التوافق مع معايير PCI على AWS: كيف تدعم AWS المتطلبات الاثني عشر لمعايير PCI.

كيف تمتثل لمعيار PCI DSS على خدمات أمازون ويب؟

معيار أمان بيانات صناعة بطاقات الدفع (PCI DSS) هو مجموعة من معايير الأمان المصممة لضمان أن جميع الشركات التي تقبل أو تعالج أو تخزن أو تنقل معلومات بطاقات الائتمان تحافظ على بيئة آمنة. ينطبق هذا على أي كيان يحتفظ أو يعالج أو يتبادل بيانات حاملي البطاقات، بغض النظر عن حجمه أو حجم المعاملات.

عند العمل على خدمات شبكة أمازون، أكبر مزود سحابي في العالم، يشير الامتثال لمعايير PCI DSS إلى التزام منصة AWS وخدماتها والأحمال التي تديرها مؤسستك بهذه المعايير الأمنية. وفقًا لنموذج المسؤولية المشتركة، تتحمل AWS مسؤولية الأمان "للسحابة"، بينما يتحمل العملاء مسؤولية الأمان "داخل" السحابة. وهذا يعني أنه بينما توفر AWS بنية تحتية وخدمات آمنة، يجب على العملاء التأكد من أنهم ينفذون تدابير أمان قوية داخل بيئتهم المحددة.

لتحقيق الامتثال لمعيار PCI DSS على AWS لأي معالجة أو تخزين للبيانات المالية، تحتاج إلى فهم كيفية توافق خدمات AWS مع متطلبات PCI DSS الاثني عشر. تشمل هذه المتطلبات تأمين الشبكة، وحماية بيانات حاملي البطاقات، والحفاظ على برنامج إدارة الثغرات، وتنفيذ تدابير التحكم في الوصول، ومراقبة واختبار الشبكات بانتظام، والحفاظ على سياسة أمن المعلومات.

القراءة الموصى بها:ما هو SIEM، ولماذا هو مهم و 13 قدرة رئيسية.

الخدمات الرئيسية من أمازون ويب (AWS) المتعلقة بالامتثال لمعيار PCI

هناك العديد من خدمات AWS التي يمكن أن تساعد في إنشاء وصيانة الامتثال لمعيار PCI DSS. سنقوم بمراجعة هذه الخدمات، ثم في القسم التالي، سنشرح كيفية استخدامها للامتثال لكل من متطلبات PCI الاثني عشر.

أمازون VPC

تتيح لك خدمة Amazon Virtual Private Cloud (VPC) إنشاء قسم معزول منطقيًا من سحابة AWS. يمكنك إطلاق موارد AWS في شبكتك الافتراضية الخاصة، مع بيئة شبكية آمنة وقابلة للتخصيص. يمكنك اختيار نطاق عنوان IP الخاص بك، وإنشاء الشبكات الفرعية، وتكوين جداول التوجيه وبوابات الشبكة.

إدارة الهوية والوصول في خدمات أمازون

تتيح لك إدارة الهوية والوصول في أمازون (IAM) إدارة الوصول إلى خدمات وموارد أمازون بشكل آمن. يمكنك إنشاء وإدارة مستخدمي ومجموعات أمازون واستخدام الأذونات للسماح أو رفض وصولهم إلى موارد أمازون.

إدارة الهوية والوصول مهمة لتحقيق تدابير قوية للتحكم في الوصول. تتيح لك فرض سياسات كلمات مرور قوية، وإدارة الأذونات، وتوفير وصول آمن لموارد AWS الخاصة بك، مما يحمي بيانات حاملي البطاقات.

خدمة إدارة المفاتيح من أمازون (AWS Key Management Service)

خدمة إدارة المفاتيح من أمازون (KMS) هي خدمة مُدارة تساعدك في إنشاء والتحكم في المفاتيح التشفيرية المستخدمة لتشفير بياناتك. تتم عمليات التشفير وفك التشفير داخل خدمة KMS، مما يوفر أمانًا أكبر لمفاتيحك. مع KMS، يمكنك تشفير البيانات المخزنة وإدارة المفاتيح، مما يضمن سرية وسلامة بيانات حاملي البطاقات. (من المستحسن بالطبع أن تعتمد على تشفير المفاتيح الخاصة 256 بت والمفاتيح العامة 2048 بت الأكثر أمانًا.)

أمازون غارد ديوتي

خدمة Amazon GuardDuty هي خدمة للكشف عن التهديدات تراقب باستمرار الأنشطة الضارة والسلوك غير المصرح به للمساعدة في حماية حسابات AWS الخاصة بك، وأعباء العمل، والبيانات المخزنة في Amazon S3. تحدد الأنشطة غير العادية أو غير المصرح بها، مثل تعدين العملات الرقمية، وسلوك اختراق بيانات الاعتماد، أو التواصل مع عناوين IP، أو روابط، أو مجالات ضارة.

تتوافق المراقبة الأمنية المستمرة من GuardDuty مع متطلبات PCI DSS المتعلقة بالمراقبة والاختبار المنتظم للشبكات. من خلال تنبيهك إلى التهديدات الأمنية المحتملة، يساعدك GuardDuty في الحفاظ على بيئة شبكة آمنة.

خدمة AWS CloudTrail وAWS Config

AWS CloudTrail هي خدمة تمكّن من الحوكمة، والامتثال، والتدقيق التشغيلي، وتدقيق المخاطر لحسابك على AWS. مع AWS CloudTrail، يمكنك تسجيل، ومراقبة بشكل مستمر، والاحتفاظ بنشاط الحساب المتعلق بالإجراءات عبر بنية AWS التحتية الخاصة بك.

AWS Config هي خدمة تتيح لك تقييم وتدقيق وتقييم تكوينات موارد AWS الخاصة بك. توفر رؤى تفصيلية لخصائص تكوين موارد AWS الخاصة بك، وتسمح لك بتحديد مدى الامتثال العام للتكوينات المحددة في إرشاداتك الداخلية.

تلعب كل من CloudTrail و AWS Config دورًا حيويًا في تحقيق الامتثال لمعيار PCI DSS، لا سيما فيما يتعلق بالمتطلبات الخاصة بالمراقبة والاختبار المنتظم للشبكات والحفاظ على سياسة أمن المعلومات. من خلال استخدام هذه الخدمات، يمكنك الحصول على رؤية واضحة حول تكوين الموارد والتغييرات، وتتبع الوصول والنشاط في بيئة AWS الخاصة بك.

ميزات الأمان في AWS S3

خدمة التخزين البسيط من أمازون (S3) هي خدمة تخزين قابلة للتوسع توفر للشركات تخزين كائنات آمن وموثوق وقابل للتوسع بشكل كبير. مع AWS S3، يمكنك تخزين واسترجاع أي كمية من البيانات تقريبًا، في أي وقت، ومن أي مكان على الويب.

للامتثال لمعايير PCI DSS، تقدم خدمة AWS S3 عددًا من الميزات التي يمكن أن تساعد في تأمين بيانات حاملي البطاقات. تشمل هذه الميزات التشفير من جانب الخادم (SSE) للبيانات المخزنة، ونقل البيانات بشكل آمن باستخدام SSL/TLS، وسياسات التحكم في الوصول، وتسجيل طلبات الوصول. يمكن أن تساعد هذه الميزات الشركات في تلبية العديد من متطلبات PCI DSS، مثل حماية بيانات حاملي البطاقات المخزنة وتتبع ومراقبة جميع الوصول إلى موارد الشبكة وبيانات حاملي البطاقات.

مدير شهادات AWS

مدير شهادات AWS (ACM) هو خدمة تُبسط إدارة ونشر شهادات SSL/TLS لمواقعك وتطبيقاتك المعتمدة على AWS. تُستخدم شهادات SSL/TLS لتأمين الاتصالات الشبكية وتأكيد هوية المواقع على الإنترنت.

للامتثال لمعيار PCI DSS، من الضروري تشفير نقل بيانات حاملي البطاقات عبر الشبكات العامة المفتوحة. يمكن أن تساعد خدمة AWS ACM الشركات في تلبية هذا المطلب من خلال توفير الأدوات اللازمة لتوفير وإدارة وتوزيع شهادات SSL/TLS العامة والخاصة بسهولة.

مدير تصحيح أنظمة AWS

خدمة AWS Systems Manager Patch Manager هي خدمة تساعدك في أتمتة عملية تصحيح الأنظمة المدارة. توفر الشركات مجموعة متنوعة من الأدوات للمساعدة في عملية التصحيح، مثل فحص الامتثال للتصحيحات، وإنشاء قواعد بيانات التصحيحات، وجدولة طرح التصحيحات.

تتطلب متطلبات PCI DSS استخدام أنظمة تحتوي على أحدث تصحيحات الأمان لحماية بيانات حاملي البطاقات. يمكن أن يساعد AWS Systems Manager Patch Manager الشركات في تلبية هذا المطلب من خلال توفير حل مركزي وآلي لإدارة التصحيحات.

من خلال ضمان تحديث جميع الأنظمة بأحدث تصحيحات الأمان، يمكن للشركات تقليل مخاطر الثغرات الأمنية التي قد تؤدي إلى خروقات البيانات. بالإضافة إلى ذلك، تساعد الطبيعة الآلية لأداة Patch Manager من AWS في تقليل احتمالية الأخطاء البشرية، مما يعزز بشكل أكبر من وضع الأمان في الأعمال.

قطعة أثرية من AWS

AWS Artifact هي خدمة توفر الوصول عند الطلب إلى تقارير الأمان والامتثال الخاصة بـ AWS وبعض الاتفاقيات عبر الإنترنت. تشمل التقارير المتاحة في AWS Artifact شهادة الامتثال لمعيار أمان بيانات بطاقات الدفع (PCI DSS) ومصفوفة المسؤوليات (المعروفة أيضًا بمصفوفة المسؤولية المشتركة لـ PCI).

يمكن أن تساعد هذه الوثائق الشركات في فهم كيفية توافق خدمات AWS مع متطلبات PCI DSS، والمسؤوليات التي تديرها AWS (كموفر خدمة) وتلك التي تقع على عاتق الشركة (كعميل).

مركز أمان AWS

يوفر لك AWS Security Hub نظرة شاملة على تنبيهات الأمان ذات الأولوية العالية وحالة الامتثال عبر حسابات AWS الخاصة بك. مع Security Hub، لديك مكان واحد يجمع وينظم ويحدد أولويات تنبيهات الأمان، أو النتائج، من خدمات AWS المتعددة.

يتطلب معيار PCI DSS من الشركات تنفيذ عملية لاختبار أنظمة الأمان والعمليات بشكل منتظم. يمكن أن يساعد AWS Security Hub الشركات في تلبية هذا المطلب من خلال توفير فحوصات أمان مستمرة، بالإضافة إلى رؤى حول القضايا الأمنية المحتملة.

كيفية الامتثال لمتطلبات PCI DSS الاثني عشر على AWS

الآن، دعنا نستعرض 12 متطلبًا من PCI DSS ونرى كيف يؤثر كل منها على البنية التحتية والأحمال التي تعمل عليها في AWS.

1. قم بتثبيت وصيانة جدار ناري لحماية بيانات حاملي البطاقات.

تُعتبر جدران الحماية الخط الأول للدفاع في تأمين بيانات حاملي البطاقات. تقوم بتصفية حركة المرور الشبكية الواردة والصادرة بناءً على السياسات الأمنية التي وضعتها المؤسسة مسبقًا. جدار الحماية هو جهاز أمان شبكي يراقب ويصفّي حركة المرور الشبكية الواردة والصادرة بناءً على السياسات الأمنية التي وضعتها المؤسسة مسبقًا.

تقدم AWS قواعد جدار حماية مدمجة من خلال ميزة مجموعات الأمان. تتيح لك هذه القواعد التحكم في حركة المرور الواردة والصادرة على مستوى المثيل. كما تقدم AWS قوائم التحكم في الوصول للشبكة (NACLs) للتحكم في حركة المرور غير الحالة على مستوى الشبكة الفرعية.

توفر أمازون ويب سيرفيسز أيضًا تسجيلات مفصلة لجدران الحماية الخاصة بك من خلال خدمات مثل AWS CloudTrail و AWS Config، مما يمكّن فرق الأمان من مراقبة التغييرات وضمان بقاء جدران الحماية فعالة.

2. كلمات مرور قوية وتكوين آمن

جانب آخر أساسي من الامتثال لمعيار PCI DSS هو ضمان وجود تدابير قوية للتحكم في الوصول. يشمل ذلك استخدام كلمات مرور قوية والحفاظ على تكوينات آمنة.

تتيح لك إدارة الهوية والوصول في AWS (IAM) إدارة الوصول إلى موارد AWS الخاصة بك. باستخدام IAM، يمكنك إنشاء وإدارة مستخدمي AWS والمجموعات واستخدام الأذونات للسماح أو منع وصولهم إلى موارد AWS. يتضمن ذلك فرض سياسات كلمات المرور التي تتطلب كلمات مرور قوية. كمثال، يمكنك استخدام مفاتيح الشروط في IAM لفرض إدارة كلمة مرور المستخدم الرئيسي لخدمة قاعدة البيانات العلائقية (RDS) في AWS Secrets Manager.

تعتبر التكوينات الآمنة ضرورية أيضًا لحماية بياناتك. تقدم AWS أدوات متنوعة للمساعدة في ذلك، بما في ذلك AWS Config، الذي يراقب باستمرار ويقوم بتسجيل تكوينات موارد AWS الخاصة بك، ويسمح لك بأتمتة تقييم التكوينات المسجلة مقابل التكوينات المرغوبة.

3. حماية بيانات حاملي البطاقات المخزنة

تقدم AWS عدة خيارات للتخزين، كل منها يتمتع بميزات أمان خاصة به، مما يمكن أن يساعدك في حماية بيانات حاملي البطاقات المخزنة.

خدمة AWS S3 هي خيار واحد. تتيح لك تفعيل التشفير من جانب الخادم للبيانات المخزنة. يمكنك أيضًا استخدام خدمة Amazon Macie، وهي خدمة أمان تستخدم التعلم الآلي لاكتشاف وتصنيف وحماية البيانات الحساسة مثل المعلومات الشخصية القابلة للتعريف.

خيار آخر هو Amazon RDS، الذي يقدم عدة خيارات لتشفير البيانات المخزنة في مثيلات قاعدة البيانات الخاصة بك باستخدام خدمة إدارة المفاتيح من AWS (KMS).

4. تشفير بيانات حامل البطاقة أثناء نقلها عبر الشبكات العامة

عند نقل بيانات حاملي البطاقات عبر الشبكات العامة، يعتبر التشفير مفتاحًا للحفاظ على أمانها. توفر AWS آليات مدمجة لتشفير البيانات أثناء النقل.

يمكنك استخدام خدمة إدارة الشهادات من أمازون (ACM) للتعامل مع شهادات SSL/TLS لتطبيقاتك. هذه الشهادات تمكنك من استخدام بروتوكول HTTPS لتأمين مواقعك وتطبيقاتك.

توفر أمازون ويب سيرفيسز (AWS) أيضًا الشبكة الخاصة الافتراضية (VPC) التي تتيح لك إطلاق موارد AWS في شبكة افتراضية معزولة، مع شبكة فرعية عامة لخوادم الويب وشبكة فرعية خاصة آمنة لقواعد البيانات.

5. استخدم وقم بتحديث برنامج مكافحة الفيروسات بانتظام.

استخدام وتحديث برامج مكافحة الفيروسات بانتظام هو متطلب آخر من متطلبات PCI DSS. لا توفر AWS حلاً خاصًا بها لمكافحة الفيروسات، ولكن هناك العديد من حلول مكافحة البرمجيات الضارة من جهات خارجية متاحة في سوق AWS.

طريقة أخرى للحماية من البرمجيات الخبيثة وغيرها من التهديدات السيبرانية هي استخدام حل وسيط أمان الوصول إلى السحابة (CASB). تعمل CASBs كوسطاء بين مستخدمي خدمات السحابة ومقدمي خدمات السحابة، حيث تقدم قدرات أمان وامتثال محسّنة. توفر رؤية لاستخدام تطبيقات السحابة، وحماية البيانات، ومنع التهديدات. في سياق PCI DSS، يمكن أن تساعد CASB في تحديد البيانات الحساسة في السحابة والتحكم فيها، وتطبيق سياسات الأمان، وتقديم حماية متقدمة ضد التهديدات لخدمات SaaS المستخدمة من قبل مؤسستك.

6. تطوير وصيانة أنظمة وتطبيقات آمنة

تطوير وصيانة الأنظمة والتطبيقات الآمنة هو عملية متعددة الأبعاد. تتضمن تحديثات دورية، ومراقبة، وتقييم للأنظمة الخاصة بك.

توفر AWS العديد من الخدمات للمساعدة في ذلك. يقوم AWS Systems Manager Patch Manager بأتمتة عملية تصحيح الأنظمة المدارة. توفر AWS CloudTrail تاريخ استدعاءات واجهة برمجة التطبيقات لحسابك، بما في ذلك استدعاءات واجهة برمجة التطبيقات التي تمت عبر واجهة إدارة AWS، وAWS SDKs، وأدوات سطر الأوامر، والخدمات الأخرى ذات المستوى الأعلى.

7. تقييد الوصول إلى بيانات حاملي البطاقات بناءً على "الحاجة إلى المعرفة".

يجب دائمًا تقييد الوصول إلى بيانات حاملي البطاقات بناءً على مبدأ "الحاجة إلى المعرفة". هذا جزء من مبدأ أقل امتياز، مما يعني أن كل شخص يجب أن يكون لديه وصول فقط إلى البيانات التي يحتاجها لأداء واجباته الوظيفية.

مع AWS IAM، يمكنك إنشاء وإدارة مستخدمي ومجموعات AWS واستخدام الأذونات للسماح أو منع وصولهم إلى موارد AWS. وهذا يتيح لك تقييد الوصول بناءً على "الحاجة إلى المعرفة". حيثما كان ذلك ممكنًا، استخدم إخفاء البيانات والتحكم في الوصول القائم على الأدوار للحد من التعرض.

8. معرفات فريدة لكل شخص لديه وصول إلى الكمبيوتر

بموجب معيار أمان بيانات صناعة بطاقات الدفع (PCI DSS)، يجب أن يكون لكل شخص لديه وصول إلى الكمبيوتر معرف فريد. تتيح لك خدمة إدارة الهوية والوصول (IAM) من أمازون ويب سيرفيسز (AWS) إنشاء وإدارة مستخدمي AWS والمجموعات، واستخدام الأذونات للسماح أو منع وصولهم إلى موارد AWS.

تسمح AWS أيضًا بالمصادقة متعددة العوامل (MFA)، مما يوفر طبقة إضافية من الأمان. وهذا يعني أنه حتى إذا تم اختراق بيانات اعتماد المستخدم، فإن المهاجم سيحتاج إلى جهاز MFA للوصول إلى الحساب.

9. تقييد الوصول الفعلي إلى بيانات حاملي البطاقات

في AWS، يشير تقييد الوصول الفعلي إلى بيانات حاملي البطاقات إلى الأمان الفعلي لمراكز البيانات التي تُخزن فيها بياناتك. وعادةً ما تقع هذه المسؤولية تحت عاتق أمازون في نموذج المسؤولية المشتركة.

تتميز مراكز بيانات AWS بمجموعة قوية من تدابير الأمان المادي، بما في ذلك موظفون أمنيون محترفون، والمراقبة بالفيديو، وأنظمة كشف التسلل. كما توفر AWS تحكمًا قويًا في من لديه حق الوصول إلى هذه المرافق، مما يضمن أن بياناتك آمنة ماديًا.

10. تتبع ومراقبة الوصول إلى الشبكة وبيانات حاملي البطاقات

تتبع ومراقبة الوصول إلى الشبكة وبيانات حاملي البطاقات يمنحك رؤية واضحة حول من يقوم بالوصول إلى أي بيانات ومتى. يمكن تحقيق ذلك من خلال خدمات مثل AWS CloudTrail، التي تسجل وتراقب باستمرار وتحتفظ بنشاط الحساب المتعلق بالإجراءات عبر بنية AWS التحتية الخاصة بك.

تقدم أمازون أيضًا خدمة Amazon GuardDuty، وهي خدمة للكشف عن التهديدات تقوم بمراقبة سلوكيات ضارة أو غير مصرح بها بشكل مستمر للمساعدة في حماية حساباتك وأعباء العمل على AWS.

11. اختبار أنظمة وعمليات الأمان بانتظام

الاختبار المنتظم لأنظمة الأمان والعمليات هو مفتاح لضمان بقائها فعالة. تقدم AWS العديد من الأدوات للمساعدة في ذلك، بما في ذلك AWS Config، الذي يتيح لك أتمتة تقييم التكوينات المسجلة لديك مقابل التكوينات المرغوبة.

تقدم أمازون ويب سيرفيسز أيضًا AWS Security Hub، الذي يمنحك نظرة شاملة على تنبيهات الأمان ذات الأولوية العالية وحالة الامتثال عبر حسابات AWS.

12. الحفاظ على سياسة أمن المعلومات التي تؤثر على جميع الأفراد

أخيرًا، إن الحفاظ على سياسة أمن المعلومات هو متطلب من متطلبات PCI DSS. يجب أن تغطي هذه السياسة جميع جوانب الأمان وأن يتم إبلاغ جميع الأفراد بها.

تقدم أمازون ويب سيرفيسز (AWS) خدمة AWS Artifact، وهي بوابة توفر الوصول إلى تقارير الأمان والامتثال الخاصة بـ AWS وبعض الاتفاقيات عبر الإنترنت. يمكن استخدام هذه الوثائق كأساس لجزء AWS من سياسة أمان المعلومات في شركتك.

التوافق مع معايير PCI على AWS باستخدام Exabeam

يمكن أن يؤدي عدم الامتثال لمعايير PCI إلى غرامات كبيرة وعواقب أخرى، مثل فقدان الأعمال أو الإذن بالعمل في بعض الولايات والدول. أظهرت دراسة أجراها معهد بونيمون أن أكثر من نصف العملاء فقدوا الثقة في منظمة ما بعد تعرضها لخرق بيانات، وأن 31 في المئة منهم أنهوا علاقتهم مع المنظمة بعد الخرق.

توفر منصة عمليات الأمن من Exabeam المدعومة بالذكاء الاصطناعي لوحات معلومات مُصممة مسبقًا ومُعلّمة لتسهيل إعداد تقارير الامتثال لمعايير PCI. سواء كنت تستخدم إطار عمل مثل NIST أو إطار MITRE للهجوم والتكتيكات والتقنيات المشتركة (ATT&CK)^، توفر Exabeam مسارًا واضحًا لتتبع احتياجاتك من طلبات الامتثال والحوكمة، مع تحديد الوضع الطبيعي في بيئتك ولكل كيان مُسجّل دخوله.

تتميز ميزة "Outcomes Navigator" في منصة "Exabeam" بتوفير رؤية مستمرة وتحليلاً لتغطية الكشف والتحسينات التي تم إجراؤها، مما يقدم اقتراحات لتحسين تحليل السجلات، كما يظهر أي المصادر والكشفات هي الأكثر فعالية ضد أي أجزاء من إطار عمل ATT&CK، وأي الحالات تشير بشكل أكبر إلى اختراق الشبكة، والاستمرارية، والحركة الجانبية.