Implementación de código en PCI CDE

Navega tus respuestas
2

El estándar PCI DSS v3 establece lo siguiente:

  

Segmentación de red

     

Para ser considerado fuera del alcance de las PCI DSS, un componente del sistema debe estar correctamente aislado (segmentado) del CDE, de modo que incluso si el componente del sistema fuera de alcance estuviera comprometido, no podría afectar la seguridad del CDE. .

Supongamos que tenemos un sistema basado en la nube que queremos que sea compatible con PCI, y que el código fuente de este sistema está en otro sistema basado en la nube como Bitbucket . Un servidor Octopus Deploy que esté conectado al CDE o dentro del CDE se puede conectar a nuestro repositorio de control de fuentes mediante HTTPS y luego implementarlo, o ¿Esto llevaría a Bitbucket al alcance, ya que un repositorio comprometido podría afectar la seguridad del CDE? ¿Cuál sería una forma compatible de hacerlo automáticamente?

    
pregunta SilverlightFox 24.10.2014 - 18:20
fuente

1 respuesta

2

No sé si esto es compatible con PCI, pero puede firmar el código dentro del entorno compatible con PCI antes de cargar código en el sistema de implementación en la nube. Dado que el código está firmado, en el sentido de PCI no debería ser modificable (por ejemplo, si el repositorio está comprometido, el CDE no aceptará datos de este), por lo tanto, debería poder demostrar que el sistema de nube NO puede comprometer el CDE.

Puede preguntarle a su asesor de PCI si una configuración con código firmado firmado dentro del sistema compatible con PCI estaría bien.

    
respondido por el sebastian nielsen 24.10.2014 - 18:27
fuente

Lea otras preguntas en las etiquetas

Reversa la puerta trasera de la carcasa ¿Puede una empresa hacer un seguimiento de su historial de navegación si no está conectado a la red de la empresa?