mcpField
I
implementing-pci-dss-compliance-controls

implementing-pci-dss-compliance-controls

github.com/mukul975安全35.2k67 次安装8 周前更新
代码仓库

关于 implementing-pci-dss-compliance-controls

此技能介绍如何规划和实施 PCI DSS 4.0.1 控制措施，面向负责持卡人数据的团队，涵盖范围界定、网络与数据保护、访问控制、监控及合规证据。

主要功能

  1. 01界定持卡人数据环境范围
  2. 02实施网络和系统安全控制
  3. 03保护存储和传输中的卡数据
  4. 04落实身份、访问及物理控制
  5. 05监控、测试并记录合规情况

适用场景

  1. 01评估与 PCI DSS 要求之间的差距
  2. 02规划持卡人数据环境的安全控制
  3. 03准备评估材料和合规证据
  4. 04改进持续监控与测试

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/mukul975/anthropic-cybersecurity-skills --skill implementing-pci-dss-compliance-controls

安装后在 Claude Code 中输入/implementing-pci-dss-compliance-controls确认已加载。

包含的文件

除 SKILL.md 外，安装时一起下载的参考资料和脚本。

LICENSE
assets/
template.md
references/
api-reference.md
standards.md
workflows.md
scripts/
agent.py

详细介绍

实施 PCI DSS 合规控制

概述

PCI DSS 4.0.1 针对存储、处理或传输持卡人数据的组织，确立了 6 个控制目标下的 12 项要求。随着 PCI DSS 3.2.1 于 2024 年 4 月退役，以及 51 项新要求于 2025 年 3 月 31 日成为强制要求，本技能涵盖所有要求的实施，包括新的自定义验证方法、增强的身份验证和持续监控控制。

何时使用

  • 在您的环境中部署或配置实施 PCI DSS 合规控制能力时
  • 在建立与合规要求一致的安全控制时
  • 在为该领域构建或改进安全架构时
  • 在进行需要此实施的安全评估时

前置条件

  • 了解支付卡处理流程和持卡人数据环境（CDE）
  • 了解网络分段和安全架构
  • 可访问持卡人数据环境以进行范围界定
  • 了解 PCI 合规验证级别（商户级别 1-4，服务提供商级别 1-2）

核心概念

按控制目标划分的 12 项 PCI DSS 要求

构建并维护安全的网络和系统

  1. 安装并维护网络安全控制（防火墙、NSC）
  2. 对所有系统组件应用安全配置

保护账户数据 3. 保护存储的账户数据（加密、令牌化、截断） 4. 在传输过程中使用强加密保护持卡人数据

维护漏洞管理计划 5. 保护所有系统和网络免受恶意软件侵害 6. 开发并维护安全的系统和软件

实施强访问控制措施 7. 根据业务需要知悉原则，限制对系统组件和持卡人数据的访问 8. 识别用户并对系统组件的访问进行身份验证 9. 限制对持卡人数据的物理访问

定期监控和测试网络 10. 记录并监控对系统组件和持卡人数据的所有访问 11. 定期测试系统和网络的安全性

维护信息安全政策 12. 通过组织政策和计划支持信息安全

PCI DSS 4.0 的主要变化
  • 自定义方法：定义方法的替代方案，允许基于目标的验证进行自定义控制设计
  • 对所有 CDE 访问实施 MFA：从管理员扩展到对持卡人数据的所有访问（要求 8.4.2）
  • 针对性风险分析：组织针对灵活要求自行进行风险分析
  • 经身份验证的漏洞扫描：内部扫描必须使用经身份验证的扫描（要求 11.3.1.1）
  • 反钓鱼机制：用于检测和防护钓鱼的技术控制（要求 5.4.1）
  • 自动化日志审查：用于审查审计日志的自动化机制（要求 10.4.1.1）

工作流

阶段 1：范围界定与评估（第 1-4 周）
  1. 识别所有持卡人数据流（有卡、无卡、存储）
  2. 定义持卡人数据环境（CDE）边界
  3. 验证网络分段的有效性
  4. 确定合规验证级别
  5. 针对所有 12 项要求进行 PCI DSS 差距评估
阶段 2：网络与系统安全（第 5-12 周）
  1. 部署并配置网络安全控制（要求 1）
  2. 实施网络分段以最小化 CDE 范围
  3. 使用 CIS Benchmarks 强化系统配置（要求 2）
  4. 为面向公众的 Web 应用实施 WAF（要求 6.4.1）
  5. 在所有范围内的系统上部署反恶意软件（要求 5）
阶段 3：数据保护（第 13-20 周）
  1. 对存储的持卡人数据实施加密（要求 3）
  2. 尽可能部署令牌化以缩小范围
  3. 对所有持卡人数据传输强制执行 TLS 1.2+（要求 4）
  4. 实施密钥管理程序
  5. 部署数据发现工具以定位未加密的持卡人数据
阶段 4：访问控制（第 21-28 周）
  1. 基于业务需求知悉原则实施 RBAC（要求 7）
  2. 为所有对 CDE 的访问部署 MFA（要求 8）
  3. 为所有用户实施唯一用户 ID
  4. 强制执行符合 PCI DSS 4.0 要求的密码策略
  5. 为 CDE 设施实施物理访问控制（要求 9）
阶段 5：监控与测试（第 29-36 周）
  1. 为所有 CDE 组件部署集中式日志记录（要求 10）
  2. 实施自动化日志审查机制
  3. 开展内部和外部漏洞扫描（要求 11）
  4. 执行渗透测试（内部和外部）
  5. 为关键文件实施文件完整性监控（FIM）
阶段 6：策略与治理（第 37-42 周）
  1. 制定全面的信息安全策略（要求 12）
  2. 实施安全意识培训，包括反钓鱼
  3. 建立针对持卡人数据的特定事件响应计划
  4. 针对灵活要求开展有针对性的风险分析
  5. 记录并验证所有控制措施以进行评估

关键工件

  • CDE 范围文档和网络图
  • 自我评估问卷（SAQ）或合规报告（ROC）
  • 合规证明（AOC）
  • 季度 ASV 扫描报告
  • 年度渗透测试报告
  • 风险评估文档
  • 安全策略与程序

常见陷阱

  • 因网络分段不足导致的范围蔓延
  • 授权后存储禁止的数据（CVV、完整磁道数据）
  • 错过 2025 年 3 月新强制性要求的截止日期
  • 将 PCI DSS 视为年度合规而非持续安全
  • 未将云和容器环境纳入 CDE 范围

参考资料

评论

支持 Markdown