我们目前正在处理但不保存信用卡数据。 我们使用authorize.net API通过自行开发的应用程序授权这些卡。
如果可能,我们希望将影响我们的服务器的所有PCI要求(例如安装反病毒)限制在一个单独的独立环境中。 在遵守合规的情况下,可以做到吗?
如果是这样,什么构成足够的隔离? 如果不是的话,是否有某个地方明确界定了范围?
上一次我读到PCI标准时,他们的隔离要求非常好(PCI语言的技术术语是缩小PCI兼容环境的范围 )。 只要这些公然不符合要求的服务器对兼容区域没有访问权限,就应该飞行。 这将是一个完全防火墙的网段,而且防火墙上的规则本身也是PCI兼容的。
在我以前的工作中,我们自己也做了同样的事情。
关键要记住的是, 从PCI兼容的区域来看,所有不在区域内的东西都应该像公共互联网一样对待,不pipe它是否也是同样的networking,也是仓库的公司IP。 只要你这样做,你应该是好的。
这实际上是相当普遍的。 我们经常将计算机称为“PCI的范围”。
此外,“明确”有时不是PCI词汇的一部分。 语言可能是模糊的。 我们发现,有时最简单的方法可能是向审核员询问拟议的解决scheme是否可行。 考虑PCI-DSS V2中的以下内容:
“如果没有足够的networking分段(有时称为”扁平networking“),则整个networking都在PCI DSS评估的范围内。networking分段可以通过许多物理或逻辑手段来实现,例如正确configuration的内部networking防火墙,路由器强大的访问控制列表或限制访问networking特定部分的其他技术。“
这是否意味着正常的networking交换机符合要求? 他们很容易这样说,但是你去了。 这是“其他技术限制访问networking的特定部分”。 另一个关于范围的我的最爱:
“…应用程序包括所有购买和定制应用程序,包括内部和外部(例如,互联网)应用程序。”
我不确定公元部分,但是我们所有的DC都有HIDS和杀毒软件,所以我怀疑它可能是。