Categorización del servidor de respaldo en Open PCI Scoping Toolkit

He investigado mucho sobre este tema. Aparentemente, es posible tratar los datos cifrados como fuera del alcance si y solo si se ha validado que la entidad que posee datos de titular de tarjeta cifrados no tiene los medios para descifrarlo. 3.2, página 8.

Lamentablemente, en mi caso, no hay una manera de garantizar fácilmente que alguien con acceso al servidor de respaldo no pueda obtener un respaldo de las unidades que contienen las claves de cifrado.

No puedo comentar, pero ¿puedes explicar las categorizaciones? No deseo suscribirme al kit de herramientas vinculado. Si cumple con las pautas de respaldo y almacenamiento, debe considerar los datos respaldados en el mismo contexto que los datos originales. Quién puede acceder desde el servidor de copia de seguridad y el almacenamiento. ¿Está la copia de seguridad encriptada? ¿Se mantienen las ACL? ¿Hay un grupo grande de administradores de respaldo que pueden acceder a los datos de respaldo que no estaban al tanto de los mismos datos en la ubicación original? Parece que tu pregunta es sobre objetivos de copia de seguridad. Si realiza una copia de seguridad de los datos PCI y no PCI en un destino común, dicho objetivo debe cumplir con todos los requisitos de PCI. Debería poder usar la misma infraestructura de copia de seguridad, pero dividir sus agrupaciones de medios o destinos. Es posible que deba establecer diferentes políticas con diferentes conjuntos de administradores y trabajos. Es posible que luego puedas compartir tu infraestructura.