معيار PCI DSS الإصدار 4: ما الذي تغيّر للتجار وجهات القبول

نُشر الإصدار 4 من معيار PCI DSS عام 2022 مع مهلة طويلة: إذ صُنّفت عشرات المتطلبات الجديدة بأنها مؤجلة التطبيق، ولم تصبح إلزامية إلا في 31 مارس 2025. واجتاز كثير من المؤسسات أول تقييم وفق الإصدار 4 قبل ذلك التاريخ، وهي تستوفي المعيار كاملًا الآن لأول مرة.

صفحات الدفع أصبحت ضمن النطاق بطريقة جديدة

لم يعد سرقة بيانات البطاقات يحتاج إلى الوصول إلى الخادم. فقد ينسخ نص برمجي خبيث محمّل في صفحة الدفع بيانات البطاقة أثناء كتابة العميل لها. ويعالج متطلبان هذا الأمر مباشرة:

• يجب حصر كل نص برمجي في صفحة الدفع، والموافقة عليه، والتحقق من سلامته؛
• يجب وجود آلية لكشف التغيير والعبث تُنبّه إلى أي تعديل غير مصرّح به على الصفحة وترويسات HTTP الخاصة بها.

بالنسبة للتجار الذين يستضيفون صفحة الدفع بأنفسهم، يعني ذلك عادةً سياسة أمان للمحتوى (CSP)، وفحص سلامة الموارد الفرعية، وأداة مراقبة. أما التجار الذين يستخدمون نموذج دفع مضمّنًا، فيعني التأكد مع المزوّد مما تغطيه خدمته وما لا تغطيه.

المصادقة والوصول

أصبحت المصادقة متعددة العوامل مطلوبة لكل وصول إلى بيئة بيانات حاملي البطاقات، لا للوصول عن بُعد والوصول الإداري فقط. ويجب إدارة كلمات مرور حسابات التطبيقات والأنظمة وتغييرها دوريًا، كما أصبح الحد الأدنى الافتراضي لطول كلمات مرور المستخدمين اثني عشر حرفًا.

مخاطر يجب أن تُكتب

يسمح الإصدار 4 للمؤسسات بتحديد وتيرة بعض الأنشطة بنفسها، مثل عدد مرات مراجعة السجلات أو تغيير بعض بيانات الاعتماد، لكن بشرط أن يستند ذلك إلى تحليل مخاطر موجّه وموثّق، وسيطلب المقيّمون الاطلاع عليه. وينطبق الأمر نفسه على النهج المخصّص الذي يسمح بضوابط بديلة إذا أثبتّ أنها تحقق الهدف.

تغييرات أخرى جديرة بالانتباه

• آليات آلية لمراجعة سجلات التدقيق؛
• فحوص داخلية للثغرات بعد المصادقة؛
• حماية الموظفين من التصيّد الاحتيالي؛
• تأكيد سنوي لنطاق تطبيق المعيار.

من أين تبدأ

ارسم كل مسار للدفع من بدايته إلى نهايته، بما في ذلك النصوص البرمجية والأطراف الخارجية المشاركة، وثبّت النطاق قبل شراء أي أدوات. فمعظم الجهد الجديد يتركز في مواضع قليلة، والمخطط الواضح لتدفق البيانات أسرع طريقة لتحديدها. يصمم فريق المدفوعات لدينا بيئات البطاقات لتتوافق مع PCI DSS منذ البداية، ويختبرها فريق الأمن السيبراني قبل التقييم.