Kortinhaltijatietojen suojaaminen katastrofien aikana on tärkeää. PCI DSS -yhteensopiva katastrofipalautussuunnitelma varmistaa tietoturvan ja liiketoiminnan jatkuvuuden. Näin luot sellaisen:

1. Riskinarviointi ja liiketoimintavaikutusten analyysi: Tunnista riskit, kuten luonnonkatastrofit tai kyberhyökkäykset, ja ymmärrä niiden vaikutukset (esim. seisokit, tietojen menetys).
2. Luo katastrofipalautussuunnitelma: Kehitä yksityiskohtaiset palautusvaiheet, määrittele tiimiroolit ja dokumentoi kaikki.
3. Suojatut tietojen varmuuskopiot: Käytä salattuja varmuuskopioita, jotka on tallennettu turvallisesti (pilvi tai muu fyysinen tallennustila).
4. Testaa ja validoi säännöllisesti: Testaa suunnitelmaa vuosittain varmistaaksesi, että se toimii ja täyttää PCI DSS -standardit.
5. Ylläpidä ja päivitä: Tarkista ja päivitä suunnitelma säännöllisesti mukautuaksesi järjestelmän muutoksiin.

Tärkeimmät tiedot: Keskity RTO- (Recovery Time Objective)- ja RPO- (Recovery Point Objective) -kohteisiin seisokkien ja tietojen menetyksen minimoimiseksi. Säännölliset testaukset ja päivitykset pitävät suunnitelmasi tehokkaana ja yhteensopivana.

Kuinka täyttää katastrofipalautuksen noudattaminen IDR-päällikön kanssa

1: Suorita riskinarviointi ja liiketoimintavaikutusten analyysi

Vankka PCI DSS -yhteensopiva katastrofipalautussuunnitelma alkaa a riskinarviointi ja liiketoimintavaikutusanalyysi (BIA). Nämä vaiheet auttavat tunnistamaan mahdolliset uhat ja niiden vaikutukset kortinhaltijan tietoturvaan.

Tunnista mahdolliset riskit

Riskien tunnistamiseksi sinun on analysoitava järjestelmien, erityisesti maksujenkäsittelyjärjestelmien, vuorovaikutusta. Esimerkiksi palvelinvika palautuksen aikana voi vaarantaa PCI DSS -yhteensopivuuden.

Tässä ovat tärkeimmät riskiluokat, jotka on otettava huomioon:

Riskiluokka	Esimerkkejä	Vaikutus PCI DSS -yhteensopivuuteen
Luonnonkatastrofit	Tulvat, maanjäristykset, tulipalot	Datakeskusten vaurioituminen
Kyberuhat	Ransomware, DDoS-hyökkäykset, loukkaukset	Kortinhaltijatietojen paljastaminen
Infrastruktuurihäiriöt	Laitteisto-ongelmat, sähkökatkot	Järjestelmän seisokki
Inhimilliset tekijät	Työntekijöiden virheet, sisäpiirin uhkaukset	Luvaton pääsy tietoihin

Ymmärrä liiketoimintavaikutusten analyysi

Business Impact Analysis (BIA) arvioi, kuinka häiriöt voivat haitata kykyäsi suojata kortinhaltijoiden tietoja ja pysyä PCI DSS:n mukaisena. Kaksi tärkeää mittaria ohjaa tätä prosessia:

• RTO (Recovery Time Objective): Suurin seisokkiaika, jonka yrityksesi voi sietää.
• RPO (palautuspisteen tavoite): Suurin sallittu tietojen menetys.

PCI DSS -yhteensopivuuden varmistamiseksi keskitä BIA järjestelmiin, jotka käsittelevät kortinhaltijatietoja. Tässä on mitä analysoida:

• Kriittisten järjestelmien prioriteetti: Tunnista, mitkä järjestelmät on palautettava ensin.
• Tietojen riippuvuudet: Ymmärrä, miten järjestelmät ja tallennuspaikat yhdistetään.
• Taloudellinen vaikutus: Laske seisokkien ja tietojen menetyksen kustannukset.
• Toiminnallinen vaikutus: Arvioi, kuinka järjestelmävirheet voivat vaikuttaa vaatimustenmukaisuuteen.

"Organisaatiot voivat varmistaa yhdenmukaistamisen sisällyttämällä PCI DSS -vaatimukset katastrofipalautussuunnitelmaansa, mukaan lukien suojattu tietojen varmuuskopiointi ja tallennus, säännöllinen testaus ja dokumentaatio."

Jotta katastrofipalautussuunnitelmasi pysyy ajan tasalla, tarkista riskiarvioinnit ja BIA:t aina, kun liiketoimintaympäristössäsi tapahtuu suuria muutoksia. Tämä varmistaa, että suunnitelmasi pysyy synkronoituna sekä toiminnallisten tarpeiden että PCI DSS -vaatimusten kanssa.

Kun riskit ja vaikutukset ovat selvät, seuraava askel on luoda katastrofipalautussuunnitelma, joka sisältää nämä havainnot.

2: Luo katastrofipalautussuunnitelma

Kun olet suorittanut riskiarvioinnin ja Business Impact Analysis -analyysin (BIA), seuraava askel on luoda PCI DSS -standardien mukainen katastrofipalautussuunnitelma. Tämä suunnitelma toimii oppaana kortinhaltijoiden tietojen turvaamisessa kriittisten tapausten aikana.

Katastrofipalautussuunnitelman keskeiset osat

PCI DSS:n mukaisessa katastrofipalautussuunnitelmassa on keskityttävä sekä teknisiin että organisatorisiin elvytystoimiin. Tavoitteena on varmistaa, että kortinhaltijan tiedot pysyvät turvassa koko prosessin ajan.

Tässä ovat olennaiset komponentit:

Komponentti	Kuvaus	PCI DSS -vaatimus
Vastaustiimi ja viestintä	Määrittele tiimiroolit ja luo viestintäprotokollat	Vaatimus 12.10
Palautusmenettelyt	Yksityiskohtaiset vaiheet järjestelmien palauttamiseksi	Vaatimus 9.5
Tiedonkäsittelyprotokollat	Menetelmät kortinhaltijatietojen salaamiseen ja turvalliseen siirtämiseen	Vaatimus 3.4

Aseta palautusmittarit PCI DSS -standardien mukaisiksi:

• RTO-yhteensopivuus: Määritä palautusajan tavoitteet (RTO) ja palautuspistetavoitteet (RPO:t) sekä seisokkien että tietojen menetyksen minimoimiseksi. Näiden mittareiden on oltava PCI DSS -ohjeiden mukaisia.
• Turvatarkastukset: Varmista, että salausta ja pääsynhallintaa käytetään johdonmukaisesti palautusprosessin aikana.

Suunnitelman dokumentointi ja päivittäminen

Perusteellinen dokumentaatio on välttämätön PCI DSS -yhteensopivuuden kannalta. Tämä sisältää palautusvaiheiden hahmottelun, hätäyhteyshenkilöiden luetteloimisen, järjestelmien luettelon ylläpitämisen ja tietovirtojen kartoituksen.

Tärkeä dokumentaatio sisältää:

• Yksityiskohtaiset menettelyt: Selkeät, vaiheittaiset ohjeet kriittisten järjestelmien palauttamiseen.
• Yhteystiedot: Ajantasaiset avainhenkilöiden hätäyhteystiedot.
• Omaisuusluettelo: Nykyinen luettelo järjestelmistä, jotka käsittelevät kortinhaltijan tietoja.
• Riippuvuuskartta: Visuaalinen esitys järjestelmäyhteyksistä ja tietovirrasta.

"Varmista, että katastrofipalautuspaikat täyttävät PCI DSS -standardit, jotta vältetään vaatimustenmukaisuusaukot tuotantovuorojen aikana."

On tärkeää tarkistaa ja päivittää katastrofipalautussuunnitelma säännöllisesti – neljännesvuosittain, vuosittain ja aina, kun järjestelmässä tapahtuu muutoksia – jotta se pysyy yhteensopivana.

Kun elvytyssuunnitelmasi on vakaa, seuraava painopiste on tietojen varmuuskopioiden turvaamisessa sekä vaatimustenmukaisuuden että palautustarpeiden tukemiseksi.

3: Ota käyttöön suojattu tietojen varmuuskopiointi ja tallennus

Kun olet luonut elvytyssuunnitelman, seuraava vaihe on varmistaa, että tietosi varmuuskopiot ovat turvallisia. Tämä on välttämätöntä arkaluonteisten maksutietojen suojaamiseksi ja PCI DSS -vaatimusten noudattamiseksi.

Valitse varmuuskopiointistrategia

Oikean varmuuskopiointistrategian valitseminen tarkoittaa tietoturvan ja saavutettavuuden tasapainottamista. Lähestymistapasi tulee olla linjassa sinun kanssasi Palautumisajan tavoitteet (RTO) ja Palautuspisteen tavoitteet (RPO) tiukkoja turvallisuusstandardeja noudattaen.

Tässä on kaksi yleistä harkittavaa vaihtoehtoa:

Varmuuskopion tyyppi	Suojausominaisuudet	PCI DSS -kohdistus
Pilvipohjaiset ratkaisut	Salaus, jatkuva suojaus, usean alueen tallennus	Täyttää ulkopuoliset varastointitarpeet ja RPO-tavoitteet
Ulkopuolinen fyysinen varasto	Fyysiset turvatoimenpiteet, vuosikatsaukset	Täyttää median varmuuskopiointivaatimukset

Pilvipohjaiset varmuuskopiot tarjoavat salauksen ja redundanssin useissa eri paikoissa ulkopuolinen fyysinen varasto varmistaa vaatimustenmukaisuuden turvallisten tilojen ja säännöllisten tarkastusten avulla. Hybridilähestymistapa voi yhdistää molempien vahvuudet.

Suojaa varmuuskopiointipaikat

Käytätpä sitten pilvipalvelua tai fyysistä tallennustilaa, varmuuskopiot on suojattava sekä fyysisillä että digitaalisilla turvatoimilla. PCI DSS edellyttää varmuuskopiointipaikkojen vuosittaista tarkistusta vaatimustenmukaisuuden varmistamiseksi.

Tärkeimmät suojaustoimenpiteet varmuuskopiointipaikoille ovat:

• Salaus ja pääsynhallinta: Käytä samoja tiukkoja säätöjä, joita käytetään ensisijaisissa tietoympäristöissä.
• Fyysinen turvallisuus: Käytä valvontakameroita, pääsylokeja ja paikan päällä olevaa turvahenkilöstöä.
• Ympäristönsuojelut: Säilytä oikea lämpötila, kosteus ja palontorjuntajärjestelmät vaurioiden estämiseksi.

"Arvioi säännöllisesti katastrofipalautuspaikat PCI-yhteensopivuuden välttämiseksi kattavuusaukot."

Varmista pilvipohjaisten ratkaisujen osalta, että palveluntarjoajasi tarjoaa:

• Monivaiheinen todennus
• Yksityiskohtaiset pääsylokit
• Hajautettu tallennustila useille alueille
• Täysi PCI DSS -yhteensopivuus

Työskentely PCI DSS:stä kokeneiden sertifioitujen isännöintipalvelujen tarjoajien kanssa voi lisätä varmuuskopiointistrategiaasi ylimääräisen suojakerroksen ja asiantuntemusta.

Kun varmuuskopiot ovat turvassa, seuraava vaihe on katastrofipalautussuunnitelman testaus ja validointi sen varmistamiseksi, että se toimii suunnitellusti.

sbb-itb-59e1987

4: Testaa ja vahvista katastrofipalautussuunnitelma

Testaus on tärkeä askel PCI DSS -yhteensopivuuden varmistamisessa ja kortinhaltijoiden tietojen turvaamisessa hätätilanteissa. Testaamalla säännöllisesti voit havaita heikkoudet ja korjata ne ennen todellista katastrofia.

Vaatimustenmukaisuuden testausmenettelyt

PCI DSS edellyttää, että katastrofipalautussuunnitelmat testataan vähintään kerran vuodessa. Testausprosessisi tulee olla johdonmukainen ja perusteellinen.

Tässä on se, mitä vankan testaussuunnitelman tulisi sisältää:

Testauskomponentti	Taajuus	Keskeiset vaatimukset
Järjestelmän palautuksen testaus	Vuosittain/kahdesti vuodessa	Varmista, että kortinhaltijatietoja käsittelevät järjestelmät voidaan palauttaa tehokkaasti
Tietojen varmuuskopioinnin vahvistus	Neljännesvuosittain	Varmista, että varmuuskopiot ovat ehjiä ja että ne voidaan palauttaa tarvittaessa
Dokumentaation tarkistus	Kuukausittain	Pidä menettelyt ja yhteystiedot ajan tasalla

Testaus auttaa varmistamaan, että palautumissuunnitelmasi täyttää RTO (Recovery Time Objective) ja RPO (Recovery Point Objective) -kriteerit. Muista säilyttää yksityiskohtaista kirjaa kaikista testituloksista, koska tämä dokumentaatio on välttämätön PCI DSS -yhteensopivuuden tarkastuksissa.

Osoitteiden testausongelmat

Kun testaus paljastaa puutteita, dokumentoi nämä havainnot, priorisoi kriittisimmät ongelmat ja tee korjauksia. Ongelmat, kuten epätäydellinen tietojen palautus, palautuksen viiveet tai viestintäongelmat, tulee ratkaista nopeasti.

Myös varmuuskopiointipaikat vaativat huomiota. Niiden on täytettävä samat PCI DSS -turvastandardit kuin ensisijaiset järjestelmäsi. Näiden sivustojen testaaminen varmistaa, että ne ovat valmiina tarvittaessa.

Kokoa jokaisen testin jälkeen kaikki sidosryhmät yhteenvetoon. Käytä tätä aikaa keskustellaksesi, mikä toimi, mikä ei ja miten suunnitelmaa voidaan parantaa. Päivitä katastrofipalautusmenettelysi näiden oivallusten ja liiketoimintaympäristösi muutosten perusteella.

Säännöllinen testaus ei ainoastaan vahvista, että suunnitelmasi toimii, vaan myös varmistaa, että se pysyy linjassa PCI DSS -vaatimusten ja organisaatiosi tarpeiden kanssa.

5: Ylläpidä ja päivitä katastrofipalautussuunnitelma

Palautussuunnitelman pitäminen ajan tasalla on välttämätöntä PCI DSS -vaatimusten täyttämiseksi. Säännölliset päivitykset varmistavat, että suunnitelma pysyy voimassa ja täyttää viimeisimmät turvallisuusstandardit kortinhaltijoiden tietojen suojaamiseksi.

Suorita tarkastuksia ja tarkastuksia

PCI DSS edellyttää, että tarkistat katastrofipalautussuunnitelmasi vuosittain. Tarkastusten tiheys saattaa kuitenkin vaihdella organisaatiosi riskitekijöiden ja kortinhaltijatietoja käsittelevien järjestelmien muutosten mukaan.

Arvostelutyyppi	Taajuus	Painopistealueet
Toimintakatsaus	Neljännesvuosittain	Järjestelmän kokoonpanot, palautusvaiheet
Kattava tarkastus	Vuosittain	Vaatimustenmukaisuustarkastukset, riskinarvioinnit
Muutosten hallinta	Tarpeen mukaan	Päivitykset infrastruktuuriin tai henkilöstöön

Sertifioidut asiantuntijat, kuten Qualified Security Assessors (QSA:t), ovat avainasemassa varmistamaan, että katastrofipalautussuunnitelmasi täyttää PCI DSS -standardit. Nämä ammattilaiset arvioivat menettelysi ja tarjoavat asiantuntija-apua, joka auttaa sinua pysymään vaatimustenmukaisena.

Säännölliset auditoinnit ja tarkistukset eivät ainoastaan auta ylläpitämään vaatimustenmukaisuutta, vaan myös tunnistavat alueita, joilla suunnitelmaasi voidaan parantaa.

Ota opitut asiat mukaan

Palautussuunnitelmasi tulee mukautua todellisten tapahtumien ja testitulosten perusteella. Käytä näitä tietoja parantaaksesi palautusaikoja, parantaaksesi varmuuskopioinnin luotettavuutta ja virtaviivaistaaksesi tiimien koordinointia.

Harkitse ulkopuolista tallennusta varten yhteistyötä sellaisten palveluntarjoajien kanssa, jotka tarjoavat suojattuja vaihtoehtoja, kuten salattuja varmuuskopioita, hallittuja palautuspalveluita tai PCI-yhteensopivaa pilvitallennusta. Varmista, että nämä tilat tarkistetaan vuosittain sen varmistamiseksi, että ne täyttävät turvallisuusstandardit.

Kun teet päivityksiä suunnitelmaasi, dokumentoi tärkeimmät tiedot, kuten:

• Syy päivitykseen
• Miten se vaikuttaa nykyisiin menettelyihin
• Kaikki vaatimustenmukaisuuteen liittyvät muutokset
• Toteutuksen aikajana

Varmista lopuksi, että kaikki kortinhaltijoiden tietoja käsittelevät katastrofipalautuspaikat soveltavat samoja turvatoimia kuin päälaitoksesi. Johdonmukainen suojaus kaikissa sijainneissa on erittäin tärkeää arkaluonteisten tietojen suojaamiseksi.

Kääri se

Seuraamalla esitettyjä viittä vaihetta organisaatiot voivat luoda katastrofitilanteen palautussuunnitelman, joka pitää kortinhaltijan tiedot turvassa PCI DSS -standardien mukaisesti. Tämä jäsennelty lähestymistapa tasapainottaa vaatimustenmukaisuuden tarpeet liiketoiminnan jatkuvuuden kanssa.

Avaimet takeawayt

Vaiheet – riskinarviointi, suunnittelu, suojattu varmuuskopiointi, testaus ja ylläpito – muodostavat yhdessä vahvan perustan tietojen suojaamiselle ja vaatimustenmukaisuuden varmistamiselle. Säännölliset tarkastukset, turvalliset varmuuskopiot ja jatkuva testaus ovat välttämättömiä kortinhaltijatietojen turvaamiseksi.

Johdonmukaisuus on avainasemassa. Katastrofien palautussuunnitelma kukoistaa asianmukaisella toteutuksella ja seurannalla. Yhteistyö pätevien turvallisuusarvioijien kanssa voi vahvistaa vaatimustenmukaisuusponnistelusi, ja säännölliset päivitykset ja testaukset varmistavat, että strategiasi pysyy tehokkaana ja ajan tasalla.

Kortinhaltijoiden tietojen suojaamiseksi ja PCI DSS -yhteensopivuuden ylläpitämiseksi on tärkeää keskittyä jatkuviin parannuksiin ja tiukoihin turvatoimiin. Luotatpa sitten sisäisiin varmuuskopioihin tai ulkoisiin palveluntarjoajiin, turvallisuuden ylläpitäminen kaikissa sijainneissa on ratkaisevan tärkeää. Säännölliset päivitykset, testaukset ja vaatimustenmukaisuuden tarkistukset auttavat pitämään suunnitelmasi luotettavana ja tietosi turvassa.

UKK

Tässä on vastauksia yleisiin kysymyksiin PCI DSS -vaatimuksista katastrofipalautuksessa, mikä auttaa selventämään vaatimustenmukaisuutta.

Edellyttääkö PCI katastrofipalautusta?

Kyllä, PCI DSS -yhteensopivuus on välttämätön, jos kortinhaltijan tietoja (CHD) tallennetaan, käsitellään tai lähetetään katastrofipalautuksen aikana. Keskeisiä huomioitavia kohtia ovat:

• Kortinhaltijatietoja käsittelevien katastrofipalautussivustojen on kuuluttava PCI DSS -yhteensopivuuden piiriin.
• CHD:hen liittyvät katastrofipalautussuunnitelmat on testattava säännöllisin väliajoin ja tarkastelut suoritetaan vähintään kerran vuodessa.
• Varmuuskopiointipaikkojen, joissa säilytetään kortinhaltijan tietoja, on noudatettava PCI DSS -yhteensopivuusstandardeja.

Kuinka katastrofipalautussivustojen ja pilvitallennusten tulee olla PCI DSS:n mukaisia?

Hätäpalautuspaikat, jotka käsittelevät tuotantotietoja täyttämättä PCI DSS -vaatimuksia, voivat altistaa organisaatiot useille riskeille:

Riskiluokka	Mahdollinen vaikutus
turvallisuus	Suurempi haavoittuvuus tietomurroille
Vaatimustenmukaisuus	Sertifikaatin menettämisen vaara
Laillinen	Mahdolliset lakisääteiset rangaistukset
liiketoiminta	Heikentynyt palautumiskyky

Täyttääkseen PCI DSS -standardit pilvitallennusratkaisujen on varmistettava turvallinen tiedonsiirto ja tallennus, kopioitava tietoja useilla alueilla, suoritettava säännöllisiä testauksia ja ylläpidettävä asianmukaista dokumentaatiota vaatimustenmukaisuudesta.

Käytitpä sitten paikallisia tai pilvipohjaisia ratkaisuja, prioriteetti on aina sama: kortinhaltijoiden tietojen suojaaminen koko katastrofipalautusprosessin ajan.

Aiheeseen liittyvät blogikirjoitukset

• Palvelimen sijoittamisen tarkistuslista: 8 huomioivaa seikkaa
• Palvelinkeskuksen fyysisen turvallisuuden tarkistuslista 2024
• Tietokeskusten suojaaminen fyysisiltä uhilta
• SOC 2 -yhteensopivuus: Varmuuskopiointistrategiat selitetty