Planeo implementar nuestro nuevo sitio web de la compañía en un servidor dedicado a través de un proveedor de alojamiento. Mantendré personalmente el servidor con la excepción de tratar con el hardware físico. La propia compañía posee información de tarjeta de crédito a través de llamadas telefónicas y otros medios, por lo que estamos sujetos al cumplimiento de PCI. Sin embargo, este nuevo sitio web, que no está en la red privada de la compañía, tiene una exposición limitada, si no ausente, a los datos confidenciales de los titulares de tarjetas. Utilizaremos 2 métodos de pago en línea:
Payal Express (Totalmente de terceros, no hay datos confidenciales disponibles)
Publicación directa de Authorize.net (el formulario de la tarjeta de crédito se genera en nuestro sitio, pero se envía directamente a Authorize.net. Solo una infracción grave e inadvertida hará que esta información esté disponible para mi servidor).
Con esta configuración, la base de datos y el servidor web no ven ningún punto de la tarjeta de crédito, lo que me lleva al requisito 2.2.1 de PCI DSS:
Implemente solo una función primaria por servidor para prevenir funciones que requieren diferentes niveles de seguridad de coexistir en el mismo servidor. (Por ejemplo, los servidores web, servidores de base de datos y DNS deben estar implementado en servidores separados.)
Mi esperanza es que debido a que la base de datos no tiene datos confidenciales (y, de hecho, podría ser una base de datos de todos mis colores y películas favoritas), entonces no se considera un "nivel de seguridad diferente". Mi opinión es que este requisito se aplicaría a empresas más grandes que albergan diversos servicios y aplicaciones, donde separar los dos es bastante lógico. ¿Alguien puede aclarar esta regla según mi situación, o dar alguna opinión? Me resulta difícil creer que cada VPS o servidor dedicado con la pila LAMP instalada (ya que todas las soluciones administradas "compatibles con PCI" dijeron que estarían felices de configurar para nosotros) están fuera de cumplimiento. Como mínimo, ¿es esta una situación en la que podrían aplicarse excepciones especiales?
Además, el servidor está bloqueado con un firewall de software, TLS 1.1 y superior, restricciones de IP, almacenamiento y monitoreo de registros, verificación de integridad de archivos, malware y escáneres de red, etc. En general, me gustaría evitar el costo y la complejidad de un servidor separado para simplemente marcar una casilla.