Ödeme Kartı Endüstrisi Veri Güvenliği Standardı (PCI DSS) 4.0.1 31 Mart’ta başlıyor ve bununla daha katı güvenlik gereksinimleri geliyor-özellikle insan olmayan kimlikler (NHIS) etrafında. Bunlar arasında hizmet hesapları, hizmet prensipleri ve roller gibi sistem ve uygulama hesaplarının yanı sıra depolama erişim anahtarları, uygulamalar ve veritabanı kullanıcıları dahil olmak üzere ilgili kimlik doğrulama faktörleri bulunur. Modern BT ortamlarındaki kritik rollerine rağmen, NHI’lar genellikle güvenlik stratejilerinde göz ardı edilir.
Yeni gereksinimler, NHIS’in kesinlikle yönetilmesi ihtiyacını vurgulamaktadır. Son tarih yaklaştıkça kuruluşlar nasıl hazırlanmalı? Hadi dalalım.
Yeni Gereksinimler
İlk adım, gereksinimlerin ne gerektirdiğini anlamaktır. Burada, 7 ve 8. gereksinimlerde belirtilen yeni politikalara dayanacağız.
- En az ayrıcalık ve bilmesi gereken ilkeler (Gereksinim 7.2.5): Uygulamalar ve sistem hesapları için erişim izinlerini en aza indirmek, bu gereksinimin temel taşıdır. Kuruluşlar, en az ayrıcalık ilkesine bağlı kalarak, aşırı veya modası geçmiş erişim haklarını önleyerek güvenlik ihlalleri ve yetkisiz maruziyet riskini önemli ölçüde azaltabilir.
- Kimlik ve Kimlik Doğrulama Politikaları (Gereksinim 8.1.1): Sağlam kimlik ve kimlik doğrulama politikalarının tanımlanması tutarlılık sağlar ve insan olmayan kimlikler için yanlış yönetim risklerini azaltır. Bu, kimlik bilgisi rotasyonu, izin kontrolü ve kimlik yönetişimini ele alan politikalar, insan olmayan hesapları yönetmek için güvenli bir temel oluşturduğundan önemlidir.
- Kullanılmayan hesapların derhal devre dışı bırakılması (Gereksinim 8.1.3): Uykuda uygulama hesapları saldırganlar için arka kapı görevi görebilir. Proaktif devre dışı bırakma iş akışları bu riski azaltın. Otomatik süreçler, kullanılmayan hesapları derhal tanımlamak ve devre dışı bırakmak için gereklidir.
- Paylaşılan ve Genel Kimlikleri Yönetme (Gereksinim 8.2.2): Paylaşılan veya genel kimlikler yalnızca belgelenmiş gerekçe ve yönetim onayı ile istisnai durumlarda kullanılmalıdır. Bu kimliklerle gerçekleştirilen tüm eylemler, hesap verebilirlik, izlenebilirlik ve eylemlerin net ilişkilendirilmesini sağlamak için belirli bir kişiye atfedilebilir olmalıdır.
- Feshedilen kullanıcılar için erişimi iptal etme (gereksinim 8.2.5): Feshedilen kullanıcılar için erişim haklarının derhal kaldırılması, ne insan ne de insan olmayan kimliklerin sonlandırma sonrası kullanılamamasını sağlamak için kritik öneme sahiptir. Bununla birlikte, bir çalışanın ayrılışından sonra erişim anahtarları veya diğer kimlik bilgileri gibi sırlar önemli riskler oluşturduktan sonra, bu yetim hesaplar yine de yetkisiz erişim sağlayabilir. Kuruluşlar, insan erişimini iptal etmeyi ve kapalı çalışanlarla ilişkili insan olmayan kimlik kimlik bilgilerinin derhal döndürülmesini, geçersiz kılınmasını veya yeni bir sahibine atanmasını içeren sağlam fesih iş akışlarını entegre etmelidir. Bu adımı ihmal etmek, sistemleri kötüye kullanmaya karşı savunmasız bırakır.
- Etkileşimli Oturum Açma Özellikleri (Gereksinim 8.6): Sistem ve uygulama hesapları için etkileşimli girişler, yetkisiz veya kötüye kullanılmış erişim riskini artırdıkları için benzersiz zorluklar oluşturmaktadır. Bu gereklilik, bu tür hesaplarla gereksiz etkileşimin kısıtlanmasını ve faaliyetlerini belgelemeyi vurgulamaktadır. Kuruluşlar, tüm etkileşimli giriş faaliyetlerini izlemeli ve günlüğe kaydetmeli, gerekçeler sunmalı ve güvenlik politikalarıyla uyumlu erişim süresini sınırlandırmalıdır.
- Riske dayalı kimlik bilgisi rotasyonu (gereksinim 8.6.3): Erişim belirteçlerinin, sertifikaların ve diğer kimlik bilgilerinin periyodik olarak dönmesi, uzun vadeli maruz kalma risklerini azaltmak için kritik öneme sahiptir. Kimlik bilgisi rotasyon politikaları uzun süreli kimlik bilgisi maruziyet olasılığını azaltır.
Neden şimdi?
NHIS’i hedefleyen saldırılardaki artış görmezden gelemeyecek kadar önemli hale geldi. NHI’lar, PCI uyumluluğunda, bazen manuel kullanıcılarla paylaşılan ve potansiyel kötüye kullanıma yol açan otomatik görevler için kullanılan uygulama ve sistem hesapları olarak tanımlanır. NHI’ler artık sömürüleri büyük siber güvenlik tehditlerine giderek daha fazla bağlı olduğu için özel bir odaklanma gerektiriyor.
Hizmet hesapları, zayıf veya yanlış yapılandırılmış kimlik doğrulamasını kullanan saldırganlar için ana hedeftir. Sistemlere kritik giriş noktaları olarak, bu hesaplar önemli bir güvenlik riskini temsil eder. Aslında, kuruluşların yaklaşık% 50’si NHI ile ilgili uzlaşmalar bildirmiştir, bu olayların% 66’sı başarılı siber saldırılara yol açmıştır (ESG Report 2024). Saldırganlar, Dropbox, OKTA, Slack ve Microsoft’taki son ihlallerde en sömürülen giriş noktalarından bazıları olarak kalan açık API anahtarlarından, servis hesaplarından ve yanlış yönetilen sırlardan sık sık kullanırlar. Bu büyüyen tehdidi tanıyan PCI DSS 4.0.1, bu güvenlik açıklarını ele almak için katı kontrollerin ihtiyacını vurgular ve güvenli kimlik doğrulama ve erişim yönetimi uygulamalarının önemini güçlendirir.
Daha önce, denetçiler insan kimliklerine odaklanmış ve NHI’ları gözden kaçırmıştır, ancak uygulamalar ve hizmet hesaplarındaki artış kötüye kullanılır ve tehditler güçlü kontroller gerektirir. Düzenleyici çerçeveler geliştikçe, bu gereksinimler artık sadece kutuları kontrol etmekle ilgili değildir; Çerçevelerin, izleme ve iyileştirmenin gösterilebilir bir şekilde uygulanmasına ihtiyaç vardır. Tüm uygulamalar ve hizmet hesaplarında tutarlı ve sağlam güvenlik kontrollerinin sürdürülmesi temel bir öncelik haline gelmiştir.
PCI DSS 4.0.1, kuruluşları sorunları aktif olarak çözerek ve çerçeve uygulaması sağlayarak sadece politikaların ötesine uygun hale getirmeye teşvik eder. Bu ve diğer endüstri ölçütleri, NHI’ları güvence altına almanın, uyumluluk, yaşam döngüsü yönetiminin sağlanmasının ve hizmet hesabı kötüye kullanımı ile ilişkili potansiyel risklerin azaltılmasının önemini vurgulamaktadır.
Kuruluşlar nasıl yanıt vermeli?
Zorunlu uyum için hazır olmayı sağlamak için kuruluşlar şunlar olmalıdır:
- Sahiplik atayın ve yetim hesapları yönetin: İlk olarak, NHI’larınızı haritalamak ve devam eden görünürlüğü sağlamak anahtardır. Ek olarak, tüm NHI’lar için mülkiyeti açıkça tanımlayın ve yetim hesapları tespit etmek ve yönetmek için süreçleri uygulayın, bunların derhal yeniden atanmasını veya devre dışı bırakılmasını sağlar.
- Erişim yönetimini otomatikleştirin: Standa veya aşırı ayrıcalıklı hesapları tespit eden ve en az ayrıcalık ilkelerinin uygulanması, güvenli uygulama erişimi için kritik öneme sahiptir.
- Kimlik Doğrulamayı Uygulama En İyi Uygulamalar: MFA uygulayın, paylaşılan kimlik bilgilerini kısıtlayın ve önceden tanımlanmış aralıklara veya risk seviyelerine dayalı kimlik bilgisi rotasyonunu sağlamak.
- Anomalileri izleyin ve yanıtlayın: Kimlik doğrulama veya uygulama erişimi ile ilgili şüpheli faaliyetleri sürekli olarak izlemek ve ele almak için ITDR çözümlerini dağıtın.
- Güvenli uygulama sırları ve kimlik bilgileri: Uygulama kimlik bilgilerini güvenli bir şekilde depolayın (örneğin, sabit kodlama sırlarından kaçının) ve katı izinler kontrolünü uygulayın ve bu kimlik bilgilerini düzenli olarak döndürün.
- Erişim haklarını düzenli olarak gözden geçirin: Açık erişim kontrol politikalarını tanımlayın ve politika testleri yoluyla her kimliğin duruş ve uyum durumunun değerlendirilmesini otomatikleştirin. En az müstehcenlik ve “bilmeniz gereken” ilkelere uymayı sağlamak için araçlar kullanın ve riski azaltmak için bayat izinleri ortadan kaldırın.
- Sırları düzenli olarak döndürün: Gizli rotasyon için bir kadans tanımlayın ve her bir kimlikle ilişkili risklerle hizalayın ve onu uygulayın. Denetçilere göstermek için yıl boyunca uyum faaliyetlerinizi belgeleyin. Uyum raporları oluşturun ve trendleri takip edin.
Bu adımları atmak, kuruluşların gelişmekte olan uyumluluk standartlarını karşılamasına ve güvenlik duruşlarını artırmasına yardımcı olacaktır.
Giderek düzenlenen bir dünyada uyumun sağlanması
PCI DSS 4.0.1 gereksinimlerinin uygulanması hızla yaklaşıyor ve kuruluşlar şimdi yeni gereksinimleri ele almak için hazırlanmalıdır. Bir NHI yönetim çözümünün benimsenmesi, kuruluşların yeni gereksinimlerde gezinmesine ve uyum sağlamasına yardımcı olacaktır.
Reklam
LinkedIn Group Bilgi Güvenlik Topluluğumuza katılın!