Вимоги PCI DSS до паролів для команд у 2026 році

Payment Card Industry Data Security Standard (PCI DSS) — це набір вимог безпеки, розроблених для захисту даних власників карток. Будь-яка організація, що обробляє, зберігає або передає інформацію кредитних карток, повинна відповідати цим вимогам. Версія 4.0, випущена у березні 2022 з обов'язковим терміном відповідності 31 березня 2025 (та розширеними вимогами до березня 2026), вводить значні зміни у вимогах до аутентифікації.

Невідповідність може призвести до штрафів від $5 000 до $100 000 на місяць, підвищених комісій за транзакції, втрати можливості обробляти карткові платежі та відповідальності за збитки від шахрайства. Окрім штрафів, витік даних власників карток руйнує довіру клієнтів і може призвести до колективних позовів.

PCI DSS v4.0 більш тісно узгоджується з сучасними практиками безпеки, включаючи рекомендації NIST 800-63B. Він визнає, що жорсткі застарілі правила паролів часто знижують безпеку, заохочуючи передбачувану поведінку користувачів.

PCI DSS v4.0 Вимога 8.3.6 вказує, що паролі повинні бути не менше 12 символів (збільшено з попереднього мінімуму 7 символів). Якщо система не може підтримувати 12 символів, абсолютний мінімум залишається 8 символів, але цей виняток повинен бути задокументований та обґрунтований.

Щодо складності, PCI DSS v4.0 Вимога 8.3.6 вимагає, щоб паролі містили як цифрові, так і буквені символи. Хоча це менш вимогливо, ніж багато застарілих політик, це встановлює базову лінію.

Важливо, що PCI DSS v4.0 вводить "кастомізований підхід" (Вимога 8.3.6.a), що дозволяє організаціям використовувати альтернативні механізми аутентифікації, якщо вони можуть продемонструвати еквівалентну або вищу безпеку через задокументований аналіз ризиків.

PCI DSS v4.0 Вимога 8.4.2 вимагає MFA для всього доступу до середовища даних власників карток (CDE), а не лише для віддаленого доступу. Кожна особа, що отримує доступ до систем з даними карток, повинна аутентифікуватися щонайменше двома з трьох факторів: знання (пароль), володіння (токен, смарт-карта) або біометрія.

Вимога 8.4.3 поширює MFA на весь віддалений мережевий доступ ззовні. Це стосується VPN-з'єднань, сесій віддаленого робочого столу та будь-якого адміністративного доступу з зовнішніх локацій.

Для впровадження MFA, PCI DSS вимагає, щоб фактори аутентифікації були незалежними. MFA не може бути обійдена жодним користувачем, включаючи адміністраторів. Стійкість до повторного відтворення є обов'язковою.

PCI DSS v4.0 Вимога 8.3.9 вимагає зміни паролів користувачів щонайменше кожні 90 днів. Це розходиться з NIST 800-63B. Однак PCI DSS v4.0 надає кастомізований підхід: організації можуть усунути періодичну ротацію, якщо впровадять безперервний аналіз стану безпеки кожного акаунту.

Новий пароль не повинен збігатися з жодним з останніх чотирьох використаних паролів (Вимога 8.3.7).

Для сервісних акаунтів, Вимога 8.6.3 вводить нові контролі: паролі повинні змінюватися періодично (щонайменше раз на 12 місяців) та при підозрі на компрометацію. Жорстко закодовані паролі у скриптах та застосунках явно заборонені.

Вимога 8.3.4 вимагає тимчасового блокування акаунтів після не більше 10 невдалих спроб входу. Тривалість блокування — щонайменше 30 хвилин або до розблокування адміністратором.

Тайм-аут неактивності сесії (Вимога 8.2.8) вимагає автоматичного завершення сесій після 15 хвилин неактивності.

PCI DSS v4.0 також вимагає шифрування всіх облікових даних при передачі та зберіганні. Паролі ніколи не повинні зберігатися у зворотному шифруванні або відкритому тексті.

Розгортання менеджера паролів по всій команді — найефективніший спосіб задовольнити вимоги PCI DSS, зберігаючи продуктивність. 1Password Business, Bitwarden Organizations або Dashlane Business забезпечують централізоване застосування політик, спільні сховища та аудит-трейли.

Для сервісних акаунтів використовуйте рішення для управління секретами, такі як HashiCorp Vault, AWS Secrets Manager або Azure Key Vault. Ці інструменти забезпечують автоматичну ротацію, журналювання доступу та шифрування.

Задокументуйте політику паролів у письмовому вигляді та проводьте щорічне навчання команди з безпеки паролів.

Спільні акаунти — часта знахідка аудиту. PCI DSS Вимога 8.2.1 вимагає призначення унікального ID кожному користувачу. Спільні адмін-акаунти та загальні командні логіни повинні бути усунені.

Жорстко закодовані паролі у коді застосунку порушують Вимогу 8.6.2. Проскануйте кодову базу на вбудовані облікові дані та перенесіть їх у змінні середовища або менеджер секретів.

Паролі вендорів за замовчуванням повинні бути змінені до введення будь-якої системи в продакшн (Вимога 2.1.1). Це включає мережеве обладнання, програмні установки, сервери баз даних та IoT-пристрої.

Неадекватне журналювання — ще одна поширена помилка. PCI DSS вимагає журналювання всіх подій аутентифікації з мітками часу та ідентифікацією користувачів. Ці журнали повинні переглядатися щодня та зберігатися щонайменше один рік.