هل يمكن أن يكلفك سكريبت واحد غير مراقب 100,000 دولار شهريًا بسبب عدم الامتثال؟ مع اقتراب موعد تطبيق PCI DSS v4، يجب أن تكون الشركات التي تتعامل مع بيانات بطاقات الدفع جاهزة.
لا تقتصر المخاطر على الغرامات فقط، فعدم الامتثال يعرض الشركات لهجمات Web Skimming، وهجمات السكريبتات الخارجية، والتهديدات الجديدة المستندة إلى المتصفح.
كيف تستعد في الوقت المناسب؟
عقدت Reflectiz جلسة نقاش مفتوحة مع Abercrombie & Fitch (A&F) حول أصعب تحديات الامتثال لمعايير PCI DSS v4.
شارك كيفن هيفيرنان، مدير المخاطر في A&F رؤى قيمة حول:
- ما الذي نجح (وساعد في توفير آلاف الدولارات)
- ما الذي لم ينجح (وأدى إلى إهدار الوقت والموارد)
- ما الذي كانوا يتمنون معرفته مسبقًا
ما الجديد في PCI DSS v4.0.1؟
تُدخل PCI DSS v4 معايير أمنية أكثر صرامة، خاصةً فيما يتعلق بـ سكريبتات الطرف الثالث، وأمان المتصفح، والمراقبة المستمرة. ويواجه التجار عبر الإنترنت تحديين رئيسيين في المتطلبات 6.4.3 و11.6.1.
المتطلب 6.4.3 – أمان سكريبتات صفحة الدفع
تعتمد معظم الشركات على سكريبتات الطرف الثالث للتحليل، والدردشة المباشرة، وكشف الاحتيال. لكن المهاجمين يستغلون هذه السكريبتات لحقن أكواد ضارة في صفحات الدفع (هجمات Magecart).
متطلبات PCI DSS v4 الجديدة:
- جرد السكريبتات – يجب تسجيل وتبرير كل سكريبت يتم تحميله في متصفح المستخدم.
- التحكم في النزاهة – التحقق من سلامة جميع سكريبتات صفحات الدفع.
- التفويض – يجب أن تعمل فقط السكريبتات المعتمدة في صفحات الدفع.
كيف تعاملت A&F مع ذلك؟
- إجراء تدقيق للسكريبتات لتحديد السكريبتات غير الضرورية أو الخطرة.
- استخدام سياسة أمان المحتوى (CSP) لتقييد السكريبتات الخارجية.
- تطبيق عمليات الموافقة الذكية لتوفير الوقت والتكاليف.
المتطلب 11.6.1 – اكتشاف التغييرات والتلاعب
حتى إذا كانت سكريبتاتك آمنة اليوم، يمكن للمهاجمين حقن تغييرات ضارة لاحقًا.
متطلبات PCI DSS v4 الجديدة:
- آلية مستمرة – نشر آلية لاكتشاف التغييرات غير المصرح بها في سكريبتات صفحة الدفع.
- مراقبة ترويسات HTTP – للكشف عن التعديلات غير المصرح بها.
- التحقق الدوري – فحص النزاهة أسبوعيًا (أو بشكل أكثر تكرارًا وفقًا لمستوى المخاطر).
كيف تعاملت A&F مع ذلك؟
- تنفيذ المراقبة المستمرة لاكتشاف التعديلات غير المصرح بها.
- استخدام إدارة معلومات وأحداث الأمن (SIEM) للمراقبة المركزية.
- إنشاء تنبيهات تلقائية والموافقة المجمعة على تغييرات السكريبتات، والبنية، والترويسات في صفحات الدفع.
تحديث حديث: توضيح حول استثناء SAQ A
أصدر مجلس PCI توضيحًا حديثًا حول التجار المؤهلين لـ SAQ A (استبيان التقييم الذاتي):
- متطلبات الأهلية: يجب على التجار تأكيد أن موقعهم غير معرض لهجمات السكريبتات التي تستهدف أنظمة التجارة الإلكترونية.
- خيارات الامتثال:
- تنفيذ تقنيات الحماية (مثل المتطلبات 6.4.3 و11.6.1) مباشرة أو من خلال طرف ثالث.
- أو الحصول على تأكيد من مزودي الخدمات المعتمدين بأن حلول الدفع المدمجة الخاصة بهم تتضمن حماية ضد هجمات السكريبتات.
- النطاق المحدود: ينطبق فقط على التجار الذين يستخدمون صفحات/نماذج دفع مدمجة من مزودي الخدمات.
- الاستثناءات: التجار الذين يعيدون توجيه العملاء إلى معالجات الدفع أو يستعينون بمصادر خارجية لكامل عمليات الدفع لا يخضعون لهذا المتطلب.
- التوصيات: يجب على التجار التشاور مع مزودي خدماتهم حول التنفيذ الآمن والتحقق من أن SAQ A مناسب لبيئتهم.
أكبر 3 أخطاء في PCI DSS v4 (وكيفية تجنبها)
مع وجود صفحات دفع متعددة حول العالم، كانت رحلة امتثال Abercrombie & Fitch معقدة. وحدد كيفن هيفيرنان 3 أخطاء رئيسية يقع فيها التجار عبر الإنترنت:
الخطأ الأول: الاعتماد فقط على CSP
على الرغم من أن سياسة أمان المحتوى (CSP) تساعد في منع هجمات السكريبتات، إلا أنها لا تغطي التغييرات الديناميكية أو الموارد الخارجية. يتطلب PCI DSS تحققًا إضافيًا من النزاهة.
الخطأ الثاني: تجاهل مزودي الطرف الثالث
يعتمد معظم التجار على بوابات الدفع الخارجية، وأدوات الدردشة، وسكريبتات التتبع. إذا لم يلتزم هؤلاء المزودون بالمعايير، فأنت لا تزال مسؤولًا. قم بمراجعة عمليات تكامل الجهات الخارجية بانتظام.
الخطأ الثالث: اعتبار الامتثال إجراءً لمرة واحدة
يتطلب PCI DSS v4 مراقبة مستمرة، مما يعني أنه لا يمكنك التدقيق مرة واحدة فقط ونسيان الأمر. ستكون حلول المراقبة المستمرة ضرورية للامتثال.
الدروس المستفادة من رحلة امتثال A&F
- ابدأ بتقييم المخاطر – حدد نقاط الضعف، ومخاطر سلسلة التوريد، وأخطاء التهيئة قبل تنفيذ تغييرات الامتثال.
- أمّن سكريبتات صفحة الدفع – استخدم ترويسات أمان HTTP الصارمة مثل CSP.
- راقب باستمرار – استخدم المراقبة المستمرة، ونظم SIEM، وتنبيهات اكتشاف التلاعب لمنع الهجمات قبل وقوعها.
- لا تفترض أن المزودين يحموك – قم بمراجعة سكريبتات الجهات الخارجية وعمليات التكامل – مسؤولية الامتثال لا تنتهي عند جدار الحماية الخاص بك.
