การทำ Compliance ตาม PCI DSS

อย่าจัดเก็บข้อมูลผู้ถือบัตรหากไม่จำเป็นต่อการดำเนินธุรกิจ และหากต้องจัดเก็บข้อมูล ต้องใช้วิธีป้องกันที่เหมาะสม เช่น encryption, truncation, masking และ hashing ของข้อมูลบัญชี นอกจากนี้ควรจัดทำเอกสาร บันทึก และปกป้อง cryptographic keys และเครื่องมือเข้ารหัสทั้งหมด

ตอบโจทย์ข้อกำหนดนี้ด้วย ManageEngine

สแกนหาข้อมูลที่อยู่ภายใต้ข้อกำหนดใน CDE เป็นระยะ ตั้งค่านโยบายการเก็บรักษาข้อมูล และป้องกันการรั่วไหลผ่านอีเมล สื่อบันทึกแบบถอดได้ และเครื่องพิมพ์ นอกจากนี้ยังช่วยให้เห็นความชัดเจนของสภาพแวดล้อม SSH และ SSL และควบคุม keys ได้เพื่อป้องกันการละเมิดข้อมูลและปัญหา Compliance

ป้องกันการ compromise ข้อมูลผู้ถือบัตรระหว่างการส่งผ่านเครือข่ายไร้สายที่ตั้งค่าไม่เหมาะสม โดยเข้ารหัสข้อมูลก่อนส่ง เข้ารหัส session ที่ใช้ส่งข้อมูล หรือทำทั้งสองอย่าง ใช้ strong cryptography เพื่อเพิ่มความมั่นใจในการปกป้องข้อมูลผู้ถือบัตร

ตอบโจทย์ข้อกำหนดนี้ด้วย ManageEngine

ประเมินและตรวจสอบเครือข่ายที่จัดเก็บ ประมวลผล หรือส่งต่อข้อมูลผู้ถือบัตรตามข้อกำหนด PCI DSS ที่เกี่ยวข้อง และตรวจสอบให้แน่ใจว่าข้อมูลที่ส่งผ่านเครือข่ายสาธารณะได้รับการปกป้องอย่างครบถ้วนด้วย end-to-end 256-bit AES encryption

ใช้โซลูชัน anti-malware เพื่อปกป้องระบบและเครือข่ายของคุณจากภัยคุกคาม malware ที่มีอยู่ในปัจจุบันและที่พัฒนาอย่างต่อเนื่อง ควรอัปเดตซอฟต์แวร์ anti-virus อยู่เสมอ สแกนหาช่องโหว่ของระบบเป็นระยะ และตรวจสอบ Log เพื่อเฝ้าระวังภัยคุกคามอย่างใกล้ชิด

ตอบโจทย์ Requirement นี้ด้วย ManageEngine

ทำให้การติดตั้งซอฟต์แวร์ anti-virus บนอุปกรณ์ในเครือข่ายเป็นแบบอัตโนมัติ คุณยังสามารถประเมินเป็นระยะเพื่อระบุและประเมินภัยคุกคาม malware รูปแบบใหม่ในระบบ และดำเนินการที่จำเป็นเพื่อรับมือกับภัยคุกคามเหล่านี้

ระบุช่องโหว่ของซอฟต์แวร์และระบบ แล้วติดตั้ง security patch ที่เหมาะสม ช่องโหว่ที่เกี่ยวข้องกับซอฟต์แวร์ที่พัฒนาขึ้นเองสามารถหลีกเลี่ยงได้ด้วยกระบวนการ software lifecycle (SLC) และเทคนิค secure coding

ตอบโจทย์ Requirement นี้ด้วย ManageEngine

สแกน ระบุ และจัดอันดับความเสี่ยงให้กับช่องโหว่ด้านความปลอดภัยที่เพิ่งค้นพบ พร้อมอัปเดต critical patch โดยอัตโนมัติโดยไม่ต้องมีคนเข้ามาดำเนินการ

ใช้นโยบายและกลไก access control เพื่อป้องกันการเข้าถึงระบบสำคัญ application ต่างๆ และข้อมูลโดยไม่ได้รับอนุญาต จำกัดการเข้าถึงและกำหนดสิทธิ์ตามความจำเป็นและหน้าที่ความรับผิดชอบของงาน

ตอบโจทย์ Requirement นี้ด้วย ManageEngine

ใช้ความสามารถ role-based access control (RBAC) เพื่อกำหนดและมอบสิทธิ์การเข้าถึงให้ผู้ใช้ที่เลือก โดยมีระดับสิทธิ์ที่ชัดเจน คุณยังสามารถจำกัดสิทธิ์ให้เหลือเท่าที่จำเป็นต่อการปฏิบัติงานได้

ใช้และจัดการมาตรการด้านการระบุและยืนยันตัวตนที่รัดกุม เพื่อกำหนดสิทธิ์และสิทธิพิเศษของผู้ใช้ จัดตั้งและจัดการตัวตนผู้ใช้ และยืนยันตัวตนด้วยปัจจัยการยืนยันตัวตน เช่น multi-factor authentication (MFA) เพื่อเสริมความปลอดภัยของ CDE ของคุณ

ตอบโจทย์ Requirement นี้ด้วย ManageEngine

รับ report สถานะของบัญชีผู้ใช้ รวมถึงผู้ใช้ที่ไม่ได้ใช้งาน เพื่อให้มั่นใจว่าผู้ใช้ที่พ้นสภาพแล้วถูกลบออกจากรายการการเข้าถึงไฟล์

คุณยังสามารถกำหนดพารามิเตอร์เพื่อสร้างนโยบาย passcode ตั้งค่า passcode เปิดใช้ two-factor authentication ดูแล Inventory Log สำหรับกิจกรรมที่เกี่ยวข้องกับตัวตนทั้งหมด และอื่นๆ ได้อีกมาก

ตั้งค่ากลไกความปลอดภัยเพื่อจำกัดการเข้าถึง cardholder data ทางกายภาพ ซึ่งรวมถึงการจำกัดการเข้าใช้งานสถานที่และระบบที่มี cardholder data

นอกจากนี้ ควรปกป้องสื่อทั้งหมดที่มี cardholder data ทางกายภาพ และทำลายเมื่อธุรกิจของคุณไม่จำเป็นต้องใช้อีกต่อไป

ตอบโจทย์ Requirement นี้ด้วย ManageEngine

ดูแล Inventory Log ที่เกี่ยวข้องกับสื่อที่มี cardholder data เพื่อช่วยในการทำ Audit รายการสื่อเป็นระยะ และช่วยให้คุณทำลายสื่อนั้นได้เมื่อไม่จำเป็นต้องใช้อีกต่อไป

ใช้แนวทางการมอนิเตอร์และจัดการ Log เพื่อให้มั่นใจว่ามีการรวบรวมและวิเคราะห์ Log ทั้งหมดที่เกี่ยวข้องกับ system components และ CDE ควรปกป้อง Audit Log เหล่านี้จากการแก้ไขโดยไม่ได้รับอนุญาต เพราะ Log เหล่านี้ช่วยตรวจจับและแจ้งเตือนความผิดปกติ กิจกรรมที่น่าสงสัย และสนับสนุน Forensic analysis ของเหตุการณ์

ตอบโจทย์ Requirement นี้ด้วย ManageEngine

ทำ Audit กิจกรรมผู้ใช้ทั้งหมดใน CDE ของคุณแบบ Real-time และใช้ audit trail แบบอัตโนมัติสำหรับ system components ทั้งหมด คุณสามารถสำรองไฟล์ audit trail ไปยังเซิร์ฟเวอร์ Log ส่วนกลาง เพื่อป้องกันการแก้ไขโดยไม่ได้รับอนุญาต

ติดตามการเปลี่ยนแปลงที่ผู้ใช้ซึ่งมีสิทธิ์ระดับผู้ดูแลระบบทำไว้ และตรวจสอบข้อยกเว้นรวมถึงความผิดปกติที่พบระหว่างกระบวนการทบทวน โซลูชันของเรายังช่วยตรวจจับการเปลี่ยนแปลงในไฟล์สำคัญและสร้างการแจ้งเตือนที่ทันท่วงทีเมื่อพบการเปลี่ยนแปลงดังกล่าว

ทำการทดสอบ penetration และ vulnerability testing เพื่อระบุ จัดลำดับความสำคัญ และแก้ไขช่องโหว่ด้านความปลอดภัยทั้งภายในและภายนอก ดำเนินการสแกนด้วย wireless analyzer เพื่อตรวจหาและระบุ wireless access point ทั้งที่ได้รับอนุญาตและไม่ได้รับอนุญาต รวมถึงติดตามการแก้ไขไฟล์และการบุกรุกเครือข่าย

ตอบโจทย์ Requirement นี้ด้วย ManageEngine

ทำการสแกนหาช่องโหว่ภายในเพื่อตรวจหาและแก้ไขช่องโหว่ที่มีความเสี่ยงสูงทั้งหมด คุณยังสามารถใช้กลไกตรวจจับการเปลี่ยนแปลงเพื่อรับการแจ้งเตือนเป็นประจำเกี่ยวกับการแก้ไขไฟล์ระบบสำคัญ ไฟล์ Configuration หรือไฟล์เนื้อหาโดยไม่ได้รับอนุญาต

จัดทำนโยบายความปลอดภัยของข้อมูลที่กำหนดบทบาทและความรับผิดชอบด้านความปลอดภัยของบุคลากรทุกคนอย่างชัดเจน รวมถึงพนักงาน ผู้รับเหมา และที่ปรึกษา คุณควรดำเนินโปรแกรมด้านความปลอดภัยเป็นประจำ เช่น การประเมินความเสี่ยง การอบรมสร้างความตระหนักให้ผู้ใช้ การตรวจสอบประวัติพนักงาน และการจัดการ Incident

ตอบโจทย์ Requirement นี้ด้วย ManageEngine

กำหนดนโยบายการใช้งานสำหรับเทคโนโลยีที่สำคัญ ห้ามผู้ใช้จัดเก็บหรือคัดลอก cardholder data มอนิเตอร์และวิเคราะห์การแจ้งเตือนรวมถึงข้อมูลด้านความปลอดภัย และอื่นๆ อีกมาก คุณยังสามารถทำการประเมินความเสี่ยงเพื่อระบุสินทรัพย์สำคัญ ภัยคุกคาม และช่องโหว่ได้