Para hacer que cualquier cosa sea compatible con PCI-DSS, tendrá que ir más allá de solo definir algunas especificaciones técnicas y dejarlo así. PCI-DSS quiere que OPERE un entorno seguro, no solo que lo diseñe.
Así que vamos a descomponerlo.
- Desea enviar regularmente correos electrónicos que contengan uno o más PAN a una o más partes autenticadas.
- Has pensado en un método para enviar estos correos electrónicos a través de un transporte cifrado y también cifrarás los correos electrónicos específicos.
Para hacer que esto funcione, probablemente tengas que hacer lo siguiente, junto a todas las cosas relacionadas con PCI-DSS que ya estás haciendo:
- Verifique y / o actualice su Política de seguridad para permitir que los PAN se transporten fuera del CDE de esta manera, con los requisitos para el método exacto.
- Determine a quién le está enviando estos correos electrónicos
- Para los empleados de la misma entidad, tendrá que incluir sus máquinas en el ámbito de PCI-DSS (estándares de configuración, configuración de red adecuada, cifrado de disco, análisis de vulnerabilidades, trabajos) y capacitar a estos empleados sobre el uso adecuado. del sistema según las normas PCI-DSS. Dado que su servidor de correo electrónico almacenará estos correos electrónicos, también puede estar dentro del alcance; discutir con QSA / consultor.
- Si los destinatarios son proveedores de algún tipo, asegúrese de que su contrato con ellos indique que deben ser compatibles con PCI-DSS (si participan de alguna manera en el procesamiento de CC) y / o que necesitan proteger suficientemente los datos que está enviando. ellos. Si necesitan ser compatibles con PCI-DSS, recoja su AOC anualmente.
- Si los destinatarios son clientes / comerciantes, su adquirente probablemente querrá que usted también administre su estado de PCI-DSS. Recoger AOC o SAQ anualmente.
- En ambos casos, es probable que desee ponerse de acuerdo sobre algún tipo de período de retención.
-
Diseñe e implemente procesos para administrar (rotar después de un período, revocar en caso de compromiso, generalmente reemplazar) las claves de cifrado utilizadas para enviar estos correos electrónicos, probablemente también las de los destinatarios (si utiliza PGP). Consulte el capítulo 3 de PCI-DSS:
- Una forma de autenticar / verificar / inscribir / cancelar la inscripción y las claves utilizadas para ellos
- Tenga una forma segura de manejar las claves de cifrado dentro de su aplicación (la clave privada debe estar cifrada, la frase de contraseña no se puede almacenar en el mismo servidor: probablemente se necesite un control dividido para trabajar)
- Un proceso para evaluar si la tecnología utilizada sigue siendo válida y una forma de avanzar cuando se considera insuficiente.
-
Diseñe e implemente el producto real de acuerdo con el proceso de cambio:
- Asegúrese de no almacenar las versiones no cifradas del correo electrónico en archivos temporales o registros
- Tener una forma de saber lo que envió donde puede ayudar en caso de problemas
- Haga que el sistema se haya probado correctamente (también para problemas de seguridad)
-
Tenga un proceso (de incidentes) implementado para tratar con destinatarios deshonestos / comprometidos, claves comprometidas, etc.
Puede valer la pena el esfuerzo de intentar encontrar una solución diferente que le facilite las cosas. ¿Por qué enviar PAN si puedes tener personas que acudan a tu sistema? Eso puede ser más fácil de tratar.