositivos propiedad de la empresa y de los empleados, que se conecten tanto a redes no confiables (incluyendo Internet) como al CDE de la siguiente manera:

• Se definen parámetros de configuración específicos para evitar que ingresen amenazas en la red de la entidad.
• Los controles de seguridad funcionan de forma activa.
• Los usuarios de los equipos informáticos no pueden alterar los controles de seguridad, a menos que se documente específicamente y sea autorizado por la alta dirección en cada caso y por un periodo limitado.

Las normas de configuración se desarrollan, implementan y mantienen para:

• Cubrir todos los componentes del sistema.
• Abordar todas las vulnerabilidades de seguridad conocidas.
• Alinearse con las normas de refuerzo del sistema aceptadas por la industria o con las recomendaciones de refuerzo del proveedor.
• Actualizarse a medida que se identifiquen nuevos problemas de vulnerabilidad, tal y como se define en el requisito 6.3.1.
• Aplicarse cuando se configuren nuevos sistemas y se verifique que están en funcionamiento antes o inmediatamente después de que un componente del sistema se conecte a un entorno de producción.

Las cuentas predeterminadas de los proveedores se gestionan de la siguiente manera:

• Si se van a utilizar las cuentas predeterminadas del proveedor, se cambia la contraseña predeterminada según los requisitos 8.3.6.
• Si no se van a utilizar las cuentas predeterminadas del proveedor, la cuenta se elimina o se deshabilita.

Mediante Endpoint Central, se pueden aplicar políticas de contraseñas estrictas a los equipos de los usuarios finales. Las cuentas que no se utilicen se pueden eliminar.

Consulte:

Políticas de contraseña 
Gestión de usuarios 
Informe de estado de la cuenta de usuario

Los parámetros de seguridad, como los parámetros del registro, la cuenta, el archivo, los parámetros de permisos de directorio y los parámetros de funciones, puertos, protocolos y conexiones remotas, se pueden modificar aplicando las configuraciones correspondientes desde Endpoint Central.

Consulte: 
Configurar los parámetros del registro

El PAN (número de cuenta principal) se hace ilegible en cualquier lugar donde se almacene utilizando cualquiera de los siguientes métodos:

• Hashes unidireccionales basados en una criptografía segura de todo el PAN.
• Truncamiento (el hashing no se puede utilizar para reemplazar el segmento truncado del PAN). - Si en un entorno existen versiones hash y truncadas del mismo PAN, o diferentes formatos de truncamiento del mismo PAN, existen controles adicionales para que las diferentes versiones no puedan correlacionarse para reconstruir el PAN original.
• Tokens de índice.
• Criptografía segura con procesos y procedimientos de gestión de claves asociados.

Si se utiliza el cifrado a nivel de disco o de partición (en lugar del cifrado a nivel de archivo, columna o campo de la base de datos) para hacer ilegible el PAN, sólo se implementa de la siguiente manera:

• En soportes electrónicos extraíbles

O

• Si se utiliza para soportes electrónicos no extraíbles, el PAN también se hace ilegible mediante otro mecanismo que cumpla el requisito 3.5.1.

Si se utiliza el cifrado a nivel de disco o de partición (en lugar del cifrado a nivel de archivo, columna o campo de la base de datos) para hacer ilegible el PAN, se gestiona de la siguiente manera:

• El acceso lógico se gestiona de forma separada e independiente de los mecanismos nativos de autenticación y control de acceso del sistema operativo.
• Las claves de descifrado no están asociadas a cuentas de usuario.
• Los factores de autenticación (contraseñas, frases de contraseña o claves criptográficas) que permiten el acceso a datos no cifrados se almacenan de forma segura.

Se definen e implementan procedimientos para proteger las claves criptográficas utilizadas para proteger los datos almacenados de las cuentas contra la divulgación y el uso indebido que incluyen:

• El acceso a las claves está restringido al menor número de custodios necesario.
• Las claves de cifrado son al menos tan seguras como las claves de cifrado de datos que protegen.
• Las claves de cifrado se almacenan por separado de las claves de cifrado de datos.
• Las claves se guardan de forma segura en el menor número posible de lugares y formas.

Las soluciones antimalware implementadas:

• Detectan todos los tipos de malware conocido.
• Eliminan, bloquean o contienen todos los tipos de malware conocido.

Endpoint Central tiene integrado un motor antivirus de última generación que detecta de forma proactiva las ciberamenazas con su tecnología de aprendizaje profundo y detección de comportamientos en tiempo real asistida por IA.

Aparte de la detección de amenazas en tiempo real, Endpoint Central también realiza de forma activa análisis forenses de incidentes para que SecOps analice la causa raíz y la gravedad de las amenazas.

Si el motor antivirus de nueva generación detecta un comportamiento sospechoso en los endpoints, puede ponerlos en cuarentena y, tras un exhaustivo análisis forense, se pueden implementar de nuevo en producción.

Endpoint Central también proporciona un respaldo instantáneo y no borrable de los archivos de su red cada tres horas aprovechando el servicio de copia oculta de volumen de Microsoft.

Si un archivo está infectado con ransomware, se puede restaurar con la copia de seguridad más reciente del archivo.

Las soluciones antimalware:

• Realizan escaneos periódicos y escaneos activos o en tiempo real.

O

• Realizan un análisis continuo del comportamiento de los sistemas o procesos.

Se activa un proceso de análisis automatizado cada vez que algún dispositivo periférico intenta conectarse con un endpoint, ya sea físicamente o por bluetooth, y realiza el análisis de auditoría en función de la política creada. Esto se realiza además de que nuestro NGAV inicie un análisis para detectar cualquier presencia de malware.

Consulte: 
Escaneo y auditoría de dispositivos (#)

Las vulnerabilidades de seguridad se identifican y gestionan de la siguiente manera:

• Las nuevas vulnerabilidades de seguridad se identifican utilizando fuentes de información sobre vulnerabilidades de seguridad reconocidas por la industria, incluidas las alertas de los Equipos de Respuesta a Emergencias Informáticas (CERT) internacionales y nacionales.
• A las vulnerabilidades se les asigna una clasificación de riesgo basada en las mejores prácticas de la industria y en la consideración del impacto potencial.
• Las clasificaciones de riesgo identifican, como mínimo, todas las vulnerabilidades que se consideran de alto riesgo o críticas para el medio ambiente.
• Se cubren las vulnerabilidades del software personalizado y de terceros (por ejemplo, sistemas operativos y bases de datos)

Endpoint Central identifica las vulnerabilidades de seguridad en la red, enumerándolas según la prioridad con la que deben abordarse. Luego se puede iniciar la corrección desde la consola del producto.

Consulte: 
Gestión de vulnerabilidades (#)

Todos los componentes del sistema están protegidos frente a vulnerabilidades conocidas mediante la instalación de los parches/actualizaciones de seguridad aplicables, tal y como se indica a continuación:

• Los parches/actualizaciones para vulnerabilidades críticas (identificados según el proceso de clasificación de riesgos en el Requisito 6.3.1) se instalan en el plazo de un mes a partir de su publicación.

• Todos los demás parches/actualizaciones de seguridad aplicables se instalan dentro de un plazo adecuado, según la entidad determine con la evaluación de la criticidad del riesgo para el medio ambiente, tal como se identifica de acuerdo con el proceso de clasificación de riesgos en el requisito 6.3.1.

Gracias a sus funciones de evaluación y corrección de vulnerabilidades, Endpoint Central garantiza que todos los sistemas de la red estén totalmente cubiertos contra las amenazas críticas.

La función de implementación automática de parches (APD) ofrece a los administradores de sistemas la posibilidad de actualizar automáticamente cualquier parche que falte o todos los parches sin intervención humana.

Consulte: 
Proceso de implementación de parches

La función de PoLP (principio de mínimos privilegios) incluida en el módulo de control de la aplicación apoya el concepto de reducir el amplio conjunto de privilegios al mínimo indispensable para realizar la función. Esta característica no se limita a los usuarios, ya que los sistemas, aplicaciones y servicios también se benefician.

Consulte: 
Gestión de privilegios (#)

Endpoint Central permite a los administradores de TI encontrar las cuentas de usuario inactivas y eliminarlas.

Consulte: 
Gestión de usuarios 
Informes de usuario de Active Directory

Endpoint Central, con su configuración de gestión de energía, puede configurar los equipos de los usuarios finales para que realicen diversas actividades, como atenuar o apagar la pantalla, solicitar al usuario que introduzca la contraseña cuando el equipo se reanude luego de la suspensión, etc.

Consulte:
Gestión de energía

Todos los accesos de los usuarios y administradores a los componentes del sistema se autentican mediante al menos uno de los siguientes factores de autenticación:

• Algo que usted conoce, como una contraseña o frase de contraseña.
• Algo que usted tiene, como un dispositivo token o una tarjeta inteligente.
• Algo que usted es, como un elemento biométrico.

Endpoint Central puede ayudar a crear y configurar contraseñas seguras para proteger los dispositivos y evitar que los intrusos accedan a los endpoints de la organización.

Consulte:
Políticas de contraseña 
Perfiles de MDM para códigos de acceso

Los intentos de autenticación no válidos están limitados por:

• Bloquear el ID del usuario después de máximo 10 intentos.
• Ajustar la duración del bloqueo a un mínimo de 30 minutos o hasta que se confirme la identidad del usuario.

Las funciones de gestión de dispositivos móviles en Endpoint Central permiten mantener varias contraseñas en el historial, lo que significa que un administrador de TI puede especificar el número de contraseñas anteriores que se tendrán en cuenta, para que los usuarios no las reutilicen.

Consulte: 
Código de acceso de MDM

Si las contraseñas/frases de contraseña se utilizan como único factor de autenticación para el acceso de los usuarios (es decir, en cualquier implementación de autenticación de factor único), entonces:

• Las contraseñas/frases de contraseña se cambian al menos una vez cada 90 días,

O

• La postura de seguridad de las cuentas se analiza dinámicamente y el acceso a los recursos en tiempo real se determina automáticamente en consecuencia.

Las funcionalidades de MDM en Endpoint Central se pueden utilizar para configurar políticas de contraseñas que le permitan establecer ciertas características de las contraseñas como la longitud de la contraseña, la antigüedad máxima de la contraseña, etc. También puede generar un informe personalizado con los detalles de los usuarios cuyas contraseñas caducarán pronto

Consulte: 
Código de acceso de MDM

Cuando los datos se identifican y categorizan como datos sensibles que contienen detalles relevantes para la PCI, Endpoint Central, con sus técnicas de prevención de pérdida de datos, restringe que los datos críticos de la empresa queden expuestos o se filtren a través de medios de almacenamiento extraíbles o que se impriman o incluso se copien utilizando el portapapeles.

Consulte: 
Control de dispositivos (#) 
Amenazas internas (#)

Con las reglas de datos simplificadas pero eficaces de Endpoint Central, ahora se pueden identificar de manera más efectiva y precisa los datos críticos de la empresa que contienen códigos bancarios, números de ruta ABA, IBAN (números internacionales de cuenta bancaria) y números de tarjetas de crédito.

Consulte: 
Descubrimiento de datos (#) 
Clasificación de datos (#)

Los escaneos de vulnerabilidades internas se realizan de la siguiente manera:

• Al menos una vez cada tres meses.
• Se resuelven las vulnerabilidades que son de alto riesgo o críticas (según la clasificación de riesgos de vulnerabilidad de la entidad definida en el requisito 6.3.1).
• Se vuelven a realizar escaneos para confirmar que se han resuelto todas las vulnerabilidades críticas y de alto riesgo (como se ha indicado anteriormente).
• La herramienta de escaneo se mantiene actualizada con la información más reciente sobre vulnerabilidades.
• Los escaneos son realizados por personal cualificado y existe independencia organizativa del evaluador.

Endpoint Central identifica las vulnerabilidades de seguridad en la red, enumerándolas según la prioridad con la que deben abordarse. Luego se puede iniciar la corrección desde la consola del producto. 

Consulte:

Gestión de vulnerabilidades  (#)

Las políticas de uso aceptable para las tecnologías de usuario final están documentadas e implementadas, incluyendo:

• Aprobación explícita por las partes autorizadas.
• Usos aceptables de la tecnología.
• Lista de productos aprobados por la empresa para uso de los empleados, incluyendo hardware y software.

Endpoint Central puede permitir que se implementen documentos de condiciones de uso en los dispositivos de sus empleados, y sólo con su consentimiento Endpoint Central comienza a gestionar el dispositivo, obteniendo de forma efectiva el consentimiento del usuario para la gestión de dispositivos. 

Los administradores también pueden distribuir el uso aceptable de TI de la organización a través de su catálogo de contenidos.

 

Las tecnologías de hardware y software en uso se revisan al menos una vez cada 12 meses, incluyendo como mínimo lo siguiente:

• Análisis que indica que las tecnologías siguen recibiendo correcciones de seguridad de los proveedores de forma oportuna.
• Análisis que indica que las tecnologías siguen respaldando (y no impiden) el cumplimiento del PCI DSS por parte de la entidad.
• Documentación de cualquier anuncio o tendencia de la industria relacionada con una tecnología, como cuando un proveedor anuncia planes de "fin de la vida útil" para una tecnología.
• Documentación de un plan, aprobado por la alta dirección, para remediar las tecnologías obsoletas, incluidas aquellas para las que los proveedores han anunciado planes de "fin de la vida útil".

Endpoint Central monitorea constantemente la red de la entidad en busca de software EOL y también puede aplicar correcciones de seguridad para el software cuando sea necesario.

Consulte: 
Auditoría de software al final de su vida útil (#)

Endpoint Central mantiene un inventario de activos de TI con detalles asignados a los componentes de TI correspondientes. Combinado con sus avanzadas técnicas de prevención de pérdida de datos, Endpoint Central protege los datos confidenciales frente al creciente número de vectores de amenaza.

Consulte: 
Escanear, gestionar y proteger los datos (#)
Gestión de inventario