ความท้าทายของ PCI DSS 4.0: การเร่งรีบเพื่อให้สอดคล้องอย่างต่อเนื่องและการเปลี่ยนแปลงของพื้นผิวการโจมตี

มาตรฐานความปลอดภัยข้อมูลอุตสาหกรรมบัตรชำระเงิน (PCI DSS) ไม่ใช่เรื่องกังวลในอนาคตอีกต่อไป ข้อกำหนดทั้งหมด รวมถึงข้อกำหนดที่ระบุในอนาคตก่อนหน้านี้ มีผลบังคับใช้เมื่อเร็วๆ นี้ การเปลี่ยนผ่านนี้ทำให้เกิดการเร่งรีบอย่างมากในอุตสาหกรรม โดยเฉพาะสำหรับผู้ค้าและผู้ให้บริการที่ต้องรับมือกับความซับซ้อนของการปฏิบัติตามข้อกำหนดอย่างต่อเนื่องในสภาพแวดล้อมภัยคุกคามที่เปลี่ยนแปลงอย่างรวดเร็ว รายงานการปฏิบัติตามข้อกำหนด (ROCs) รอบแรกหลังการเปลี่ยนผ่านแสดงให้เห็นรูปแบบที่สอดคล้องกัน: องค์กรต่างๆ ผ่านการตรวจสอบ แต่ 'ปัญหาความน่าเชื่อถือ' พื้นฐานยังคงอยู่

เกิดอะไรขึ้น

การอัปเดต PCI DSS แสดงถึงการปรับปรุงครั้งใหญ่จากเวอร์ชันก่อนหน้า มาตรฐานสากลที่ดูแลโดย PCI Security Standards Council กำหนดให้หน่วยงานทั้งหมดที่จัดเก็บ ประมวลผล หรือส่งข้อมูลผู้ถือบัตรต้องได้รับการประเมินตามเวอร์ชันที่อัปเดตเมื่อเร็วๆ นี้ โดยมีข้อกำหนดใหม่ทั้งหมดมีผลบังคับใช้ภายในวันที่ที่กำหนดในอนาคต การเปลี่ยนแปลงนี้ได้บังคับให้มีการประเมินท่าทีความปลอดภัยใหม่ โดยเปลี่ยนจากการเร่งรีบในการตรวจสอบประจำปีไปสู่โมเดลการปฏิบัติตามข้อกำหนดอย่างต่อเนื่อง องค์กรต่างๆ กำลังเผชิญกับข้อกำหนดการยืนยันตัวตนหลายปัจจัย (MFA) ที่แข็งแกร่งและกว้างขวางขึ้น การควบคุมความสมบูรณ์ของหน้าการชำระเงินที่ได้รับการปรับปรุง และการแนะนำ 'แนวทางที่ปรับแต่ง' สำหรับองค์กรที่มีวุฒิภาวะเพื่อใช้การควบคุมที่ปรับให้เข้ากับสถาปัตยกรรมของตน โดยได้รับการสนับสนุนจากการวิเคราะห์ความเสี่ยงที่กำหนดเป้าหมายซึ่งมีเอกสารประกอบ

อย่างไรก็ตาม ผลกระทบในทันทีที่เกิดขึ้นในภาคสนามบ่งชี้ถึงความไม่สอดคล้องกัน แม้ว่าหน่วยงานจะบรรลุการปฏิบัติตามข้อกำหนดในทางเทคนิค แต่ความท้าทายด้านความปลอดภัยที่ซ่อนอยู่ เช่น ผู้ให้บริการข้อมูลประจำตัว (IdP) ในฐานะพื้นผิวการโจมตี ตัวแทน AI ที่ดึงตัวเองเข้ามาอยู่ในขอบเขต และความเสี่ยงจากการรวมตัวของผู้จำหน่าย ยังคงไม่ได้รับการแก้ไขเป็นส่วนใหญ่ มาตรฐานนี้ โดยการออกแบบ กำหนดการควบคุมในอัตราที่ช้ากว่าการพัฒนาภัยคุกคาม ซึ่งนำไปสู่สถานการณ์ที่การปฏิบัติตามข้อกำหนดไม่ได้หมายถึงความปลอดภัยที่แข็งแกร่งต่อเวกเตอร์การโจมตีสมัยใหม่เสมอไป

ทำไมรูปแบบนี้ถึงเกิดขึ้นซ้ำแล้วซ้ำเล่า

ช่องว่างที่คงอยู่ระหว่างการปฏิบัติตามข้อกำหนดและความปลอดภัยเกิดจากข้อจำกัดโดยธรรมชาติของมาตรฐานความปลอดภัย มาตรฐานดังกล่าว รวมถึง PCI DSS ได้รับการออกแบบมาเพื่อกำหนดการควบคุมอุตสาหกรรมที่ตกลงกันไว้ กระบวนการนี้ตั้งใจให้ช้าเพื่อให้มั่นใจถึงเสถียรภาพและการใช้งานที่กว้างขวาง อย่างไรก็ตาม ความเร็วของการเปลี่ยนแปลงทางดิจิทัลและความซับซ้อนของนักแสดงคุกคามได้แซงหน้าวงจรการอัปเดตของมาตรฐานเหล่านี้ พื้นผิวการโจมตีได้ขยายตัวอย่างมาก โดยเคลื่อนย้ายไปไกลกว่าช่องโหว่ฝั่งเซิร์ฟเวอร์แบบดั้งเดิมไปยังการโจมตีฝั่งไคลเอ็นต์และการประนีประนอมในห่วงโซ่อุปทาน

เป็นระยะเวลานาน การปฏิบัติตาม PCI DSS มักจะเกี่ยวข้องกับแบบสอบถามประเมินตนเอง (SAQ) ประจำปี การกำหนดค่าเครือข่ายบางอย่าง และการสแกนช่องโหว่เป็นประจำ โมเดลนี้มีประสิทธิภาพเมื่อพื้นผิวการโจมตีส่วนใหญ่จำกัดอยู่ภายในเซิร์ฟเวอร์ภายในขององค์กร จุดสนใจอยู่ที่การล็อกฐานข้อมูล การเข้ารหัสการส่งข้อมูล และการจำกัดการเข้าถึงของผู้ดูแลระบบ แนวทางที่เน้นการตรวจสอบนี้ แม้จะบรรลุภาระผูกพันในการปฏิบัติตามข้อกำหนด แต่ก็ส่งเสริมความคิดที่ว่าการผ่านการตรวจสอบเป็นวัตถุประสงค์หลัก มากกว่าการสร้างท่าทีความปลอดภัยที่ยืดหยุ่นอย่างต่อเนื่อง

กลยุทธ์การโจมตีของแฮกเกอร์ทีละขั้นตอน

ผู้โจมตีสมัยใหม่กำลังใช้ประโยชน์จากพื้นผิวการโจมตีที่ขยายตัว โดยมักจะกำหนดเป้าหมายไปที่พื้นที่ที่ไม่ได้ครอบคลุมอย่างชัดเจนโดยการตรวจสอบ PCI DSS แบบดั้งเดิม กลยุทธ์ของพวกเขาพัฒนาไปไกลกว่าการเจาะเซิร์ฟเวอร์โดยตรง วิธีการที่แพร่หลายวิธีหนึ่งเกี่ยวข้องกับการโจมตีฝั่งไคลเอ็นต์ เช่น การฉีด JavaScript ที่เป็นอันตรายเข้าไปในสคริปต์ของบุคคลที่สามที่ทีมการตลาดอาจอนุมัติเมื่อหลายเดือนก่อน สิ่งนี้ช่วยให้สามารถขโมยข้อมูลบัตรได้โดยตรงในเบราว์เซอร์ของลูกค้า การละเมิดเกิดขึ้นโดยไม่เคยแตะต้องสภาพแวดล้อมในท้องถิ่นของผู้ค้าหรือเซิร์ฟเวอร์ภายใน

เวกเตอร์อื่นเกี่ยวข้องกับการประนีประนอมผู้ให้บริการข้อมูลประจำตัว (IdPs) เพื่อเข้าถึงโดยไม่ได้รับอนุญาต โดยใช้ประโยชน์จากความไว้วางใจที่มอบให้กับระบบเหล่านี้ เมื่อตัวแทน AI ผสานรวมเข้ากับกระบวนการทางธุรกิจมากขึ้น พวกเขาก็สามารถกลายเป็นพื้นผิวการโจมตีได้เช่นกัน ซึ่งอาจดึงระบบที่ละเอียดอ่อนเข้ามาอยู่ในขอบเขตด้วยวิธีที่ไม่คาดคิด การรวมตัวของผู้จำหน่าย ซึ่งบริการสำคัญหลายอย่างอาศัยผู้ให้บริการบุคคลที่สามรายเดียว สร้างความเสี่ยงที่ต่อเนื่อง การประนีประนอมที่ผู้จำหน่ายรายเดียวอาจส่งผลกระทบต่อองค์กรจำนวนมาก แม้ว่าองค์กรเหล่านั้นจะปฏิบัติตาม PCI DSS ในทางเทคนิคก็ตาม

สิ่งที่ผู้ป้องกันพลาดไป

ผู้ป้องกันที่คุ้นเคยกับโมเดลความปลอดภัยที่เน้นเซิร์ฟเวอร์ มักจะพลาดการเปลี่ยนแปลงในจุดที่ข้อมูลผู้ถือบัตรมีความเสี่ยง จุดสนใจยังคงอยู่ที่โครงสร้างพื้นฐานภายในและการแบ่งส่วนเครือข่าย ตามที่ระบุไว้ในข้อกำหนด PCI DSS แบบดั้งเดิม แม้ว่าสิ่งนี้จะสำคัญ แต่การมุ่งเน้นภายในนี้ไม่ได้เตรียมองค์กรให้พร้อมสำหรับการขโมยข้อมูลฝั่งไคลเอ็นต์หรือการโจมตีห่วงโซ่อุปทานที่มาจากสคริปต์ของบุคคลที่สาม บันทึกเซิร์ฟเวอร์ ซึ่งเป็นเครื่องมือทางนิติวิทยาศาสตร์แบบดั้งเดิม มักจะไม่แสดงหลักฐานของการละเมิดเหล่านี้ เนื่องจากการส่งข้อมูลออกเกิดขึ้นที่ฝั่งไคลเอ็นต์ ก่อนที่จะเข้าถึงระบบของผู้ค้าด้วยซ้ำ

การพึ่งพาการตรวจสอบประจำปีสร้างความรู้สึกปลอดภัยที่ผิดพลาด การตรวจสอบอาจสะอาด แต่การละเมิดอาจเกิดขึ้นแล้วผ่านสคริปต์ของบุคคลที่สามที่ถูกประนีประนอม PCI DSS ปัจจุบันพยายามแก้ไขบางส่วนเหล่านี้โดยเน้นการปฏิบัติตามข้อกำหนดอย่างต่อเนื่องและความสมบูรณ์ของหน้าการชำระเงิน แต่การเปลี่ยนแปลงทางความคิดที่จำเป็นในการรักษาความปลอดภัยอย่างแท้จริงต่อภัยคุกคามที่กำลังพัฒนาเหล่านี้ยังคงตามไม่ทัน ผู้ค้าจำเป็นต้องก้าวข้ามการแสดงการปฏิบัติตามข้อกำหนดไปสู่การระบุและลดภัยคุกคามที่หลีกเลี่ยงการควบคุมแบบดั้งเดิมอย่างกระตือรือร้น

การเปลี่ยนจากความสอดคล้องที่เน้นการตรวจสอบไปสู่ความปลอดภัยเชิงรุกอย่างต่อเนื่องไม่ใช่ทางเลือกอีกต่อไป แต่เป็นข้อกำหนดพื้นฐานในการรักษาความสามารถในการประมวลผลการชำระเงิน

รายการตรวจสอบการป้องกันภาคปฏิบัติ

• ทำแผนที่และตรวจสอบสคริปต์ของบุคคลที่สามทั้งหมดอย่างต่อเนื่อง: ทำความเข้าใจสคริปต์ทุกตัวที่ทำงานบนหน้าการชำระเงินของคุณ ที่มา และผลกระทบที่อาจเกิดขึ้นกับข้อมูลผู้ถือบัตร ตรวจสอบและยืนยันความสมบูรณ์ของสคริปต์เป็นประจำ
• ใช้การควบคุมความปลอดภัยฝั่งไคลเอ็นต์ที่แข็งแกร่ง: ใช้ Content Security Policies (CSPs) และ Subresource Integrity (SRI) เพื่อป้องกันการฉีดและแก้ไขสคริปต์ที่ไม่ได้รับอนุญาต
• เสริมสร้างความปลอดภัยของ IdP: ปฏิบัติต่อผู้ให้บริการข้อมูลประจำตัวของคุณในฐานะพื้นผิวการโจมตีที่สำคัญ โดยใช้ MFA ขั้นสูง การวิเคราะห์พฤติกรรม และการตรวจสอบกิจกรรมที่น่าสงสัยอย่างต่อเนื่อง
• ดำเนินการทดสอบการเจาะระบบเป็นประจำนอกเหนือจาก CDE: ขยายการทดสอบเพื่อรวมช่องโหว่ฝั่งไคลเอ็นต์ การผสานรวมของบุคคลที่สาม และห่วงโซ่อุปทานดิจิทัลที่กว้างขึ้นซึ่งโต้ตอบกับระบบนิเวศการชำระเงินของคุณ
• ใช้แพลตฟอร์มการชำระเงินที่มีการปฏิบัติตามข้อกำหนด PCI DSS ในตัว: ลดภาระข้อกำหนดทางเทคนิคและขอบเขตโดยใช้ผู้ให้บริการที่รับประกันว่าข้อมูลการชำระเงินที่ละเอียดอ่อนจะไม่เคยแตะต้องสภาพแวดล้อมในท้องถิ่นของคุณ และรักษาระดับการรับรองผู้ให้บริการระดับ 1
• พัฒนากลยุทธ์การตอบสนองต่อเหตุการณ์ที่แข็งแกร่งสำหรับการละเมิดฝั่งไคลเอ็นต์: ตรวจสอบให้แน่ใจว่าทีมของคุณพร้อมที่จะตรวจจับ ตอบสนอง และกู้คืนจากการละเมิดที่อาจไม่ปรากฏในบันทึกเซิร์ฟเวอร์แบบดั้งเดิม
• ยอมรับแนวทางที่ปรับแต่ง: สำหรับองค์กรที่มีวุฒิภาวะ ให้ใช้แนวทางที่ปรับแต่งของ PCI DSS เพื่อใช้การควบคุมที่เหมาะสมกับสถาปัตยกรรมเฉพาะของคุณ โดยได้รับการสนับสนุนจากการวิเคราะห์ความเสี่ยงที่กำหนดเป้าหมายอย่างละเอียดถี่ถ้วน แทนที่จะยึดติดกับวิธีการที่กำหนดไว้อย่างเคร่งครัดซึ่งอาจไม่ครอบคลุมภัยคุกคามที่เกิดขึ้นใหม่

การทดสอบเชิงรุกสมัยใหม่จะจับสิ่งนี้ได้อย่างไร

ข้อจำกัดของความปลอดภัยแบบดั้งเดิมที่ขับเคลื่อนด้วยการปฏิบัติตามข้อกำหนดเน้นย้ำถึงความจำเป็นอย่างยิ่งสำหรับการทดสอบเชิงรุกสมัยใหม่ แพลตฟอร์มของเราแก้ไขปัญหานี้โดยการให้การทดสอบเชิงรุกอัตโนมัติพร้อม Proofs-of-Concept (PoCs) ที่สามารถดำเนินการได้ แนวทางนี้ก้าวข้ามช่องโหว่ทางทฤษฎีและการสแกนแบบคงที่ไปสู่การจำลองการโจมตีในโลกแห่งความเป็นจริงอย่างแข็งขัน

ตัวอย่างเช่น การทดสอบเชิงรุกอัตโนมัติสามารถตรวจสอบสคริปต์ฝั่งไคลเอ็นต์อย่างเป็นระบบเพื่อหาช่องโหว่ในการฉีด ระบุการพึ่งพาของบุคคลที่สามที่ถูกประนีประนอม และแม้กระทั่งพยายามส่งข้อมูลผู้ถือบัตรจำลองผ่านเวกเตอร์เหล่านี้ PoCs ที่ดำเนินการได้จะแสดงให้เห็นว่าผู้โจมตีสามารถใช้ประโยชน์จากจุดอ่อนเหล่านี้ได้อย่างไร โดยให้หลักฐานที่เป็นรูปธรรมที่การตรวจสอบแบบดั้งเดิมหรือการทดสอบการเจาะระบบฝั่งเซิร์ฟเวอร์อาจพลาดไป ท่าทีเชิงรุกอย่างต่อเนื่องนี้ทำให้มั่นใจว่าองค์กรไม่เพียงแต่ปฏิบัติตามข้อกำหนดบนกระดาษเท่านั้น แต่ยังมีความยืดหยุ่นอย่างแท้จริงต่อกลยุทธ์การโจมตีที่กำลังพัฒนา มันตรวจสอบประสิทธิภาพของการควบคุม รวมถึงหลักฐานแนวทางที่ปรับแต่งใหม่ โดยการพยายามหลีกเลี่ยงอย่างแข็งขัน โดยนำเสนอการประเมินท่าทีความปลอดภัยแบบไดนามิกและต่อเนื่องที่เสริมการประเมิน QSA

สิ่งที่ต้องจับตาดูต่อไป

ในอนาคตอันใกล้ องค์กรต่างๆ จะยังคงปรับปรุงการใช้งาน PCI DSS ของตนต่อไป โดยเฉพาะอย่างยิ่งเมื่อข้อกำหนดที่ระบุในอนาคตทั้งหมดมีผลบังคับใช้ การเน้นจะเปลี่ยนไปสู่การปฏิบัติตามข้อกำหนดอย่างต่อเนื่องมากขึ้น โดยเปลี่ยนจากการเร่งรีบในการตรวจสอบประจำปี คาดว่าจะมีการตรวจสอบอย่างเข้มงวดมากขึ้นเกี่ยวกับการควบคุมความสมบูรณ์ของหน้าการชำระเงินและประสิทธิภาพของ MFA ในแอปพลิเคชันที่กว้างขึ้น การย้ายของ PCI Security Standards Council ไปสู่แนวทางที่ปรับแต่งแสดงให้เห็นถึงการรับรู้ว่าการควบคุมแบบเดียวไม่เพียงพอสำหรับสถาปัตยกรรมที่ซับซ้อนและทันสมัย

นอกเหนือจาก PCI DSS อุตสาหกรรมจะเผชิญกับผลกระทบของพื้นผิวการโจมตีที่กระจายตัวมากขึ้น จุดสนใจจะขยายไปสู่ความปลอดภัยในห่วงโซ่อุปทานที่แข็งแกร่งยิ่งขึ้น โดยเฉพาะสำหรับส่วนประกอบฝั่งไคลเอ็นต์และสภาพแวดล้อมบนคลาวด์ ความท้าทายสำหรับ CISOs คือการรวมความพยายามในการปฏิบัติตามข้อกำหนดเข้ากับสถาปัตยกรรมความปลอดภัยเชิงรุกแบบองค์รวมที่สามารถปรับให้เข้ากับการเปลี่ยนแปลงทางเทคโนโลยีอย่างรวดเร็ว แทนที่จะเพียงแค่ผ่านการตรวจสอบ ความสามารถในการรับชำระเงินจะขึ้นอยู่กับว่าองค์กรสามารถรักษาความปลอดภัยของขอบเขตที่เปลี่ยนแปลงและขยายตัวเหล่านี้ได้อย่างมีประสิทธิภาพหรือไม่ ทำให้การทดสอบความปลอดภัยเชิงรุกเป็นส่วนสำคัญของกลยุทธ์ของพวกเขา