PCI DSS 4.0.1

Ağ güvenlik denetimlerine ilişkin süreç ve mekanizmaların belgelenmesini, rollerin atanmasını ve tüm paydaşlar tarafından anlaşılmasını hedefler. Platformun ağ güvenliği baseline'ları ve sıkılaştırma rehberleri bu yönetişim çerçevesinin teknik temelini oluşturur.

Güvenlik duvarı ve eşdeğer ağ güvenlik denetimlerinin (NSC) doğru kural setleriyle yapılandırılmasını ve güncel tutulmasını amaçlar. Ağ segmentasyonu, güvenlik duvarı kuralı yönetimi ve sıkılaştırma içerikleri uyumlu bir yapılandırma standardı oluşturmayı kolaylaştırır.

Kart sahibi veri ortamına (KVE) gelen ve ortan çıkan ağ trafiğinin yalnızca iş için zorunlu akışlarla sınırlandırılmasını gözetir. Ağ erişim denetimi ve güvenlik bölgesi mimarisi içerikleri bu kısıtlamaların pratikte nasıl hayata geçirileceğini açıklar.

Güvenilir ağ bölgeleri ile güvenilmeyen ağlar arasındaki iletişimin izinli trafik temelinde denetlenmesini ve yalnızca meşru akışlara izin verilmesini amaçlar. Ağ topolojisi tasarımı ve NSC yapılandırma içerikleri bu bölümlerin güvenli biçimde ayrılmasına yardımcı olur.

Hem kart sahibi veri ortamına hem de güvenilmeyen ağlara bağlanabilen uç nokta ve mobil cihazlardan doğan güvenlik risklerini gidermeyi hedefler. Uç nokta sıkılaştırma ve uzaktan erişim güvenliği içerikleri bu cihazlar için uygulanabilecek savunma denetimlerini sunar.

Sistem bileşenlerine güvenli yapılandırma uygulanmasına ilişkin süreç ve mekanizmaların tanımlanıp tüm sorumlu taraflarca bilinmesini hedefler. Platformun yapılandırma yönetimi ve sistem sıkılaştırma baseline'ları bu sürecin teknik dayanaklarını sunar.

Varsayılan sağlayıcı parolalarının değiştirilmesi, gereksiz servislerin devre dışı bırakılması ve doğrulanmış yapılandırma standartlarının uygulanması dahil tüm sistem bileşenlerinin sıkılaştırılmasını amaçlar. İşletim sistemi ve uygulama sıkılaştırma rehberleri somut adım adım yapılandırma önerileri sunar.

Kart sahibi veri ortamıyla bağlantılı tüm kablosuz bileşenlerinin varsayılan kimlik bilgilerinden ve zayıf şifreleme protokollerinden arındırılarak güvenli biçimde kurulmasını gözetir. Kablosuz ağ güvenliği ve Wi-Fi sıkılaştırma içerikleri bu gereksinimlerin karşılanmasına rehberlik eder.

Depolanan kart ve hesap verilerinin korunmasına yönelik süreç ve mekanizmaların belgelenmesini, güncel tutulmasını ve sorumluların bu mekanizmaları bilmesini hedefler. Veri sınıflandırma, politika ve yönetişim içerikleri bu sürecin kurumsal çerçevesini destekler.

Kart sahibi ve hassas kimlik doğrulama verilerinin yalnızca meşru iş ihtiyacı olan durumlarda ve zorunlu süre kadar saklanmasını, fazlası silinmesini amaçlar. Veri yaşam döngüsü yönetimi ve veri saklama politikası içerikleri gereksiz veri birikiminin önüne geçer.

İşlem yetkilendirmesinin ardından CVV2, tam manyetik şerit verisi ve PIN gibi hassas kimlik doğrulama verilerinin korumasız biçimde saklanmamasını gözetir. Güvenli ödeme mimarisi ve veri koruma içerikleri bu verilerin işlem akışı dışında dışlanmasını sağlar.

Ekranda veya baskıda tam kart numarasının (PAN) maskelenerek gösterilmesini ve kopyalama ya da kaldırma yetkisinin yalnızca belirlenen iş rolleriyle sınırlandırılmasını amaçlar. Erişim denetimi ve veri maskeleme içerikleri bu kısıtlamaların teknik olarak uygulanmasını destekler.

Birincil hesap numaralarının (PAN) depolandığı her yerde güçlü şifreleme, tek yönlü karma veya tokenizasyon kullanılarak okunaksız hale getirilmesini hedefler. Kriptografi yöntemleri ve veri koruma baseline'ları uygun mekanizmaların seçimi ve uygulanması konusunda yönlendirme sağlar.

Depolanan hesap verilerini korumak amacıyla kullanılan şifreleme anahtarlarının yetkisiz erişime, ifşaya ve kötüye kullanıma karşı güvence altına alınmasını amaçlar. Anahtar yönetimi mimarisi ve kriptografi güvenliği içerikleri bu güvenceyi somutlaştırır.

Şifreleme anahtarlarının üretiminden dağıtımı, yedeklenmesi, değiştirilmesi ve güvenli imhasına kadar yaşam döngüsünün tamamını kapsayan anahtar yönetimi politika ve prosedürlerinin tanımlanıp uygulanmasını gözetir. Şifreleme yaşam döngüsü yönetimi içerikleri her aşamayı adım adım ele alır.

Açık ağlar üzerinden kart sahibi verisi aktarımını güvence altına almaya ilişkin süreç ve mekanizmaların belgelenmesini ve sorumluların bu mekanizmaları bilmesini hedefler. Ağ güvenliği yönetişim ve şifreleme politikası içerikleri bu sürecin çerçevesini oluşturur.

Birincil hesap numaralarının (PAN) açık ve herkese açık ağlar üzerinde yalnızca güçlü kriptografi ve güncel güvenli protokollerle aktarılmasını amaçlar. TLS yapılandırma sıkılaştırma ve ağ şifrelem içerikleri uyumlu protokol ve sertifika gereksinimlerini tanımlar.

Kötü amaçlı yazılıma karşı koruma süreç ve mekanizmalarının tanımlanıp belgelenmesini ve tüm sorumlu taraflarca bilinmesini hedefler. Kötü amaçlı yazılım savunması içerikleri bu mekanizmaların seçimine ve yönetimine rehberlik eder.

Saldırıya açık tüm sistem bileşenlerine güncel kötü amaçlı yazılım karşıtı çözümlerin dağıtılmasını ve tespit edilen tehditlerin hızla giderilmesini amaçlar. Uç nokta koruma sıkılaştırma ve kötü amaçlı yazılım savunma içerikleri bu dağıtımın nasıl yapılandırılacağını açıklar.

Kötü amaçlı yazılım karşıtı çözümlerin sürekli etkin durumda kalmasını, imza ve motorlarının düzenli güncellenmesini ve belirli aralıklarla aktif tarama yapmasını gözetir. İzleme, yama ve antivirüs yapılandırma içerikleri bu sürekliliği destekler.

Kullanıcıları hedef alan kimlik avı girişimlerine karşı teknik filtreleme ve süreçsel önlemlerin bir arada uygulanmasını amaçlar. Sosyal mühendislik savunması ve güvenlik farkındalığı içerikleri çalışanları oltalama tekniklerini tanıyacak ve önleyecek biçimde hazırlar.

Sistem ve yazılımların güvenli biçimde geliştirilmesine ve bakımına ilişkin süreç ve mekanizmaların belgelenmesini ve sorumluların bu mekanizmaları benimsemesini hedefler. Güvenli yazılım geliştirme yaşam döngüsü (SDL) içerikleri bu sürecin teknik altyapısını kurar.

İç kullanım veya müşteri odaklı her türlü bespoke yazılımın güvenli kodlama prensiplerine dayalı olarak tasarlanmasını ve geliştirilmesini amaçlar. Güvenli kodlama standartları, OWASP Top 10 sıkılaştırma ve kod inceleme içerikleri geliştiricilere somut yönergeler sunar.

Sistemlerde ve yazılımlarda bulunan güvenlik açıklarının düzenli zafiyet taraması ve kaynaklara dayalı önceliklendirmeyle tespit edilip giderilmesini gözetir. Zafiyet yönetimi, yama politikası ve KEV tehdit eşlemesi içerikleri bu döngünün etkin yürütülmesine katkı sağlar.

İnternete açık web uygulamalarının enjeksiyon, XSS ve diğer yaygın saldırı türlerine karşı sürekli olarak değerlendirilmesini ve teknik önlemlerle korunmasını amaçlar. Web uygulaması güvenlik duvarı (WAF) yapılandırması ve uygulama güvenlik testi içerikleri bu koruma katmanlarını tanımlar.

Tüm sistem bileşenlerinde gerçekleştirilecek değişikliklerin mevcut güvenlik kontrollerini zayıflatmadan ve belgelenmiş değişiklik yönetim süreci izlenerek uygulanmasını hedefler. Değişiklik yönetimi, sürüm denetimi ve test ortamı sıkılaştırma içerikleri bu yapıyı destekler.

Sistem bileşenlerine ve kart sahibi verilerine erişimi iş ihtiyacı temelinde kısıtlayan süreç ve mekanizmaların tanımlanıp belgelenmesini hedefler. Erişim kontrolü yönetişim ve politika içerikleri bu mekanizmaların kurumsal çerçevesini oluşturur.

Kullanıcı ve hesapların sistem bileşenlerine ve veri kaynaklarına erişim yetkilerinin en az ayrıcalık ilkesi ve iş rollerine göre belirlenmesini amaçlar. Kimlik ve erişim yönetimi (IAM) ile rol tabanlı erişim denetimi (RBAC) içerikleri bu yapılandırmanın nasıl kurulacağını açıklar.

Sistem ve verilere yönelik tüm erişimin merkezi bir erişim kontrol mekanizması üzerinden yönetilmesini ve varsayılan olarak 'erişim reddi' ilkesiyle başlanmasını gözetir. Dizin ve erişim kontrol mimarisi içerikleri bu merkezi yapının kurulumunu destekler.

Kullanıcı kimliğini doğrulamaya yönelik süreç ve mekanizmaların belgelenmesini ve tüm sorumluların bu mekanizmaları kavramasını hedefler. Kimlik yönetimi altyapısı ve politika içerikleri bu sürecin yönetişim çerçevesini kurar.

Tüm kullanıcı ve yönetici hesaplarının oluşturulmasından değiştirilmesine ve kapatılmasına kadar tutarlı ve güvenli bir döngüyle yönetilmesini amaçlar. Hesap yaşam döngüsü, ayrıcalıklı hesap yönetimi ve dizin sıkılaştırma içerikleri bu döngüyü operasyonel kılar.

Kullanıcı ve yöneticiler için parola karmaşıklığı, kilit politikaları ve güvenli oturum yönetimi dahil güçlü kimlik doğrulama mekanizmalarının kurulmasını ve yönetilmesini gözetir. Parola politikası ve kimlik doğrulama sıkılaştırma içerikleri bu gereksinimlere uygun yapılandırmayı destekler.

Kart sahibi veri ortamına yönelik her türlü erişimin en az iki bağımsız doğrulama faktörüyle güvence altına alınmasını amaçlar. MFA uygulama rehberleri, yönetici erişim güvenliği ve kimlik sıkılaştırma içerikleri bu zorunluluğun uyumlu biçimde karşılanmasına yardımcı olur.

Çok faktörlü kimlik doğrulama mekanizmalarının atlatma, kötüye kullanma veya devre dışı bırakma girişimlerine karşı dirençli biçimde yapılandırılmasını hedefler. MFA güçlendirme ve kimlik doğrulama güvenlik kontrol içerikleri bu dayanıklılığı sağlamak için teknik seçenekler sunar.

Bireysel kullanıcıyla ilişkilendirilmemiş uygulama ve sistem hesaplarının ve bunlara ait kimlik doğrulama faktörlerinin en az ayrıcalık ilkesiyle denetlenmesini amaçlar. Hizmet hesabı yönetimi, ayrıcalıklı kimlik ve otomatik hesap sıkılaştırma içerikleri bu denetimi destekler.

Kart sahibi verilerine ve sistem bileşenlerine fiziksel erişimi kısıtlamaya yönelik süreç ve mekanizmaların belgelenmesini ve sorumluların bu mekanizmaları bilmesini hedefler. Fiziksel güvenlik baseline'ları ve politika içerikleri bu çerçevenin kurulmasına rehberlik eder.

Kart sahibi verisi barındıran tesislere ve altyapı bileşenlerine yalnızca yetkili kişilerin erişebilmesini sağlayan fiziksel denetim mekanizmalarının uygulanmasını amaçlar. Fiziksel güvenlik kontrolleri, rozet erişimi ve kamera izleme içerikleri bu denetimlerin nasıl kurulacağını açıklar.

Çalışanlara verilen fiziksel erişim yetkilerinin iş ihtiyacıyla orantılı tutulmasını ve ziyaretçilerin güvenli bir karşılama, refakat ve günlük kaydı süreciyle yönetilmesini gözetir. Fiziksel erişim prosedürü ve ziyaretçi yönetimi içerikleri bu akışı yapılandırır.

Fiziksel veya dijital ortamlarda kart sahibi verisi taşıyan her türlü depolama aracının saklanması, dağıtımı, erişimi ve güvenli imhasının belgelenmiş prosedürlerle yönetilmesini amaçlar. Medya yönetimi ve güvenli imha içerikleri bu süreçlerin adım adım nasıl yürütüleceğini açıklar.

Kart sahiplerinin ödeme yaptığı donanım cihazlarının (POS terminali, kart okuyucu vb.) fiziksel tahrifata, kart kopyalamaya ve yetkisiz değiştirmeye karşı korunmasını hedefler. Donanım güvenliği, POI cihaz denetimi ve fiziksel inceleme içerikleri bu korumayı sağlar.

Sistem bileşenlerine ve kart sahibi verilerine erişimi günlüğe kaydetme ve izlemeye ilişkin süreç ve mekanizmaların tanımlanıp belgelenmesini hedefler. İzleme altyapısı tasarımı ve SIEM entegrasyon içerikleri bu mekanizmaların kurulumuna yardımcı olur.

Şüpheli ve anormal etkinliklerin tespit edilebilmesi ile adli incelemeye olanak tanıması için gerekli tüm olay kategorilerini kapsayan denetim günlüklerinin oluşturulmasını amaçlar. Log yönetimi mimarisi ve SOC işletim içerikleri bu kapsamın nasıl yapılandırılacağını açıklar.

Denetim günlüklerinin yetkisiz erişime, değiştirilmeye ve silinmeye karşı güvence altına alınmasını gözetir; böylece delil değeri korunur. Günlük bütünlüğü denetimleri, güvenli depolama ve erişim kontrolü içerikleri bu korumayı somutlaştırır.

Toplanan günlüklerin düzenli ve sistematik biçimde analiz edilerek olağandışı erişim örüntülerinin, yetkisiz işlemlerin ve potansiyel ihlallerin hızlıca fark edilmesini amaçlar. Tehdit tespiti, günlük analizi ve SIEM kural seti içerikleri bu gözden geçirme sürecini yapılandırır.

Denetim günlüklerinin adli soruşturma ve uyumluluk gereksinimlerini karşılayacak yeterli süre boyunca saklanmasını ve gerektiğinde hızla erişilebilir durumda tutulmasını hedefler. Veri saklama politikası ve günlük arşiv yönetimi içerikleri bu gereksinimlerin karşılanmasını destekler.

Tüm sistem bileşenlerinde tutarlı ve doğru saat ayarının korunmasını sağlayan zaman eşitleme mekanizmalarının uygulanmasını amaçlar; bu sayede olayların doğru sıralanması ve günlüklerin güvenilirliği güvence altına alınır. NTP sıkılaştırma ve altyapı yapılandırma içerikleri bu eşitlemeyi destekler.

Güvenlik izleme, erişim denetimi ve günlük yönetimi gibi kritik güvenlik sistemlerinde yaşanan arızaların zamanında tespit edilerek bildirilmesini ve giderilmesini gözetir. SOC operasyon prosedürleri ve olay müdahale playbook'ları arıza yanıt akışını yapılandırır.

Sistemlerin ve ağların güvenliğini düzenli test etmeye yönelik süreç ve mekanizmaların belgelenmesini ve sorumluların bu mekanizmaları benimsemesini hedefler. Güvenlik test planlaması, metodoloji seçimi ve kapsam belirleme içerikleri bu çerçeveyi kurar.

Yetkili tüm kablosuz erişim noktalarının envanterinin tutulmasını ve düzenli taramayla yetkisiz kablosuz cihazların tespit edilip giderilmesini amaçlar. Kablosuz ağ güvenliği, sahte AP tespiti ve ağ keşif içerikleri bu izleme sürecini destekler.

İç ve dış ağ bileşenlerinde belirlenen sıklıkta zafiyet taramasının yürütülmesini ve bulunan açıkların risk öncelikine göre ele alınmasını gözetir. Zafiyet yönetimi, tarama metodolojisi ve risk puanlama içerikleri bu sürecin etkin biçimde yürütülmesine rehberlik eder.

Ağ çevresinin ve uygulama katmanının belirli aralıklarla sızma testlerine tabi tutulmasını ve tespit edilen zayıflıkların düzeltilerek doğrulanmasını amaçlar. Sızma testi metodolojisi, kapsam belirleme ve bulgu yönetimi içerikleri bu süreçleri yapılandırır.

Ağ altyapısına yönelik yetkisiz erişim girişimlerinin ve kritik sistem dosyalarındaki beklenmedik değişikliklerin izleme mekanizmalarıyla tespit edilip yanıtlanmasını hedefler. IDS/IPS yapılandırması ve dosya bütünlüğü izleme içerikleri bu tespit katmanlarını kurar.

Kart sahibi tarayıcısında çalışan komut dosyalarını ve ödeme sayfası başlıklarını hedef alan yetkisiz içerik değişikliklerinin gerçek zamanlı izleme mekanizmalarıyla hızla fark edilmesini amaçlar. Web uygulaması bütünlüğü izleme ve script güvenliği içerikleri bu koruma mekanizmasını destekler.

Kuruluşun tüm bilgi varlıklarını korumaya yönelik, güncel tutulan ve tüm personele yayılan kapsamlı bir bilgi güvenliği politikasının belirlenmesini ve periyodik gözden geçirilmesini hedefler. Politika çerçevesi ve yönetişim içerikleri bu belgelemenin hazırlanmasına zemin sağlar.

Bilgisayar, mobil cihaz, e-posta ve internet gibi son kullanıcı teknolojilerinin kabul edilebilir ve yasak kullanım biçimlerini tanımlayan politikaların oluşturulmasını ve uygulanmasını amaçlar. Kullanıcı politikası ve uç nokta güvenliği içerikleri bu politikaların teknik karşılıklarını sunar.

Kart sahibi veri ortamı ve ödeme bileşenlerine yönelik risklerin en az yılda bir sistematik biçimde tanımlanıp değerlendirilmesini ve uygun azaltma önlemlerinin belirlenmesini gözetir. Risk değerlendirme metodolojisi ve tehdit modelleme içerikleri bu sürecin etkin yürütülmesine rehberlik eder.

PCI DSS uyumluluğunun yıllık değerlendirme dönemleriyle sınırlı kalmayıp sürekli yönetilen bir program çerçevesinde izlenmesini ve güncellenmesini hedefler. Uyumluluk yönetişim ve kontrol izleme içerikleri bu sürekli programın yapısını destekler.

Kart sahibi veri akışları, sistem bileşenleri ve ağ sınırlarını kapsayan PCI DSS kapsamının belgelenmesini ve belirli aralıklarla doğrulanmasını amaçlar. Ağ diyagramı, veri akış haritalama ve kapsam yönetimi içerikleri bu belgelemenin tutulmasına yardımcı olur.

Tüm personelin kart sahibi veri güvenliğine ilişkin politikaları, tehditleri ve sorumluluklarını düzenli eğitimlerle öğrenmesini ve bu bilgiyi güncel tutmasını gözetir. Güvenlik farkındalığı programı ve kimlik avı simülasyonu içerikleri bu eğitim sürecini destekler.

Kart sahibi verilerine erişimi olabilecek personelin göreve başlamadan önce uygun yasal çerçevede arka plan değerlendirmesine tabi tutulmasını hedefler. İnsan kaynakları güvenliği ve iç tehdit yönetimi içerikleri bu ön değerlendirme sürecinin nasıl yapılandırılacağını açıklar.

Kart sahibi verilerini işleyen ya da güvenliğini etkileyebilecek üçüncü taraf hizmet sağlayıcılarla ilişkili risklerin politikalar, sözleşmeler ve düzenli izlemeyle yönetilmesini amaçlar. Tedarik zinciri ve üçüncü taraf hizmet sağlayıcı (TPSP) güvenliği içerikleri bu yönetimi destekler.

Üçüncü taraf hizmet sağlayıcıların (TPSP), müşteri ortamındaki PCI DSS kapsamını etkileyen hizmet ve bileşenler için güvenlik sorumluluklarını yazılı olarak kabul etmesini ve paylaşmasını gözetir. Tedarikçi anlaşma şablonları ve sorumluluk paylaşım çerçevesi içerikleri bu belgelemeyi kolaylaştırır.

Kart sahibi veri ortamını etkileyebilecek şüpheli veya doğrulanmış güvenlik olaylarına derhal müdahale edebilmek için kapsamlı bir olay yanıt planının hazırlanmasını, test edilmesini ve sürekli güncellenmesini amaçlar. Olay müdahale playbook'ları ve tatbikat içerikleri bu planın operasyonel temelini oluşturur.