No cenário dinâmico da segurança cibernética, as empresas enfrentam um desafio constante para proteger dados confidenciais, especialmente informações de cartões de pagamento. Modelos de conformidade, como a Norma de Segurança de Dados da Indústria de Cartões de Pagamento 4.0 (PCI DSS v4.0), são desenvolvidos para incentivar e aprimorar a segurança dos dados nas organizações que lidam com dados confidenciais de clientes. Dentro dessa norma, oRequisito 6 da norma PCI DSS 4.0emphasizes the critical need to develop and maintain secure systems and applications, recognizing that vulnerabilities in companies’ IT are regularly exploited by malicious actors. It mandates the installation of applicable vendor-supplied security patches within one month.
O Desafio do Patchwork
Por um lado, os requisitos de aplicação de patches parecem triviais e necessários no mundo atual. Por outro lado, as organizações enfrentam restrições decorrentes de cronogramas de testes e de uma infraestrutura complexa — incluindo a proliferação de ferramentas e sistemas legados — que tornam o gerenciamento oportuno de vulnerabilidades uma missão quase impossível para muitas delas. Como resultado, os requisitos de conformidade com o PCI, como o prazo de um mês para a aplicação de patches, representam um desafio crucial para as empresas.
Mesmo após a implementação de patches, as empresas continuam expostas a agentes mal-intencionados que identificam novas vulnerabilidades e as exploram em ataques de dia zero, especialmente na era atual da IA generativa. As organizações herdam riscos cibernéticos decorrentes de vulnerabilidades de TI, mas os fornecedores são responsáveis por identificá-las, divulgá-las e corrigi-las prontamente.
Pesquisaindicam que 42% das vulnerabilidades continuam sendo exploradas mesmo após a publicação de uma correção, com um tempo médio de exposição crítica às ameaças (o período entre a divulgação e a disponibilidade da correção) de aproximadamente nove dias. Dois anos antes dadivulgação da vulnerabilidade do MOVEit, foram observados indícios de tentativas de explorá-la no recenteataque cibernético ao MOVEit.
Resolving PCI DSS Challenges with Compensatory Controls
Embora a PCI DSS v4.0 tenha requisitos rigorosos, ela permite algumas exceções para oferecer flexibilidade e aplicabilidade às organizações. A regra do patch de um mês é uma das que oferece alguma margem de manobra: “Controles compensatórios podem ser considerados quando uma entidade não puder atender a um requisito da PCI DSS conforme explicitamente estabelecido devido a restrições técnicas ou comerciais legítimas e documentadas, mas tiver mitigado suficientemente o risco associado ao requisito por meio da implementação de outros controles, ou controles compensatórios.”
Tendo em vista a mitigação de riscos, o objetivo fundamental da norma é incorporar resiliência cibernética aos seus sistemas de cartões de pagamento. Para ajudar a enfrentar esse desafio, o Commvault© Cloud, com tecnologia da Metallic AI, oferece uma abordagem abrangente em uma única plataforma que vai além dos métodos convencionais. Vamos explorar, em uma breve jornada, como o Commvault Cloud pode ajudá-lo:
- Mitigação de riscos relacionados a vulnerabilidades conhecidas e desconhecidas
conhecidas e desconhecidas: nossa solução de engano cibernético baseada em dados, o recurso Threatwise do Commvault Cloud, oferece proteção moderna contra ransomware e detecção precoce de tentativas de exploração de vulnerabilidades para empresas de todos os tamanhos. A defesa proativa protege seus dados de produção contra ameaças de dia zero e silenciosas, identificando intenções e atividades maliciosas ao longo do caminho até seus dados. Isso é feito por meio da cobertura estratégica de ativos vulneráveis, instâncias críticas e ambientes híbridos com sensores inteligentes que enviam sinais de alerta precoce altamente precisos, acompanhados de inteligência de ameaças acionável em toda a organização. A tecnologia patenteada permite a correção imediata de riscos, o redirecionamento da ameaça e a exposição de ataques silenciosos com seus recursos exclusivos, incluindo:- Detecção de ameaças adaptada aos fatores de risco específicos do setor (ou seja, sensores que simulam sistemas de ponto de venda (POS))
- Sensores personalizados exclusivos para sua empresa
- Recomendações estratégicas para o posicionamento de sensores com o objetivo de melhorar a resiliência cibernética
- Preconfigured reports aligned to the PCI DSS standard
- Alertas automatizados com informações úteis para as principais partes interessadas e ferramentas de segurança, como o seu SIEM
- Mantenha os seus dados de backup limpos
. Utilize inteligência artificial (IA) para combater ataques baseados em IA, identificando malware de dia zero e polimórfico que tenha como alvo sua instância de backup com o Commvault Cloud Threat Scan. Isso permite que você responda e recupere dados protegidos com mais rapidez. Detecte anomalias e preveja ameaças antes que elas infectem seus backups, ajudando a atingir e superar as metas de Recovery. - Identificar fatores de risco e de governança de dados
de risco e governança de dados. A Risk Analysis na Commvault Cloud ajuda a localizar, categorizar e tomar medidas em relação a dados confidenciais em repositórios seguros e fontes de dados ativas em questão de segundos. The Risk Analysis helps you to anticipate the proliferation of data and excessive exposure, so that confidential data can be protected and data exfiltration prevented. - Proteger, monitorar e responder
o Security IQ do Commvault Cloud oferece visibilidade sobre todas as instâncias de dados, para que você esteja sempre preparado contra ameaças cibernéticas. Fortaleça continuamente sua postura de segurança, identifique riscos aos dados em tempo real e corrija-os para se antecipar às ameaças em constante evolução. As integrações com SIEM e SOAR podem automatizar ainda mais a resposta, reduzindo seu tempo de reação.
Commvault Cloud e PCI DSS v4.0
Commvault Cloud enables you to adopt a cyber resilience approach to help meet central requirements within the PCI DSS v4.0 (including Req2, Req3, Req7, Req10). The platform ensures secure configurations across all system components, safeguards stored backup account data, restricts access to cardholder backup data, and implements robust logging and monitoring. Comprehensive security control such as identification and access management controls, security posture overviews, best-in-class encryption standards, and extensive documentation capabilities are available across all system components.
Para saber mais sobre nossa tecnologia de ponta e os recentes estudos de caso sobre detecção de ameaças no mundo real,Entre em contato conosco.
