PCI DSS 3.2 มาแล้ว: แอดมินต้องใช้การล็อกอินสองขั้นตอนทุกกรณี

มาตรฐานความปลอดภัย PCI DSS ออกเวอร์ชั่น 3.2 โดยความเปลี่ยนแปลงสำคัญคือการเพิ่มเงื่อนไขการล็อกอินด้วยการยืนยันตัวตนสองขั้นตอน

ก่อนหน้านี้เงื่อนไขการยืนยันตัวตนสองขั้นตอนจะจำเป็นต่อเมื่อผู้ดูแลระบบจะล็อกอินเข้าจากภายนอกที่อยู่นอกพื้นที่ที่เชื่อถือได้เท่านั้น แต่หลังจากนี้แม้จะเป็นการล็อกอินจากในเน็ตเวิร์คบริษัทก็ต้องเข้าเงื่อนไขเดียวกัน

สำหรับประเด็นการใช้งาน SSL และ TLS รุ่นเก่าที่มีช่องโหว่ยังคงให้เวลาไปอีกสองปีจนถึงกลางปี 2018 โดย PCI DSS มีส่วนที่ให้รายงานถึงกระบวนย้ายออกจากการเชื่อมต่อที่ไม่ปลอดภัยเช่นนี้ว่าก้าวหน้าไปเพียงใด

อีกส่วนหนึ่งคือกระบวนการ Designated Entities Supplemental Validation (DESV) ที่เคยเป็นเอกสารแยก ถูกรวมเข้ามาอยู่ใน PCI DSS โดยตรง ทำให้ผู้ให้บริการต้องทำตามเงื่อนไขเพิ่มเติม เช่น การรายงานความผิดพลาดร้ายแรง, ตรวจสอบความปลอดภัยของระบบ, และตรวจทานการทำงาน

ที่มา - The Register, PCI DSS

Topics: Open StandardSecurityPCI-DSSInformation Security