PCI DSS og red teaming: hvad standarden kræver, og hvad den ikke gør

En virksomhed, der håndterer betalingskort, kan få spørgsmålet, om PCI DSS kræver red teaming, eller om en red team-øvelse kan erstatte noget af det, standarden kræver. Svaret hviler på to krav i standarden: krav 11.4 om penetrationstest og krav 12.10 om at reagere på sikkerhedshændelser, herunder en hændelsesplan, der gennemgås og testes. Standarden nævner ikke red teaming. En frivillig øvelse kan supplere begge krav, men den kan ikke erstatte dem.

Hvordan testkravet ser ud for et softwarehus, hvis produkt håndterer kortdata, er beskrevet på pentestrapport.dk. Her er læseren CISO’en, der vil vide, om forsvaret omkring kortdatamiljøet holder over for en målrettet modstander.

Krav 11.4: penetrationstest efter en fast metode

Krav 11.4 handler om ekstern og intern penetrationstest, og om at udnyttelige sårbarheder rettes. Efter 11.4.1 skal organisationen have en dokumenteret metode, der blandt andet dækker hele perimeteren om kortdatamiljøet og kritiske systemer, test indefra og udefra, test af segmentering og test af applikations- og netværkslaget. 11.4.2 og 11.4.3 kræver intern og ekstern test mindst hver tolvte måned og efter væsentlige ændringer, udført af en kvalificeret tester med organisatorisk uafhængighed. 11.4.4 kræver, at fund rettes, og at testen gentages for at bekræfte rettelserne.

Kravet er bredt og gentageligt. Det skal vise, at kortdatamiljøet som helhed er afprøvet, og at grænserne mellem miljøerne holder. En red team-øvelse er det modsatte: den går ad få veje mod et mål og er ikke bygget til at dække en perimeter. → Det, red teaming afprøver

Krav 12.10: at reagere på hændelser

Krav 12.10 siger, at mistænkte og bekræftede sikkerhedshændelser, der kan påvirke kortdatamiljøet, skal håndteres straks. Under kravet ligger blandt andet:

12.10.1 · en hændelsesplan med roller, ansvar og kommunikation, herunder underretning af betalingsbrands og indløsere, procedurer for inddæmning, genopretning og analyse af lovkrav om indberetning.
12.10.2 · mindst hver tolvte måned skal planen gennemgås og opdateres efter behov og testes, inklusive alle elementer i 12.10.1.
12.10.3 · bestemte personer skal være til rådighed døgnet rundt.
12.10.5 · planen skal omfatte overvågning af og reaktion på alarmer fra sikkerhedsovervågningen, fx systemer til at opdage og forhindre indtrængen.
12.10.6 · planen ændres efter erfaringer og udviklingen i branchen.

Standarden siger ikke, hvordan planen skal testes. En tabletop kan opfylde formålet. En skjult øvelse kan også, men den tester planen på en anden måde: ingen ved, at det er en øvelse, før nogen opdager noget. → Beredskabsplanen under en red team-øvelse

Hvor en frivillig øvelse kan bidrage

En red team-øvelse i et miljø med kortdata kan belyse tre ting, kravene ikke selv måler:

Om alarmerne fører til handling · 12.10.5 kræver, at planen omfatter reaktion på alarmer. Øvelsen viser, om en alarm faktisk blev fulgt op, og hvor hurtigt.
Om døgnberedskabet virker · 12.10.3 kræver personer, der kan nås døgnet rundt. Øvelsen kan vise, om de blev kontaktet, og om de kunne handle. → Overvågning uden for arbejdstid
Om segmenteringen holder over for en modstander, der har tid · penetrationstesten efter 11.4.5 viser, om segmenteringen virker. Øvelsen kan vise, om en modstander kan finde en vej rundt om den via mennesker, processer eller betroede konti.

Det, øvelsen finder, kan bruges i 12.10.6 om læring og i den løbende risikovurdering. Skriv i planen for øvelsen, hvilke af de tre spørgsmål den skal besvare, så resultatet kan kobles til de krav, det belyser, og så det er klart, hvad der ikke blev afprøvet.

Kortdatamiljøet som mål

Det er ikke nødvendigt at gå ind i kortdatamiljøet for at få værdi. Et realistisk mål kan være at nå grænsen: en konto eller et system, der giver adgang til miljøet. Dér sættes flaget, og holdet stopper. Det giver samme svar på spørgsmålet om forsvaret, uden at kortdata bliver en del af øvelsens materiale, og uden at rapporten selv bliver et dokument med kortdata i.

Går I længere, så aftal skriftligt, hvad holdet må se, og at kortdata ikke må kopieres eller gemmes. Overvej også, om en fejlagtig reaktion fra blue team kan udløse de underretninger, 12.10.1 beskriver, så white team skal kunne gribe ind, før en øvelse bliver meldt videre som en hændelse til betalingsbrands eller indløser. → Hændelsesrapportering i øvelsen

Social engineering kan også være relevant. Krav 12.6.3.1 kræver, at bevidstgørelsestræningen omfatter phishing og social engineering. En øvelse kan vise, om træningen holder i en situation, der ligner virkeligheden. → Social engineering i en red team-øvelse

Hvad assessoren kan bruge

En assessor vurderer, om kravene er opfyldt. Rapporten fra en red team-øvelse er ikke dokumentation for 11.4, fordi den ikke følger metoden i 11.4.1 eller dækker perimeteren. Den kan være dokumentation for, at hændelsesplanen er testet efter 12.10.2, hvis testen dækker planens elementer, og hvis I kan vise det. Spørg jeres assessor på forhånd, hvad der vil blive accepteret. → Red teaming og revisionen

Hold også styr på versionen. Kravene her er gengivet efter PCI SSC’s tekst til v4.0, og PCI SSC henviser i dag til v4.x. Kontrollér ordlyden i den udgave, jeres vurdering sker efter, før I henviser til et bestemt krav i jeres egne dokumenter.

Det skal I lade være med

At sige, at PCI DSS kræver red teaming · standarden nævner det ikke.
At bruge en red team-rapport i stedet for penetrationstesten · den opfylder ikke 11.4.
At lade holdet gemme kortdata som bevis · grænsen er nok.
At glemme underretningskæden i 12.10.1 · white team skal kunne stoppe en fejlagtig indberetning.
At regne en øvelse som test af planen uden at dokumentere det · beskriv, hvilke elementer der blev afprøvet.

Hvad kan og ikke kan konkluderes

En red team-øvelse kan vise, om forsvaret omkring kortdatamiljøet opdager og stopper en målrettet modstander, og den kan bidrage til test og forbedring af hændelsesplanen. Den kan ikke dokumentere, at kravene til penetrationstest er opfyldt, og den afgør ikke, om organisationen overholder PCI DSS.

Tjekliste før øvelsen i et kortdatamiljø

☐ Er penetrationstesten efter 11.4 planlagt uafhængigt af øvelsen?
☐ Er det besluttet, om flaget sættes ved grænsen til kortdatamiljøet?
☐ Står det i rules of engagement, at kortdata ikke må kopieres?
☐ Kan white team stoppe en fejlagtig underretning af betalingsbrands og indløser?
☐ Er det aftalt med assessoren, om øvelsen kan tælle som test af planen?
☐ Bliver erfaringerne ført ind i planen efter 12.10.6?