Aplicabilidad de exploración de vulnerabilidades para PCI DSS

Absolutamente no.

Si su objetivo es solo obtener el cumplimiento de PCI-DSS, está evaluando la situación incorrectamente. El cumplimiento debe ser un subproducto de una buena seguridad, y las pruebas de penetración y los análisis de vulnerabilidad regulares son una parte invaluable de eso.

Como ejemplo, digamos que se publica 0 días para Windows XP SP3. Hay una buena posibilidad de que no te enteres de las noticias, y no serás consciente de los problemas potenciales. El escaneo de vulnerabilidad regular lo alertará sobre ese problema tan pronto como el escáner se actualice con una rutina de detección. Esto es fundamental para mantener la barrera de entrada en su red relativamente alta.

Si el costo es un factor importante, es hora de presentar su caso para un aumento de presupuesto. Debe sopesar los posibles daños y riesgos, y defender firmemente por qué necesita realizar estas exploraciones.

Absolutamente no.

Aunque estoy completamente de acuerdo con la respuesta de @ Polynomial, sobre priorizar la seguridad y tener el cumplimiento como un subproducto, debe darse cuenta de algo muy importante.

  

El cumplimiento no se trata de seguridad.

En pocas palabras, necesita para realizar esas exploraciones, porque es lo que exige la regulación, si desea cumplimiento. El cifrado y el control de acceso son otros dos requisitos, pero están completamente separados del requisito de escaneo. (PCI no indica "Cifre todos los datos de la tarjeta, O realice una exploración de vulnerabilidades".)
Ambos son necesarios, ninguno puede ser descopado, y cualquiera de los dos puede impedir el cumplimiento

No olvide el modelo de riesgo real que necesita al tratar con el cumplimiento de PCI, resumido en la conocida Ley de Cumplimiento de AviD :

  

"El cumplimiento de PCI reduce el riesgo de sanciones por incumplimiento".

En primer lugar, permítame decir que @Polynomial es 100% correcto. Cuando se maneja / almacena con datos CC, no se pueden ignorar las PCI DDS.

Además, como lo señaló correctamente @AviD, esto no es "solo" un problema de seguridad, sino también un problema de regulación.

Habiendo dicho todo lo que quería ofrecerle una solución a su problema.

Si lo entiendo correctamente aquí, está tratando de lidiar con la sección 6.6 de la factura que requiere revisiones periódicas del código (después de cada actualización) o para integrarse con un WAF (Web Application Firewall) compatible con PCI DDS.

Explicación del PCI DDS 6.6

Vulnerability Scanning está orientado principalmente hacia la primera opción, ya que lo ayudará a identificar los puntos débiles en su código (y, con suerte, a parchearlos). Si bien hay algunas ventajas de esto, en su mayoría son a largo plazo y, como usted dijo correctamente, en el corto plazo, esta actividad será mucho más costosa y costará mucho más tiempo.

Yo sugeriría ir por el otro lado e instalar una red de sitios WAF compatible con PCI DDS.

Esto no tomará absolutamente nada de tiempo y le proporcionará el mismo (o incluso mejor) nivel de protección + resolverá instantáneamente los problemas relacionados con el PCI DDS. Esto también se puede usar como una solución temporal, que se reemplazará en el futuro (cuando tenga tiempo de lidiar con las vulnerabilidades del código).

Gracias a los avances en la tecnología de la nube, hoy puede "alquilar" un WAF compatible con PCI DDS por solo unas pocas docenas de dólares al mes. Actualmente, este servicio solo lo ofrece una empresa de seguridad (una empresa bien conocida para la que trabajo actualmente y no lo mencionaré aquí porque no quiero "conectar" nuestros servicios).

Diré que:

A. Puede obtener protección total en solo unos minutos (simple cambio de DNS)

B. Tendrá una opción para producir informes de PCI DDS

C. Como un "bono" adicional, el servicio también se combina con Gloal CDN y Caching acceleration y Spammer protection

Espero que esto ayude a resolver su problema.

GL