تبحث فرق الشبكات والامتثال عن طرق التحقق من تقسيم الشبكة PCI DSS لأن المتطلب 1.4.2 لا يكتفي بوجود التقسيم، بل يطلب التحقق السنوي من أن ضوابطه تمنع الوصول غير المصرح به إلى بيئة بيانات حاملي البطاقات. والمشكلة الشائعة أن الجهة تقدم للمدقق تصدير قواعد الجدار الناري، بينما يحتاج المدقق إلى دليل على أن هذه القواعد تمنع الحركة الجانبية في الواقع.
ما الذي يطلبه المتطلب فعلًا
التقسيم في PCI DSS خيار لتقليص النطاق وليس شرطًا إلزاميًا. لكن متى اعتمدت الجهة التقسيم لإخراج أنظمة من النطاق، صار عليها أن تثبت فعاليته. والدليل المقبول يجيب عن سؤال واحد: هل يمكن لنظام خارج النطاق أن يصل إلى نظام داخله، أو العكس، عبر مسار غير مصرح به؟
وللإجابة عن هذا السؤال أربع طرق شائعة القبول. لا تتنافس هذه الطرق بالضرورة، فبعض البنى تحتاج إلى أكثر من واحدة.
الطريقة الأولى: مراجعة قواعد الجدار الناري والتوجيه مع إثبات التطبيق
تبدأ المراجعة من تصدير القواعد، لكنها لا تنتهي عنده.
- الأدلة: تصدير القواعد وجداول التوجيه وقوائم التحكم بالوصول، ومخطط الشبكة المحدّث، وسجل مراجعة يربط كل قاعدة بمبرر عمل.
- معيار النجاح: وجود قاعدة منع افتراضية، وعدم وجود قواعد واسعة (any/any) بين المناطق، وتطابق القواعد مع المخطط.
- العينات: تُراجع كل أجهزة الفصل بين النطاق وغيره، ولا يصح أخذ عينة منها. وتُعاين القواعد المفعلة على كل جهاز، وتُفحص عينة من الحركة المسموحة لتأكيد أن التطبيق يطابق النص.
حدّ هذه الطريقة أنها تثبت النية لا السلوك، لذلك تصلح أساسًا تُبنى عليه الطرق الأخرى.
الطريقة الثانية: اختبار الاتصال من الجانبين
اختبار بسيط ومباشر: تُجرى محاولات اتصال من مناطق خارج النطاق نحو النطاق، ومن النطاق نحو الخارج، وتُسجل النتائج.
- الأدلة: سجل الاختبار بالمصدر والوجهة والمنفذ والنتيجة المتوقعة والفعلية، مع لقطات أو مخرجات أدوات الفحص وتواريخها.
- معيار النجاح: فشل كل اتصال غير مصرح به، ونجاح المسارات المصرح بها فقط.
- العينات: تُغطى كل منطقة شبكية وكل جهاز فصل. ويُختار داخل كل منطقة عدد من الشبكات الفرعية يمثل أنواع الأنظمة، مع تبرير مكتوب لمنهج الاختيار.
تناسب هذه الطريقة الجهات ذات الميزانية المحدودة والبنى المستقرة، بشرط توثيق الحالات السلبية كما تُوثق الإيجابية.
الطريقة الثالثة: اختبار اختراق يستهدف التقسيم
هنا يحاول مختبر مستقل تجاوز التقسيم بأسلوب مهاجم يبدأ من نظام خارج النطاق ويسعى للوصول إلى بيئة بيانات حاملي البطاقات.
- الأدلة: تقرير يحدد النطاق والمنهجية والمسارات التي جُربت، والنتائج، وإعادة اختبار بعد المعالجة.
- معيار النجاح: عدم نجاح أي مسار في الوصول إلى البيئة، أو إغلاق كل مسار ناجح وإثبات ذلك بإعادة الاختبار.
- العينات: تشمل كل نقاط الفصل ونقاط الدخول الممثلة لكل منطقة، ويُوثق ما استُبعد وسببه.
هذه أقوى الطرق في إثبات منع الحركة الجانبية، وأعلاها كلفة. وتُنفذ عادةً عبر خدمة اختبار الاختراق التي تتوافق مع متطلبات البنك المركزي السعودي (ساما) لدى الجهات الخاضعة له.
الطريقة الرابعة: التحقق المستمر المؤتمت
تعتمد بعض الجهات على أدوات تحاكي الاتصال بين المناطق وتقارن النتائج بسياسة التقسيم المعتمدة بصورة دورية.
- الأدلة: تقارير دورية بسياسة التقسيم المعتمدة، وسجل الانحرافات وإغلاقها، وإثبات أن الأداة تغطي كل المناطق.
- معيار النجاح: تطابق النتائج مع السياسة، وإغلاق الانحرافات ضمن مدة محددة في الإجراءات.
- العينات: تُقاس التغطية، فيُثبت أن الأداة ترى كل المناطق المعنية، وتُراجع عينة من الانحرافات المغلقة لتأكيد جدية المعالجة.
تناسب البنى المتغيرة بكثرة، كالسحابة والحاويات، حيث لا يكفي اختبار سنوي واحد لإثبات الاستمرارية.
كيف تختار الطريقة الملائمة
- بنية ثابتة وميزانية محدودة: الطريقة الأولى مع الثانية.
- بيئة متعددة المناطق أو عالية الخطورة: الطريقة الثالثة مع الأولى.
- بنية ديناميكية: الرابعة مدعومة باختبار اختراق دوري.
وتبقى القاعدة العامة أن أي طريقة تُعتمد يجب أن تُوثق مسبقًا في خطة الاختبار، وأن تكون الأدلة قابلة لإعادة التنفيذ من شخص آخر.
الثغرات المتكررة
- الاكتفاء بتصدير القواعد دون اختبار سلوك.
- مخططات شبكة لا تطابق الواقع.
- إغفال المسارات الإدارية، كشبكات الإدارة والنسخ الاحتياطي والمصادقة.
- توثيق الاتصالات الناجحة فقط وإهمال الفاشلة المتوقعة.
- عدم إعادة الاختبار بعد تغيير جوهري في الشبكة.
ترتيب مقترح للعمل
- ارسموا تدفقات بيانات البطاقات وحددوا حدود النطاق.
- حدّثوا مخطط الشبكة ثم راجعوا القواعد.
- اختاروا الطريقة أو الطرق المناسبة ودوّنوها في خطة اختبار.
- نفذوا الاختبار واجمعوا الأدلة بالصيغة المتفق عليها.
- عالجوا الفجوات وأعيدوا الاختبار قبل زيارة المقيّم.
كيف نساعدكم
تغطي خدمة الجاهزية والالتزام بمعيار PCI DSS الإصدار 4.0 تحديد النطاق والتقسيم، وتقييم الفجوات، ودعم المعالجة، والجاهزية لتقييم المقيّم المعتمد أو استبيان التقييم الذاتي. وتشمل ميزاتها رسم تدفق بيانات البطاقات وتحديد النطاق، ومراجعة التقسيم. وتنتهي الأعمال بوثيقة النطاق ومخططات تدفق البيانات، وتقرير تقييم الفجوات، وخطة المعالجة، وحزمة الأدلة للتقييم. وتستغرق الخدمة عادةً من 6 إلى 12 أسبوعًا.
إن أردتم التأكد من أن أدلة التقسيم لديكم ستصمد أمام المدقق، فابدؤوا بمراجعة التقسيم ضمن خدمة الجاهزية، ثم اختاروا معنا الطريقة الأنسب لبنيتكم.
