يواجه مسؤولو أمن المعلومات ومدراء الامتثال في المتاجر ومنصات التجارة الإلكترونية السعودية تحدياً متكرراً: كيفية تحديد نطاق PCI DSS السعودية عندما تكون بوابة الدفع مستضافة خارج المملكة، سواء في أوروبا أو الولايات المتحدة أو منطقة أخرى. يخلق هذا التوزيع الجغرافي للبنية التحتية ارتباكاً حقيقياً في تحديد النطاق: أي الأنظمة المحلية تقع فعلياً داخل بيئة بيانات حاملي البطاقات، وأيها يمكن استثناؤه بأمان، وكيف يمكن توثيق هذا التجزئة بطريقة يقبلها المدقق المعتمد؟
لا يكفي الاعتماد على تأكيدات مقدم البوابة بأن "كل شيء آمن لديهم". يطلب معيار PCI DSS الإصدار 4.0 من المؤسسة السعودية أن توثق بدقة أين تتدفق بيانات حاملي البطاقات، وأين تُخزن، وأين تُعالج، وكيف يتم عزل الأنظمة التي لا تلمس هذه البيانات عن تلك التي تلمسها. عندما تكون البوابة خارج حدودك المادية والإدارية، يصبح هذا التوثيق أكثر تعقيداً، لكنه يظل إلزامياً.
يشرح هذا المقال شجرة القرارات التي نستخدمها في تقييمات الجاهزية لمعيار PCI DSS، موضحاً كيفية تحديد النطاق بدقة، وتوثيق التجزئة، وتبرير الاستثناءات، وإعداد الأدلة قبل وصول المدقق المعتمد.
متى تحتاج إلى تحديد نطاق دقيق
تحتاج المؤسسة إلى تحديد نطاق واضح ودقيق لبيئة بيانات حاملي البطاقات في عدة حالات:
قبل التقييم الأول: عندما تستعد لأول تقييم من مقيّم معتمد أو لملء استبيان التقييم الذاتي، يجب أن تحدد بالضبط أي الأنظمة والشبكات والأفراد يقعون ضمن النطاق. بدون هذا التحديد، ستجد نفسك تطبق متطلبات المعيار على أنظمة لا تحتاج إليها، أو الأسوأ، ستغفل عن أنظمة يجب أن تكون ضمن النطاق.
عند تغيير البنية التحتية: عندما تنتقل من بوابة دفع محلية إلى بوابة مستضافة خارجياً، أو عندما تضيف قنوات دفع جديدة، أو عندما تدمج منصة تجارة إلكترونية جديدة، يتغير النطاق. كل تغيير في تدفق البيانات يتطلب إعادة تقييم النطاق.
عند التحضير للإصدار 4.0: يقدم الإصدار 4.0 من PCI DSS متطلبات جديدة ومحدثة، بعضها يؤثر مباشرة على كيفية توثيق النطاق والتجزئة. المؤسسات التي حددت نطاقها وفق الإصدار 3.2.1 تحتاج إلى مراجعة هذا التحديد للتأكد من توافقه مع المتطلبات الجديدة.
عندما يطلب المدقق توضيحاً: إذا طلب المدقق المعتمد أو البنك المستحوذ توضيحاً حول كيفية عزل أنظمة معينة عن بيئة بيانات حاملي البطاقات، فهذا يعني أن توثيق النطاق الحالي غير كافٍ أو غير واضح.
شجرة القرارات: هل النظام ضمن النطاق؟
نستخدم شجرة قرارات واضحة لتحديد ما إذا كان نظام أو شبكة أو تطبيق معين يقع ضمن نطاق PCI DSS:
السؤال الأول: هل يخزن أو يعالج أو ينقل بيانات حاملي البطاقات؟
إذا كان الجواب نعم، فالنظام ضمن النطاق بلا جدال. حتى لو كانت البيانات تمر عبره لثوانٍ معدودة، أو تُخزن مؤقتاً في ذاكرة التطبيق، فهو ضمن النطاق.
في حالة بوابة الدفع الخارجية، السؤال الحاسم: هل تمر بيانات البطاقة الكاملة عبر خوادمك المحلية في أي لحظة؟ إذا كان التكامل يعتمد على إعادة توجيه العميل مباشرة إلى صفحة البوابة المستضافة، ثم العودة بعد إتمام الدفع برمز مرجعي فقط، فخوادمك لا تلمس بيانات البطاقة الكاملة. لكن إذا كان التكامل يتطلب أن يرسل تطبيقك بيانات البطاقة إلى البوابة عبر واجهة برمجية، فتطبيقك يعالج هذه البيانات ويقع ضمن النطاق.
السؤال الثاني: هل يتصل مباشرة بنظام يخزن أو يعالج أو ينقل بيانات حاملي البطاقات؟
إذا كان النظام لا يلمس بيانات البطاقات بنفسه، لكنه متصل مباشرة بنظام يلمسها، فهو نظام متصل ويقع ضمن النطاق أيضاً. مثال: خادم قاعدة بيانات يخزن معلومات الطلبات لكن ليس بيانات البطاقات، لكنه على نفس الشبكة الفرعية مع خادم التطبيق الذي يرسل بيانات البطاقات إلى البوابة.
هنا تأتي أهمية التجزئة: إذا استطعت عزل الأنظمة التي لا تلمس بيانات البطاقات عن تلك التي تلمسها بواسطة جدران نارية أو شبكات فرعية منفصلة أو ضوابط وصول صارمة، يمكنك إخراج الأنظمة المعزولة من النطاق.
السؤال الثالث: هل يمكن أن يؤثر على أمن بيانات حاملي البطاقات؟
حتى لو كان النظام معزولاً، إذا كان يمكن أن يؤثر على أمن الأنظمة التي تلمس بيانات البطاقات، فقد يقع ضمن النطاق. مثال: خادم إدارة الهوية الذي يصدر حسابات للمسؤولين الذين يديرون خوادم الدفع، أو نظام المراقبة الذي يجمع سجلات من بيئة بيانات حاملي البطاقات.
المعيار يتطلب أن تقيّم هذا التأثير المحتمل وتوثقه. إذا استطعت إثبات أن النظام لا يمكن أن يؤثر على أمن بيانات البطاقات، يمكنك استثناؤه، لكن يجب أن تبرر هذا الاستثناء بأدلة تقنية.
توثيق التجزئة عندما تكون البوابة خارجية
عندما تكون بوابة الدفع مستضافة خارج المملكة، يصبح توثيق التجزئة أمراً حاسماً. المدقق المعتمد لن يقبل ببساطة قولك "البوابة خارج نطاقنا لأنها مستضافة عند طرف ثالث". يجب أن تثبت كيف تمنع بيانات البطاقات من الدخول إلى أنظمتك المحلية، وكيف تعزل الأنظمة التي تتصل بالبوابة عن بقية بنيتك التحتية.
رسم تدفق البيانات
الخطوة الأولى هي رسم تدفق بيانات البطاقات بدقة، من اللحظة التي يدخل فيها العميل بيانات بطاقته حتى اللحظة التي تتلقى فيها تأكيد الدفع. يجب أن يوضح هذا الرسم:
- أين تُدخل بيانات البطاقة (متصفح العميل، تطبيق الهاتف، نقطة البيع)
- إلى أين تذهب مباشرة (هل تمر عبر خوادمك أم تذهب مباشرة إلى البوابة)
- أي بيانات تعود إليك (رمز مرجعي، حالة المعاملة، لا بيانات البطاقة الكاملة)
- أي أنظمة محلية تتصل بالبوابة (خوادم التطبيق، واجهات برمجية)
نقوم برسم تدفق بيانات البطاقات وتحديد النطاق كجزء من خدمة الجاهزية والالتزام بمعيار PCI DSS، وننتج وثيقة النطاق ومخططات تدفق البيانات التي يطلبها المعيار.
توثيق ضوابط التجزئة
بعد رسم التدفق، يجب توثيق الضوابط التقنية التي تحقق التجزئة:
جدران النارية: ما هي قواعد جدار النارية التي تسمح فقط بالاتصالات الضرورية بين خوادم التطبيق والبوابة الخارجية، وتمنع أي اتصالات أخرى من أو إلى بيئة بيانات حاملي البطاقات؟
الشبكات الفرعية: هل خوادم التطبيق التي تتصل بالبوابة موجودة على شبكة فرعية منفصلة عن بقية الأنظمة؟
ضوابط الوصول: من يستطيع الوصول إداريًا إلى الأنظمة التي تتصل بالبوابة، وكيف يتم التحكم في هذا الوصول؟
التشفير: هل الاتصال بالبوابة مشفر بالكامل باستخدام TLS بنسخة حديثة وإعدادات آمنة؟
نقوم بمراجعة التقسيم كجزء من عملية تحديد النطاق، ونوثق هذه الضوابط في وثيقة النطاق.
إثبات عدم التخزين
أحد أهم الأدلة التي يطلبها المدققون: إثبات أنك لا تخزن بيانات حاملي البطاقات الحساسة (رقم البطاقة الكامل، رمز التحقق، بيانات المسار المغناطيسي) في أي مكان في أنظمتك المحلية.
هذا يتطلب:
- فحص قواعد البيانات للتأكد من عدم وجود حقول تحتوي على بيانات البطاقات
- مراجعة سجلات التطبيقات للتأكد من عدم تسجيل بيانات البطاقات
- فحص ملفات النسخ الاحتياطي
- مراجعة أكواد التطبيق للتأكد من عدم تخزين البيانات حتى مؤقتاً
إذا كنت تستخدم رموزاً مرجعية (tokens) من البوابة بدلاً من بيانات البطاقات الفعلية، يجب توثيق كيف يعمل نظام الترميز وأن الرموز لا يمكن عكسها للحصول على بيانات البطاقة الأصلية.
تبرير الاستثناءات
حتى مع التجزئة الجيدة، قد تجد أنظمة يصعب تصنيفها بوضوح. في هذه الحالات، تحتاج إلى تبرير استثنائها من النطاق بطريقة مقنعة للمدقق.
الأنظمة المشتركة
مثال شائع: نظام إدارة محتوى يستضيف موقع التجارة الإلكترونية بالكامل، بما في ذلك صفحات المنتجات وصفحة الدفع. إذا كانت صفحة الدفع تحتوي فقط على نموذج يعيد التوجيه إلى البوابة المستضافة، ولا تمر بيانات البطاقة عبر خادم نظام إدارة المحتوى، هل النظام ضمن النطاق؟
التبرير يعتمد على إثبات أن:
- الكود الذي يعالج نموذج الدفع لا يلمس بيانات البطاقة أبداً
- لا توجد مكتبات أو إضافات في نظام إدارة المحتوى تعترض أو تخزن بيانات النموذج
- الخادم لا يسجل بيانات الطلبات التي قد تحتوي على بيانات البطاقة
إذا استطعت إثبات هذا بالأدلة التقنية (مراجعة الكود، اختبار التدفق، فحص السجلات)، يمكنك تبرير استثناء نظام إدارة المحتوى، لكن يجب توثيق هذا التبرير بالتفصيل.
الأنظمة الإدارية
أنظمة مثل إدارة الهوية، المراقبة، النسخ الاحتياطي، إدارة التصحيحات قد تتصل بأنظمة ضمن نطاق PCI DSS لكنها لا تلمس بيانات البطاقات مباشرة. هل هي ضمن النطاق؟
المعيار يتطلب تقييم ما إذا كانت هذه الأنظمة يمكن أن تؤثر على أمن بيانات حاملي البطاقات. إذا كان نظام إدارة الهوية يصدر حسابات إدارية لخوادم الدفع، فهو يؤثر على الأمن ويقع ضمن النطاق. لكن إذا كان نظام المراقبة يجمع فقط مقاييس الأداء دون الوصول إلى بيانات البطاقات أو القدرة على تغيير إعدادات الأمن، يمكن تبرير استثنائه.
التبرير يجب أن يوضح:
- ما هي الصلاحيات التي يمتلكها النظام الإداري على الأنظمة ضمن النطاق
- هل يمكن استخدامه كنقطة دخول للوصول إلى بيانات البطاقات
- ما هي الضوابط التي تمنع إساءة استخدامه
عملية تحديد النطاق التي نتبعها
عندما تطلب المؤسسة خدمة الجاهزية والالتزام بمعيار PCI DSS، نتبع عملية منهجية تبدأ بتحديد النطاق والتقسيم، ثم تقييم الفجوات، ثم دعم المعالجة، وأخيراً الجاهزية للتقييم.
مرحلة النطاق
نبدأ بجلسات عمل مع فريق التقنية والأمن لفهم البنية التحتية الحالية:
- كيف تتم عمليات الدفع من البداية إلى النهاية
- أين تستضيف بوابة الدفع وكيف تتكامل معها
- ما هي الأنظمة المحلية التي تتصل بالبوابة
- كيف تُنظم الشبكات وما هي ضوابط التجزئة الموجودة
- أين يمكن أن تُخزن بيانات البطاقات (قصداً أو عرضاً)
ننتج رسم تدفق بيانات البطاقات وتحديد النطاق، موضحاً بدقة أي الأنظمة والشبكات والأفراد يقعون ضمن النطاق وأيها خارجه، مع التبريرات لكل قرار.
مرحلة التقييم
بعد تحديد النطاق، نقوم بتقييم الفجوات وفق الإصدار 4.0 من المعيار. نراجع كل متطلب منطبق على الأنظمة ضمن النطاق، ونحدد أين تستوفي المؤسسة المتطلب وأين توجد فجوات.
ننتج تقرير تقييم الفجوات الذي يوضح حالة الامتثال الحالية والفجوات التي يجب سدها.
مرحلة المعالجة
ندعم المؤسسة في سد الفجوات من خلال خطة المعالجة التي تحدد الإجراءات المطلوبة، الأولويات، والمسؤوليات. قد يشمل هذا تحديث السياسات والإجراءات، تطبيق ضوابط تقنية جديدة، أو تحسين التجزئة.
مرحلة الجاهزية
قبل وصول المدقق المعتمد أو ملء استبيان التقييم الذاتي، نعد حزمة الأدلة للتقييم التي تحتوي على كل الوثائق والأدلة التقنية التي يطلبها المعيار. نقوم بمراجعة سابقة للتقييم لضمان أن كل متطلب موثق بشكل كافٍ.
المدة الإجمالية لهذه العملية تتراوح بين 6 إلى 12 أسبوعاً، حسب حجم البنية التحتية وعدد الفجوات.
ما الذي يشكل نتيجة جيدة
النتيجة الجيدة لتحديد النطاق ليست فقط وثيقة مقبولة من المدقق، بل نطاق محدد بدقة يحقق التوازن بين الامتثال والكفاءة التشغيلية.
نطاق واضح لا جدال فيه: كل نظام إما ضمن النطاق بأدلة واضحة، أو خارجه بتبرير موثق. لا توجد مناطق رمادية تثير أسئلة المدقق.
تجزئة فعالة: الأنظمة التي لا تحتاج إلى أن تكون ضمن النطاق معزولة بشكل فعال، مما يقلل عدد الأنظمة التي يجب أن تستوفي كل متطلبات المعيار. هذا يوفر وقتاً وجهداً كبيرين في الامتثال المستمر.
توثيق يصمد أمام التدقيق: وثيقة النطاق ومخططات تدفق البيانات واضحة ودقيقة ومحدثة، وتحتوي على كل التفاصيل التي يطلبها المعيار. عندما يطلب المدقق توضيحاً، تجد الإجابة موثقة بالفعل.
أساس للامتثال المستمر: تحديد النطاق ليس نشاطاً لمرة واحدة. النتيجة الجيدة توفر أساساً يمكن تحديثه بسهولة عندما تتغير البنية التحتية، مما يضمن أن الامتثال يبقى دقيقاً مع تطور الأعمال.
الخطوة التالية
إذا كنت تستعد لتقييم PCI DSS وتستخدم بوابة دفع مستضافة خارج المملكة، أو إذا كنت غير متأكد مما إذا كان نطاقك الحالي محدداً بدقة، فالوقت المناسب للمراجعة هو الآن، قبل وصول المدقق المعتمد.
نقدم خدمة الجاهزية والالتزام بمعيار PCI DSS التي تغطي تحديد النطاق والتقسيم، وتقييم الفجوات، ودعم المعالجة، والجاهزية لتقييم المقيّم المعتمد أو استبيان التقييم الذاتي. نساعدكم على تقليص نطاق بيانات البطاقات، ثم استيفاء كل متطلب منطبق.
تواصلوا معنا لمناقشة بنيتكم التحتية وكيف يمكننا مساعدتكم في تحديد النطاق بدقة وتوثيق التجزئة بطريقة تصمد أمام التدقيق.
