Conformité PCI - DB non authentifié

Question

Je n'ai aucune idée d'où aller pour les questions de conformité PCI, donc je pensais que je donnerais un coup de feu. Si quelqu'un peut me diriger dans la bonne direction de l'endroit où je peux aller poser des questions, s'il vous plaît partager. Je serai heureux de marquer cela comme une réponse.

Si un site compatible PCI se connecte à une base de données ne contenant aucune information utilisateur mais contenant des extraits HTML et JavaScript susceptibles d'être restitués pendant le processus de paiement, cette base de données doit-elle être conforme à PCI? J'évalue MongoDB et trouve qu'il ne fournit pas d'authentification lorsqu'il est configuré avec des jeux de réplicas.

Answer 1

A plusieurs parties Réponse:

• Comme je l'ai dit dans mon commentaire en haut, je ne suis pas un QSA (pas spécifiquement votre QSA), et non autorisé à vous permettre d'une façon ou l'autre. Pour une réponse définitive, vous avez besoin de votre QSA pour le déconnecter. (Hmm, IANAQSA est le nouveau IANAL ....?)
• à proprement parler, PCI ne pas: « Authentifier tous les accès à une base de données contenant des données de titulaire »
• Alors que vous ne pourriez pas besoin d'authentification à la DB, besoin de le séparer sur un réseau interne, séparé de la DMZ, conformément à la norme PCI DSS 1.3.7.
• Conformément à l'exigence 6.1, vous devez toujours vous assurer des correctifs (il mentionne les bases de données, mais rien à propos des bases de données CHD).
• Tout cela étant dit, du point de vue de la sécurité, vous devriez considérer que tout voler données de la base de données pourrait être un non-problème, injectent Code dans votre base de données pourrait être une vulnérabilité critique, ala persistante XSS. Ce qui, bien sûr, invaliderait indirectement votre conformité PCI, conformément à l'exigence 6.5.1.

Encore une fois, vous pourriez obtenir des meilleures réponses sur le http://security.stackexchance.com/ ...

Answer 2

Je vais devoir dire non par les exigences de PCI: http://en.wikipedia.org/wiki/Payment_Card_Industry_Data_Security_Standard#Requirements

Vous n'êtes pas de logement des renseignements personnels dans la base de données et si vous protégez mongodb avec les pare-feu et de surveiller en permanence, vous pouvez être en conformité . Si cela vous inquiète, je demanderais à un cabinet d'audit de vérifier.