PCI DSS 4.0 — اكتشف ثغرات الواجهة قبل أن يكتشفها المقيّم.

على أي مؤسسة تخزّن بيانات حاملي البطاقات أو تعالجها أو تنقلها التزامات بموجب PCI DSS، أيًّا كان البلد الذي تعمل فيه. وتفي معظم المؤسسات الأصغر بها عبر استبيان تقييم ذاتي بدلًا من تدقيق كامل، ويعتمد الاستبيان المنطبق على طريقة التعامل مع المدفوعات. واستخدام صفحة دفع مستضافة يقلّص النطاق كثيرًا — لكنه لا يلغيه، لأن الصفحة التي تعيد توجيه عميلك إلى مزوّد الدفع لا يزال يجب تقديمها بشكل آمن.

• قبول المدفوعات عبر صفحة دفع لطرف خارجي يُبقي موقعك ضمن النطاق
• التبرعات والاشتراكات وحجوزات الفعاليات تُحتسب تمامًا مثل مبيعات التجزئة
• النطاق يتعلق بكيفية تدفق بيانات البطاقات، لا بحجم الأموال المتداولة

يغطي PCI DSS الأشخاص والعمليات والتقنية. وجزء كبير من ذلك داخلي وغير مرئي من الإنترنت العام: تقسيم الشبكة، وإدارة المفاتيح، والتحكم في الوصول، وتدريب الموظفين، والتسجيل. وما يمكن للفحص الخارجي إثباته هو ما إذا كانت الأجزاء التي يمكن للمهاجم أو المقيّم الوصول إليها من الخارج تبدو سليمة. وهذا يجعله مفيدًا كمراجعة تسبق التقييم، وعديم الفائدة كبديل عنه.

• مرئي: أمان النقل، وسلامة الشهادات، والخدمات المكشوفة، وسياسة الإفصاح المنشورة
• غير مرئي: تحديد نطاق بيئة بيانات حاملي البطاقات، والضوابط الداخلية، ووثائق السياسات
• النتيجة الخارجية السليمة علامة جيدة، وليست شهادة اعتماد

كل عنصر أدناه يقابل شيئًا يتوقع المقيّم رؤيته، وكل منها قابل للتحقق من الخارج دون المساس بأنظمتك بأي طريقة تدخّلية.

• فرض HTTPS — يجب ألّا تنتقل بيانات حاملي البطاقات أبدًا عبر HTTP العادي، لذا فإن موقع HTTP دون إعادة توجيه مشكلة فورية
• سلامة بروتوكول TLS — إصدارات البروتوكول الأقدم لم تعد مقبولة وفق المعيار
• صلاحية الشهادة — الشهادة المنتهية أو غير المطابقة تُخلّ بالتشفير الذي يعتمد عليه العملاء
• HSTS — يطلب من المتصفحات رفض النسخة غير الآمنة من موقعك في الزيارات اللاحقة
• التعرّض لثغرات معروفة — البرمجيات غير المحدَّثة على الخدمات المواجهة للإنترنت من أكثر الإخفاقات التي يُشار إليها
• Heartbleed — ثغرة قديمة لا تزال تظهر على خدمات منسية
• خدمات قواعد البيانات المكشوفة — يصعب الدفاع عن قاعدة بيانات يمكن الوصول إليها من الإنترنت العام في أي تقييم
• ملاحظات التخزين السحابي — تطابق الأسماء يترك الملكية وإتاحة الملفات للعامة غير مؤكدتين؛ ولا يُسترجع أي ملف
• أدلة نقل البريد — يُميَّز STARTTLS المُعلَن عن مصافحة TLS مكتملة؛ ولا يُقيَّم سلوك الترحيل
• security.txt — يتوقع المعيار وجود مسار موثّق يتيح لأي شخص الإبلاغ عن ثغرة إليك

في الواقع العملي، تتكرر الحفنة نفسها من الثغرات، ومعظمها يتعلق بالإعداد لا بالبنية. فكثيرًا ما يغيب HSTS لأنه لم يُفعَّل قط، لا لأن أحدًا قرر عدم استخدامه. وكثيرًا ما يغيب security.txt لمجرد أن أحدًا لم يكن يعلم أنه متوقَّع. وتميل الخدمات غير المحدَّثة إلى أن تكون على شيء هامشي — مضيف تجريبي، أو نطاق فرعي قديم، أو موقع تسويقي مصغّر — لا على الموقع الرئيسي الذي يراقبه الجميع.

• افحص المضيفين المنسيين، لا الموقع الرئيسي وحده
• أصلح عناصر طبقة النقل أولًا؛ فهي سريعة وتحمل الوزن الأكبر لدى المقيّم
• انشر ملف security.txt — يستغرق دقائق، وهو توقّع موثّق