PCI DSS Güvenlik Taraması Hangi Sıklıkla Yapılmalıdır?

PCI DSS v4.0.1’de kapsam dahilindeki güvenlik açığı taramaları için genel takvim en az üç ayda birdir. Önemli bir değişiklik yapıldığında ilgili tarama, düzenli takvimden ayrı olarak planlanır. Hangi gereksinimlerin size uygulandığını ödeme kuruluşunuz ve geçerli değerlendirme belgenizle doğrulayın.

İç tarama ve dış tarama arasındaki fark

• İç tarama (11.3.1): Kapsam içindeki sistemleri en az üç ayda bir değerlendirin. Bulguları risk derecesine göre giderin ve gerekli tekrar taramalarını kaydedin. Kimlik doğrulamalı tarama için 11.3.1.2’nin koşullarını da kontrol edin.
• Dış tarama (11.3.2): Kapsama giren internete açık sistemler için en az üç ayda bir PCI SSC onaylı tarama sağlayıcısı (ASV) üzerinden geçerli sonuç alın. Gerekli düzeltmelerden sonra yeniden tarama yaptırın.

Önemli değişiklikten sonra ne yapılır?

Kart verisi ortamını etkileyen yeni bir sistem, önemli bir ağ değişikliği veya ödeme altyapısı taşıması yeni bir kontrol gerektirebilir. İç ve dış değişiklik sonrası taramalara ilişkin 11.3.1.3 ve 11.3.2.1 hükümlerini kapsamınıza göre uygulayın. Önemli değişiklik sonrası dış taramanın şartlarını, düzenli ASV taramasından ayrı değerlendirin.

Takvim ve kanıt kaydı

Her tarama için kapsamı, tarihi, sorumlu ekibi, düzeltme kayıtlarını ve yeniden tarama sonucunu saklayın. Güvenlik açığı taraması, sızma testi ve PCI DSS değerlendirmesi ayrı süreçlerdir. PCI SSC belge kütüphanesi ve periyodik tarama açıklaması.