In the dynamic landscape of cybersecurity, businesses face an ongoing challenge to protect sensitive data, particularly payment card information. Compliance models such as the Payment Card Industry Data Security Standard 4.0 (PCI DSS v4.0) are developed to encourage and enhance data security for organizations that handle sensitive customer data. Within this standard thePCI DSS 4.0 Requirement 6emphasizes the critical need to develop and maintain secure systems and applications, recognizing that vulnerabilities in companies’ IT are regularly exploited by malicious actors. It mandates the installation of applicable vendor-supplied security patches within one month.
El reto del patchwork
Por un lado, los requisitos de aplicación de parches parecen algo trivial y necesario en el mundo actual. Por otro lado, las organizaciones se enfrentan a limitaciones derivadas de los calendarios de pruebas y de una infraestructura compleja —que incluye la proliferación de herramientas y los sistemas heredados—, lo que hace que la gestión oportuna de las vulnerabilidades sea una misión casi imposible para muchas de ellas. Como resultado, los requisitos de cumplimiento de la norma PCI, como el plazo de un mes para la aplicación de parches, suponen un reto crucial para las empresas.
Incluso tras la aplicación de parches, las empresas siguen expuestas a los autores de amenazas que identifican nuevas vulnerabilidades y las aprovechan en ataques de día cero, especialmente en la era actual de la IA generativa. Las organizaciones se ven expuestas a riesgos cibernéticos derivados de las vulnerabilidades informáticas, pero son los proveedores quienes tienen la responsabilidad de detectarlas, comunicarlas y solucionarlas sin demora.
Investigaciónreports that 42% of vulnerabilities are continuously exploited even after a patch is issued, with an average critical exposure time for threats (the time between disclosure and patch availability) of approximately nine days. Two years before thedisclosure of the MOVEit vulnerability, signs of experiments for exploiting it were observed in the recentMOVEit cyberattack.
Resolving PCI DSS Challenges with Compensatory Controls
Aunque la norma PCI DSS v4.0 establece requisitos estrictos, sí permite algunas excepciones para ofrecer flexibilidad y adaptabilidad a las organizaciones. La norma del mes para la aplicación de parches es una de las que ofrece cierto margen de maniobra: «Se podrán considerar controles compensatorios cuando una entidad no pueda cumplir un requisito de la norma PCI DSS tal y como se establece explícitamente debido a limitaciones técnicas o empresariales legítimas y documentadas, pero haya mitigado suficientemente el riesgo asociado a dicho requisito mediante la implementación de otros controles, o controles compensatorios».
Teniendo en cuenta la mitigación de riesgos, el objetivo fundamental de la norma es incorporar la ciberresiliencia a sus sistemas de tarjetas de pago. Para ayudarle a afrontar este reto, Commvault© Cloud, con tecnología de Metallic AI, ofrece un enfoque integral en una única plataforma que va más allá de los métodos convencionales. Veamos, en un breve recorrido, cómo Commvault Cloud le ayuda a:
- Mitigating risk for known and unknown vulnerabilities
conocidas y desconocidas. Nuestra solución de ciberengaño basada en datos, la función Threatwise de Commvault Cloud, ofrece a empresas de cualquier tamaño una protección moderna contra el ransomware y una detección temprana de los intentos de explotación de vulnerabilidades. Esta defensa proactiva protege sus datos de producción frente a amenazas de día cero y silenciosas al detectar intenciones y actividades maliciosas a lo largo del camino hacia sus datos. Para ello, cubre estratégicamente los activos vulnerables, las instancias críticas y los entornos híbridos con sensores inteligentes que envían señales de alerta temprana de gran precisión, acompañadas de inteligencia sobre amenazas útil para toda la organización. La tecnología patentada permite la corrección inmediata de riesgos, el desvío de la amenaza y la detección de ataques silenciosos gracias a sus capacidades únicas, entre las que se incluyen:- Detección de amenazas adaptada a los factores de riesgo específicos del sector (por ejemplo, sensores que imitan los sistemas de punto de venta (POS))
- Sensores personalizados exclusivos para tu empresa
- Recomendaciones sobre la ubicación estratégica de sensores para mejorar la resiliencia cibernética
- Preconfigured reports aligned to the PCI DSS standard
- Alertas automatizadas con información útil para las partes interesadas clave y las herramientas de seguridad, como tu SIEM
- Keep your backup data clean
tus datos de copia de seguridad. Utiliza la inteligencia artificial (IA) para combatir los ataques basados en IA, detectando malware de día cero y polimórfico dirigido a tu instancia de copia de seguridad con Commvault Cloud Threat Scan. Esto te permite responder y recuperar datos limpios con mayor rapidez. Detecta anomalías y predice amenazas antes de que infecten tus copias de seguridad para ayudarte a alcanzar y superar los objetivos de Recovery. - Identify data risk and governance factors
de riesgo y de gobernanza de los datos. Commvault Cloud Risk Analysis ayuda a localizar, clasificar y gestionar los datos confidenciales almacenados en repositorios seguros y en fuentes de datos activas en cuestión de segundos. Risk Analysis te ayuda a adelantarte a la proliferación descontrolada de datos y a la sobreexposición, con el fin de mantener protegidos los datos confidenciales y evitar su filtración. - Secure, monitor, and response
Security IQ de Commvault Cloud ofrece visibilidad sobre todas las instancias de datos, para que siempre estés preparado frente a las amenazas cibernéticas. Refuerza continuamente tu postura de seguridad, identifica los riesgos relacionados con los datos en tiempo real y corrígelos para adelantarte a las amenazas en constante evolución. Las integraciones con SIEM y SOAR permiten automatizar aún más la respuesta para reducir el tiempo de reacción.
Commvault Cloud y PCI DSS v4.0
Commvault Cloud enables you to adopt a cyber resilience approach to help meet central requirements within the PCI DSS v4.0 (including Req2, Req3, Req7, Req10). The platform ensures secure configurations across all system components, safeguards stored backup account data, restricts access to cardholder backup data, and implements robust logging and monitoring. Comprehensive security control such as identification and access management controls, security posture overviews, best-in-class encryption standards, and extensive documentation capabilities are available across all system components.
Si desea obtener más información sobre nuestra tecnología de vanguardia y nuestros casos prácticos recientes sobre la detección de amenazas en el mundo real,Contáctanos con nosotros.
