يواجه مدراء تقنية المعلومات ومسؤولو الامتثال في المستحوذين السعوديين ومنصات التجارة الإلكترونية ومزودي خدمات الدفع تحديًا جوهريًا عند الاستعداد لشهادة PCI DSS: كيف نقلل من نطاق بيئة بيانات حامل البطاقة دون إعادة بناء البنية التحتية بالكامل؟ الإجابة تكمن في فهم متطلبات تقسيم الشبكة PCI DSS وتطبيق إحدى طرق العزل الثلاث التي يعترف بها معيار PCI DSS الإصدار 4.0 في المتطلب 1.3.3.
يحدد مجلس معايير أمن صناعة بطاقات الدفع PCI Security Standards Council في الإصدار 4.0 من المعيار ثلاث طرق لتقسيم الشبكة: عزل VLAN والفصل المادي والتقسيم الدقيق. لكل طريقة متطلبات توثيق واختبار مختلفة، والاختيار الخاطئ قد يوسع نطاق الامتثال بدلًا من تقليصه، مما يزيد من تكلفة التقييم السنوي ويضاعف جهد المعالجة.
هذا المقال يشرح الطرق الثلاث بشكل عملي، ويوضح كيفية اختيار الطريقة المناسبة لبيئتكم، وما الذي يجب توثيقه، وكيف تستوفون متطلبات اختبار الاختراق التي يفرضها المتطلب 1.3.3.
لماذا تقسيم الشبكة؟
قبل الخوض في الطرق الثلاث، يجب فهم الهدف من التقسيم. عندما تعالج مؤسستكم بيانات بطاقات الدفع، فإن كل نظام متصل بالشبكة نفسها التي تحتوي على بيانات حامل البطاقة يدخل ضمن نطاق PCI DSS. هذا يعني أن كل خادم وتطبيق وقاعدة بيانات وجهاز شبكة في تلك البيئة يجب أن يستوفي جميع متطلبات المعيار البالغ عددها أكثر من 300 متطلب فرعي.
التقسيم يعزل بيئة بيانات حامل البطاقة عن بقية الشبكة، بحيث تصبح الأنظمة التي لا تعالج أو تخزن أو تنقل بيانات البطاقات خارج النطاق. هذا يقلل بشكل كبير من عدد الأنظمة التي يجب تأمينها وتوثيقها واختبارها سنويًا.
لكن التقسيم ليس مجرد إعلان أو رسم تخطيطي. يجب أن يكون فعالًا من الناحية التقنية، موثقًا بشكل دقيق، ومختبرًا بانتظام.
الطريقة الأولى: عزل VLAN
عزل VLAN هو الطريقة الأكثر شيوعًا في المؤسسات السعودية متوسطة الحجم. تعتمد هذه الطريقة على استخدام شبكات محلية افتراضية VLANs منفصلة لعزل بيئة بيانات حامل البطاقة عن الشبكات الأخرى، مع وضع جدار ناري أو جهاز توجيه بينها للتحكم في حركة المرور.
متطلبات عزل VLAN
لكي يستوفي عزل VLAN متطلبات PCI DSS v4.0، يجب أن:
- تكون كل VLAN مخصصة لغرض واحد: بيئة بيانات حامل البطاقة في VLAN منفصلة تمامًا عن الشبكات الداخلية والضيوف والإدارة.
- يوجد جدار ناري أو جهاز توجيه مع قوائم تحكم بالوصول Access Control Lists بين كل VLAN، يسمح فقط بحركة المرور الضرورية المحددة مسبقًا.
- تُوثق جميع القواعد المسموحة في سياسة جدار الناري، مع مراجعتها كل ستة أشهر على الأقل.
- تُختبر فعالية العزل عبر اختبار اختراق سنوي يحاول الانتقال من شبكة إلى أخرى.
الفجوات الشائعة في عزل VLAN
أكثر الفجوات التي نراها في المؤسسات السعودية عند تقييم الفجوات:
- قواعد جدار الناري الواسعة: السماح بحركة المرور من "أي" إلى "أي" على منافذ معينة، بدلًا من تحديد عناوين IP المصدر والوجهة بدقة.
- عدم مراجعة القواعد: تراكم قواعد قديمة لم تعد ضرورية، مما يوسع سطح الهجوم.
- نقص التوثيق: عدم توثيق سبب كل قاعدة مسموحة، مما يصعّب المراجعة والتقييم.
- عدم اختبار العزل: الاعتماد على التكوين النظري دون اختبار فعلي لمحاولة الانتقال بين الشبكات.
كيف تختبرون عزل VLAN؟
يتطلب المتطلب 1.3.3 من PCI DSS v4.0 اختبار فعالية التقسيم مرة واحدة على الأقل كل 12 شهرًا، وبعد أي تغيير على ضوابط التقسيم. هذا الاختبار يجب أن يتحقق من أن:
- الأنظمة في الشبكات غير الموثوقة لا تستطيع الوصول إلى بيئة بيانات حامل البطاقة إلا عبر الطرق المسموحة.
- لا توجد طرق بديلة أو غير موثقة للوصول.
يتم هذا الاختبار عادة ضمن اختبار الاختراق السنوي، حيث يحاول المختبر الانتقال من شبكة إلى أخرى باستخدام تقنيات مختلفة مثل VLAN hopping أو استغلال ثغرات في أجهزة الشبكة.
الطريقة الثانية: الفصل المادي
الفصل المادي يعني استخدام بنية تحتية منفصلة تمامًا لبيئة بيانات حامل البطاقة: أجهزة توجيه ومحولات وكابلات وخوادم مخصصة، دون أي اتصال مادي أو منطقي بالشبكات الأخرى.
متى يكون الفصل المادي مناسبًا؟
الفصل المادي هو الخيار الأكثر أمانًا، لكنه أيضًا الأكثر تكلفة. يناسب المؤسسات التي:
- تعالج حجمًا كبيرًا جدًا من معاملات البطاقات.
- تواجه متطلبات تنظيمية إضافية من مؤسسة النقد العربي السعودي ساما تفرض عزلًا صارمًا.
- لديها بيئة بيانات حامل البطاقة صغيرة نسبيًا يمكن عزلها بتكلفة معقولة.
متطلبات الفصل المادي
لكي يستوفي الفصل المادي متطلبات PCI DSS:
- يجب ألا يكون هناك أي اتصال شبكي بين البنية التحتية المخصصة لبيانات حامل البطاقة وأي شبكة أخرى.
- إذا كان هناك حاجة لنقل بيانات بين البيئتين، يجب استخدام آليات نقل آمنة مثل نقل الملفات المشفرة عبر وسائط قابلة للإزالة أو واجهات برمجية APIs مع مصادقة قوية.
- يجب توثيق البنية التحتية المنفصلة بوضوح في مخططات الشبكة.
الفجوات الشائعة في الفصل المادي
حتى مع الفصل المادي، نرى فجوات مثل:
- اتصالات إدارية مخفية: استخدام نفس شبكة الإدارة Out-of-Band للبنيتين التحتيتين، مما يخلق جسرًا غير مقصود.
- مشاركة أنظمة النسخ الاحتياطي: استخدام نفس خوادم النسخ الاحتياطي للبيئتين، مما يدخلها ضمن نطاق PCI DSS.
- الوصول المشترك للموظفين: السماح للموظفين بالوصول إلى البيئتين من نفس الأجهزة دون ضوابط كافية.
الطريقة الثالثة: التقسيم الدقيق Micro-Segmentation
التقسيم الدقيق هو نهج حديث يعتمد على تقنيات مثل Software-Defined Networking وجدران النار على مستوى التطبيقات، حيث يتم عزل كل تطبيق أو خدمة أو حتى عملية على حدة، بدلًا من عزل شبكات كاملة.
كيف يعمل التقسيم الدقيق؟
في التقسيم الدقيق، تُطبق سياسات الأمان على مستوى الجهاز الافتراضي أو الحاوية Container، بحيث يمكن لتطبيق معالجة الدفع أن يتواصل فقط مع قاعدة البيانات المخصصة له وبوابة الدفع، دون أي وصول إلى أنظمة أخرى حتى لو كانت على نفس الخادم المادي.
متطلبات التقسيم الدقيق
لكي يستوفي التقسيم الدقيق متطلبات PCI DSS v4.0:
- يجب أن تكون سياسات العزل مطبقة تقنيًا وليس فقط منطقيًا، باستخدام تقنيات مثل Network Policies في Kubernetes أو Security Groups في البيئات السحابية.
- يجب توثيق كل سياسة عزل، مع تحديد ما يُسمح به وما يُمنع.
- يجب اختبار فعالية العزل بانتظام، بما في ذلك محاولة الانتقال من حاوية إلى أخرى أو من جهاز افتراضي إلى آخر.
- يجب مراقبة أي محاولة لانتهاك سياسات العزل وتسجيلها.
متى يكون التقسيم الدقيق مناسبًا؟
التقسيم الدقيق يناسب المؤسسات التي:
- تستخدم بنية تحتية سحابية أو بيئات حاويات.
- لديها تطبيقات موزعة ومعقدة يصعب عزلها بطرق تقليدية.
- تريد مرونة أكبر في نشر التطبيقات دون توسيع نطاق PCI DSS.
الفجوات الشائعة في التقسيم الدقيق
التقسيم الدقيق أكثر تعقيدًا من الناحية التقنية، والفجوات الشائعة تشمل:
- سياسات افتراضية واسعة: الاعتماد على السياسات الافتراضية للمنصة دون تخصيصها لبيئة بيانات حامل البطاقة.
- عدم اختبار السياسات: نشر السياسات دون اختبار فعلي لما إذا كانت تمنع الوصول غير المصرح به.
- نقص الرؤية: عدم وجود أدوات مراقبة كافية لرصد محاولات انتهاك العزل.
- تعقيد التوثيق: صعوبة توثيق مئات أو آلاف السياسات بطريقة يفهمها المقيّم المعتمد QSA.
كيف تختارون الطريقة المناسبة؟
اختيار طريقة التقسيم يعتمد على عدة عوامل:
حجم بيئة بيانات حامل البطاقة: إذا كانت صغيرة ومحددة، قد يكون الفصل المادي أو عزل VLAN كافيًا. إذا كانت موزعة ومعقدة، قد يكون التقسيم الدقيق أكثر فعالية.
البنية التحتية الحالية: إذا كنتم تستخدمون بنية تحتية تقليدية، فإن عزل VLAN أو الفصل المادي أسهل في التنفيذ. إذا كنتم في بيئة سحابية، فإن التقسيم الدقيق قد يكون الخيار الطبيعي.
الميزانية والموارد: الفصل المادي يتطلب استثمارًا أوليًا أعلى، بينما التقسيم الدقيق يتطلب خبرة تقنية متقدمة.
متطلبات الامتثال الأخرى: إذا كانت مؤسسة النقد العربي السعودي ساما تفرض متطلبات إضافية على مؤسستكم، قد تحتاجون إلى طريقة عزل أكثر صرامة.
خطوات تنفيذ التقسيم
بغض النظر عن الطريقة المختارة، يجب اتباع خطوات منهجية:
1. رسم تدفق بيانات البطاقات
قبل تقسيم أي شيء، يجب فهم كيف تتدفق بيانات حامل البطاقة عبر أنظمتكم: من نقطة الدخول (نقاط البيع أو بوابات الدفع الإلكتروني) عبر التطبيقات والخوادم وقواعد البيانات حتى نقطة الخروج (المعالج أو البنك المستحوذ).
يجب توثيق كل نظام يلمس بيانات البطاقات، وكل اتصال شبكي بينها.
2. تحديد حدود بيئة بيانات حامل البطاقة
بناءً على تدفق البيانات، حددوا بدقة أي الأنظمة يجب أن تكون داخل بيئة بيانات حامل البطاقة وأيها يمكن أن يكون خارجها. كل نظام خارج البيئة المعزولة يوفر جهدًا كبيرًا في الامتثال.
3. تصميم ضوابط التقسيم
اختاروا الطريقة المناسبة، ثم صمموا الضوابط التقنية: أي جدران نارية، أي قواعد، أي VLANs، أي سياسات.
يجب أن يكون التصميم مبنيًا على مبدأ الحد الأدنى من الصلاحيات: السماح فقط بما هو ضروري، ومنع كل شيء آخر.
4. التنفيذ والتوثيق
نفذوا الضوابط، ثم وثقوا كل شيء: مخططات الشبكة، قواعد جدار الناري، سياسات العزل، وسبب كل قاعدة.
التوثيق ليس مجرد متطلب للمقيّم المعتمد، بل هو ضروري لفريقكم لفهم البيئة وصيانتها.
5. الاختبار
اختبروا فعالية التقسيم قبل الاعتماد عليه. يجب أن يشمل الاختبار:
- محاولة الوصول من شبكة غير موثوقة إلى بيئة بيانات حامل البطاقة.
- محاولة استغلال ثغرات في أجهزة الشبكة أو السياسات.
- التحقق من أن جميع الاتصالات غير المصرح بها تُمنع وتُسجل.
6. المراجعة الدورية
التقسيم ليس مشروعًا لمرة واحدة. يجب مراجعة ضوابط التقسيم كل ستة أشهر على الأقل، وبعد أي تغيير على البنية التحتية أو التطبيقات.
التوثيق المطلوب للمقيّم المعتمد
عندما يأتي المقيّم المعتمد QSA لتقييم امتثالكم، سيطلب أدلة محددة على فعالية التقسيم:
- مخططات الشبكة: يجب أن تُظهر بوضوح حدود بيئة بيانات حامل البطاقة وضوابط التقسيم.
- تكوينات جدار الناري: نسخ من جميع القواعد، مع توثيق سبب كل قاعدة مسموحة.
- سجلات المراجعة: أدلة على أن القواعد تُراجع كل ستة أشهر.
- تقارير اختبار الاختراق: تقرير اختبار الاختراق السنوي الذي يتضمن اختبار فعالية التقسيم.
- سجلات التغيير: أدلة على أن أي تغيير على ضوابط التقسيم يُختبر قبل نشره.
إذا كان أي من هذه الأدلة ناقصًا أو غير واضح، فقد يوسع المقيّم نطاق التقييم ليشمل أنظمة إضافية، مما يزيد من التكلفة والجهد.
كيف نساعدكم في تحديد النطاق والتقسيم
نجهزكم لمعيار PCI DSS الإصدار 4.0 عبر تحديد النطاق والتقسيم، وتقييم الفجوات، ودعم المعالجة، والجاهزية لتقييم المقيّم المعتمد أو استبيان التقييم الذاتي.
تبدأ العملية برسم تدفق بيانات البطاقات وتحديد النطاق، حيث نوثق كل نظام يعالج أو يخزن أو ينقل بيانات حامل البطاقة، ثم نراجع التقسيم الحالي لتحديد ما إذا كان فعالًا أم يحتاج إلى تحسين.
بعد ذلك، نجري تقييم الفجوات وفق الإصدار 4.0، حيث نقارن بيئتكم الحالية مع جميع المتطلبات المنطبقة، ونحدد بدقة ما يجب معالجته.
ثم ندعمكم في سد الفجوات، بما في ذلك تحديث السياسات والإجراءات، وتصميم ضوابط التقسيم، وإعداد التوثيق المطلوب.
أخيرًا، نجهزكم للمقيّم المعتمد واستبيان التقييم الذاتي عبر إعداد حزمة الأدلة الكاملة والمراجعة السابقة للتقييم.
المخرجات تشمل وثيقة النطاق ومخططات تدفق البيانات، وتقرير تقييم الفجوات، وخطة المعالجة، وحزمة الأدلة للتقييم.
المدة النموذجية من 6 إلى 12 أسبوعًا حسب حجم البيئة وتعقيدها.
إذا كان تقييم الفجوات يُظهر حاجة لاختبار فعالية التقسيم، فإننا نقدم أيضًا اختبارات اختراق متقدمة لاكتشاف الثغرات قبل المهاجمين وفق متطلبات مؤسسة النقد العربي السعودي ساما، حيث نكتشف الثغرات القابلة للاستغلال قبل المهاجمين مع معالجات يستطيع فريقكم تنفيذها.
للمؤسسات التي تريد اختبارًا أكثر شمولًا، نحاكي مهاجمًا مصممًا يسعى لأهداف متفق عليها من الوصول الأولي حتى الأثر، لاختبار أفرادكم وعملياتكم وتقنياتكم من البداية إلى النهاية، واختبار الرصد والاستجابة أمام هجوم واقعي موجّه بأهداف.
تواصلوا معنا لمناقشة بيئتكم وكيف يمكننا مساعدتكم في تقليل نطاق PCI DSS عبر تقسيم فعال وموثق.
