pci-dss-scoping

PCI DSS 范围界定

正确界定范围是 PCI DSS 工作的 80%。首先理清数据流。

1. 找出持卡人数据

• 追踪完整的支付路径：采集 → 传输 → 处理 → 存储 → 销毁
• PAN 的存储位置：数据库、日志（清理日志！）、备份、电子邮件/工单系统、开发/测试环境
• 验证 PAN 出现的所有位置都已截断/屏蔽；确认授权后不会持续存储 SAD（敏感身份验证数据）

2. 定义 CDE

• 持卡人数据环境：所有存储/处理/传输 CHD 的系统，以及与之连接的系统
• 识别连接到 CDE 的系统：对安全有影响的系统（如 AD、DNS、NTP、监控等共享服务），以及根据其影响 CDE 安全的能力而确定是否纳入的系统
• 在证明已实现网络分段之前，所有可能与 CDE 连通的系统都在范围内

3. 网络分段（缩小范围的关键）

• 记录网络分段控制措施：防火墙、网络访问控制，以及 CDE 的独立凭据/特权账户
• 必须进行网络分段渗透测试（v4.0）：从范围外区域验证 CDE 边界是否有效，并检查两个方向
• 如果没有网络分段，整个网络都是 CDE。通常成本高于实施网络分段。

4. 要求映射（v4.0 要点）

• Req 1/2：网络控制、安全配置（现已定义“定义式方法”的目标）
• Req 3：保护存储的账户数据；密码学清单和密钥管理（3.6/3.7 已扩展）
• Req 4：传输中使用强密码学——v4.0 新增：通过开放网络传输的 PAN 必须无法读取（4.2.1）
• Req 8：所有访问 CDE 的行为都必须使用 MFA（8.4 的范围已扩展至管理员以外）
• Req 10/11：日志记录和测试；针对自定义频率的目标风险分析（11.3.x）
• Req 12：记录策略、第三方/服务提供商管理和自定义方法

5. 准备证据

• ASV 扫描报告、内部/外部渗透测试报告、网络分段渗透测试报告
• 季度扫描、配置标准、密钥管理记录、培训日志
• 对任何“不适用”要求准备补偿性控制工作表

输出

数据流图、附带范围内/范围外理由说明的范围文件、网络分段测试计划，以及要求证据矩阵。