Du er måske allerede forpligtet til at køre dem. De fleste små virksomheder gør det ikke.
Tager du imod kortbetalinger, kræver PCI DSS overvågning af filintegritet og opbevaring af logs på de systemer, der er omfattet. Opbevarer du kundedata i EU, kræver GDPR artikel 32, at du kan gendanne dem efter en hændelse. Begge dele er forpligtelser.
Forpligtelserne, som hver del af opsætningen dækker
| Kontrol | Forpligtelse | Funktion | Værktøj |
|---|---|---|---|
| Overvågning af filintegritet | PCI DSS krav 11.5.2 | Opdager uautoriserede ændringer i kritiske filer og slår alarm, når noget ændrer sig. Påkrævet, hvor din server er omfattet af 11.5.2, hvilket gælder ved SAQ A-EP og fulde vurderinger, men ikke ved SAQ A. | Wazuh |
| Indsamling og opbevaring af logs | PCI DSS krav 10 | Registrerer og gemmer adgang til systemkomponenter, så du kan rekonstruere en hændelse bagefter. | Wazuh |
| Detektion af sårbarheder | PCI DSS krav 6 / 11 | Finder løbende pakker, der mangler rettelser, og kendte CVE'er på værten. | Wazuh |
| Sikkerhedsopdateringer | PCI DSS krav 6.3 | Jeg lægger kritiske rettelser på hurtigt. Med kernepatching uden genstart forsvinder den sædvanlige undskyldning for at vente. | KernelCare |
| Adgangsstyring og segmentering | GDPR art. 32 · PCI DSS krav 1 og 7 | Administrativ adgang flytter væk fra det åbne internet og over på et privat mesh-netværk, hvor hver enhed har sin egen identitet. | Tailscale |
| Tilgængelighed og gendannelse | GDPR art. 32, stk. 1, litra c | Evnen til rettidigt at genoprette tilgængeligheden af og adgangen til personoplysninger efter en hændelse. Det kræver backup til et andet sted med en dokumenteret og indøvet procedure for gendannelse. Et arkiv, som ingen har rørt, er ikke nok. | Backup + integritetskontrol |
Wazuh udgiver selv sin kortlægning til PCI DSS, GDPR, HIPAA, NIST 800-53 og TSC. Jeg leverer kontrollerne ovenfor som en del af den almindelige serverdrift og ikke som et separat compliance-projekt.
Forskellen på implementering og certificering
Det er to forskellige ting, som tit bliver blandet sammen. At implementere en kontrol betyder, at overvågningen kører, at logs bliver gemt, og at backuppen kan gendannes. At certificere compliance betyder, at en revisor har gennemgået hele dit miljø og skrevet under på noget.
Wardio gør det første og hverken gør eller kan gøre det andet. En enmandsvirksomhed er ikke en QSA, og jeg ville lyve, hvis jeg antydede andet. Du får den tekniske halvdel gjort ordentligt og dokumentation, du kan give videre til den, der beder om den. Er det en kunde omfattet af NIS2, der spørger, gennemgår guiden om NIS2 som leverandør, hvad kunden kan kræve af dine servere.
Spørgsmål, der er værd at stille
Gør det min virksomhed PCI DSS-compliant?
Nej, og den, der siger noget andet, prøver at sælge dig noget. Compliance er en vurdering af hele det område, der er omfattet, og den dækker dine politikker, dine folk, dit betalingsflow og dine systemer. Wardio implementerer og dokumenterer de tekniske serverkontroller inden for det område: overvågning af filintegritet, opbevaring af logs, patching og adgangsstyring. Det er en væsentlig del af arbejdet og den del, de fleste små forretninger mangler helt. Det er dog ikke hele forpligtelsen, og jeg er ikke revisor.
Jeg bruger Stripe eller Shopify. Gælder PCI DSS så stadig for mig?
Som regel ja, men i mindre omfang. Bruger du en hostet betalingsudbyder, falder du ind under et lettere selvevalueringsskema, et såkaldt SAQ. Er din egen server overhovedet involveret i betalingssiden, er du dog som regel ikke fritaget for kravene på serversiden. Det gælder, hvis serveren viderestiller til betalingssiden, indlejrer den eller leverer den side, der indlæser betalingsscriptet. Spørg din indløser, hvilket SAQ de forventer af dig. Det er det mest nyttige spørgsmål, du kan stille dem.
Hvad med GDPR?
GDPR artikel 32 kræver et sikkerhedsniveau, der passer til risikoen, og nævner udtrykkeligt evnen til rettidigt at genoprette tilgængeligheden af og adgangen til personoplysninger efter en hændelse. I praksis betyder det overvågning, adgangsstyring og backups, du har testet. Forordningen foreskriver ingen bestemte produkter, så ingen kan sælge dig en GDPR-compliant server, men backups, der aldrig er testet, er svære at forsvare som passende foranstaltninger.
Kan I levere dokumentation til en revisor eller til en kundes spørgeskema?
Ja. Jeg gemmer alarmhistorik, filintegritetshændelser, patchhistorik og resultater af integritetskontrol af backup, og det hele kan eksporteres. Et sikkerhedsspørgeskema fra en kunde er meget lettere at besvare, når svarene allerede findes, end når de skal stykkes sammen bagefter.
En gratis gennemgang viser, hvilke af disse kontroller din server har i dag. De fleste servere har ingen af dem.