Come costruire un inventario di certificati per il Requisito 4.2.1.1 di PCI DSS 4.0

Ogni giorno parliamo con organizzazioni che si stanno preparando per i requisiti di PCI DSS 4.0. Il 31 marzo 2025 segna la fine del periodo di transizione, e a partire da questa data le aziende dovranno essere pienamente conformi a PCI DSS v4.0.1.

Uno dei modi in cui PCI 4.0.1 si differenzia da PCI 3.2 è un Requisito 4 aggiornato, che riguarda la crittografia delle trasmissioni dei dati dei titolari di carta su reti pubbliche per proteggere le informazioni sensibili da accessi non autorizzati e intercettazioni. Il PCI Security Standards Council descrive questo cambiamento come un modo per “riflettere l'attenzione sulla ‘crittografia forte’ per proteggere le trasmissioni dei dati dei titolari di carta.”

Analizziamo esattamente cosa è cambiato e il modo migliore per costruire un inventario di certificati per essere conformi a PCI DSS 4.0 con il minimo sforzo possibile

Nella versione 4.0.1, il PCI Security Standards Council ha aggiunto contenuti al Requisito 4. Questo blog sarà dedicato al requisito 4.2.1.1, che recita:

“Viene mantenuto un inventario delle chiavi e dei certificati fidati dell'entità utilizzati per proteggere il PAN durante la trasmissione.”

Questo requisito è una best practice fino al 31 marzo 2025, dopodiché diventerà obbligatorio e dovrà essere pienamente considerato durante una valutazione PCI DSS.

Disponendo di un inventario, un'organizzazione può monitorare gli asset crittografici principali e le date di scadenza delle chiavi. Questo monitoraggio proattivo consente all'organizzazione di affrontare le vulnerabilità identificate nel software di crittografia, nei certificati e negli algoritmi crittografici.

Il PCI Security Standards Council osserva inoltre che è buona prassi che l'inventario dei certificati includa la CA emittente e la data di scadenza del certificato.

Esamineremo diversi modi in cui è possibile costruire il proprio inventario di certificati. Tutti i metodi discussi qui si concentreranno su cinque passaggi fondamentali:

1. Definire la priorità degli asset che rientrano nell'ambito in base ai requisiti PCI. Questo include i certificati per asset di proprietà di terze parti, come i gateway di pagamento sul tuo sito.
2. Utilizzare identificatori per tracciare i certificati in ambito.
3. Una volta stabilito cosa rientra nell'ambito, è possibile esportare i report degli asset per mostrare un inventario completo dei certificati.

L'approccio migliore per te dipenderà dallo stato attuale del tuo parco certificati, dalla sua complessità e dalle risorse che hai dedicato alla sua gestione e alla garanzia della conformità con PCI 4.0.1.

I fogli di calcolo sono comunemente utilizzati dalle organizzazioni per tracciare e gestire il parco certificati e potrebbero essere utilizzati per un inventario relativo al Requisito 4.2.1.1.

Se un'organizzazione utilizza già fogli di calcolo per tracciare i certificati, creare una versione simile per tracciare i certificati utilizzati per proteggere il PAN durante la trasmissione può essere un modo accettabile per soddisfare il requisito PCI 4.0.

Sebbene non sia l'approccio più sofisticato, può funzionare a condizione che ci sia una manutenzione rigorosa e risorse dedicate per il tracciamento manuale. Se un team è già sovraccarico senza personale sufficiente per garantire che il foglio di calcolo sia aggiornato, questo non è l'approccio giusto.

Questo è anche l'approccio sbagliato se attualmente utilizzi un foglio di calcolo ma è obsoleto o incompleto. Avrai bisogno di qualcosa di automatizzato che ti aiuti a partire con un inventario aggiornato. Ne parleremo più avanti.

1. Definire i campi dati necessari. Identifica tutti i punti dati necessari che devono essere tracciati per ogni certificato. Questo includerebbe cose come: Nome/ID del certificato: un identificatore univoco per ogni certificato. Emittente: la Certificate Authority (CA) che ha emesso il certificato. Soggetto: l'entità per cui è stato emesso il certificato (ad es. nome di dominio). Tipo di certificato: SSL/TLS, Code Signing, Certificato client, ecc. Robustezza della chiave: la robustezza crittografica del certificato (ad es. RSA a 2048 bit). Algoritmo utilizzato: l'algoritmo crittografico utilizzato (ad es. RSA, ECC). Periodo di validità: date di inizio e fine del certificato. Data di scadenza: quando il certificato scadrà. Custode della chiave: la persona o il team responsabile della gestione del certificato. Utilizzo: l'applicazione o il sistema specifico in cui viene utilizzato il certificato. Stato di revoca: se il certificato è stato revocato. Stato di rinnovo: note su se il certificato è in scadenza per il rinnovo. Note sulle vulnerabilità: eventuali vulnerabilità note relative al certificato o agli algoritmi associati. Commenti/Note: osservazioni o azioni aggiuntive relative al certificato.
2. Popolare il foglio di calcolo. Inserisci le informazioni per ogni certificato nella riga e colonna corrispondente.
3. Implementare la formattazione condizionale. Configura la formattazione condizionale per segnalare i certificati in scadenza (ad es. evidenzia in rosso o giallo i certificati che scadono entro i prossimi 30 o 60 giorni).
4. Creare promemoria e avvisi. Utilizza le funzioni del foglio di calcolo per calcolare il numero di giorni rimanenti alla scadenza e creare avvisi o promemoria automatici per i certificati che necessitano di rinnovo.
5. Revisione e aggiornamenti regolari. Pianifica revisioni regolari del foglio di calcolo per assicurarti che tutte le informazioni siano aggiornate. Aggiorna il foglio di calcolo ogni volta che un certificato viene emesso, rinnovato o revocato.
6. Proteggere il foglio di calcolo. Assicurati che il foglio di calcolo sia archiviato in modo sicuro, con l'accesso limitato solo al personale autorizzato. Se il foglio di calcolo contiene informazioni sensibili, valuta la possibilità di crittografarlo o archiviarlo in un ambiente sicuro e conforme a PCI.

Gli strumenti di Certificate Lifecycle Management (come AppviewX e Venafi) sono stati creati per automatizzare l'emissione, il rinnovo e la distribuzione dei certificati. Dato il numero di passaggi nel processo – e gli errori che possono verificarsi – i CLM sono emersi come un modo per i professionisti della sicurezza e dell'IT di tenere sotto controllo il proprio parco certificati.

Per progettazione, i CLM devono essere completi nel loro ambito in modo da poter firmare, convalidare, emettere, distribuire, revocare e generare report su un certificato. Per gli utenti CLM esistenti, esiste una funzionalità all'interno di questi strumenti che aiuta a soddisfare il requisito PCI 4.2.1.1.

Alcuni CLM aiutano anche a inventariare le chiavi fidate, che è un'altra parte del requisito 4.2.1.1.

Per chi attualmente non dispone di un CLM, implementarne uno può essere macchinoso e dispendioso in termini di risorse (con manuali utente lunghi 2.761 pagine).

L'altro scenario che può rendere i CLM inadatti è quello di parchi certificati complessi che richiedono scenari di scoperta complessi. Sebbene i CLM offrano una scoperta automatizzata, il seeding, le integrazioni e i metodi di scoperta possono richiedere tempo per essere configurati e possono non individuare certificati critici.

Il processo esatto da seguire varierà in base allo strumento CLM utilizzato. Qui descriveremo a un livello generale i passaggi da seguire indipendentemente dallo strumento utilizzato.

1. Iniziare con la scoperta dei certificati. A seconda dello strumento CLM utilizzato e del punto in cui ti trovi nel tuo percorso di gestione dei certificati, questo processo può richiedere più o meno risorse. Consulta la documentazione del tuo fornitore CLM per l'integrazione con le CA e la scansione della tua infrastruttura per assicurarti che tutti i certificati che rientrano nell'ambito di PCI 4.0 vengano individuati.
2. Iniziare con l'inventario CLM. Questi strumenti forniscono un repository centralizzato in cui i certificati di tutta la tua organizzazione possono essere individuati, inventariati e gestiti. Alcuni CLM possono integrarsi con varie Certificate Authority (CA) per importare i dettagli dei certificati.
3. Sfruttare i log di audit e i report di conformità. La maggior parte delle piattaforme CLM mantiene log di audit dettagliati di tutte le azioni intraprese sui certificati. Alcune possono anche generare report di conformità allineati ai requisiti PCI DSS, rendendo più facile dimostrare la conformità durante gli audit.

Siamo ovviamente di parte, ma riteniamo che uno strumento di monitoraggio dei certificati – come Red Sift Certificates – sia uno dei modi migliori per costruire il tuo inventario di certificati e soddisfare il requisito 4.2.1.1.

Red Sift Certificates è adatto alle aziende che non hanno la certezza di avere una visibilità completa del proprio inventario di certificati attuale. Questo perché Red Sift Certificates è l'unico strumento sul mercato che monitora i log di Certificate Transparency (CT) in tempo reale per vedere ogni certificato non appena viene emesso. Ad oggi, Red Sift Certificates ha elaborato oltre 7 miliardi di certificati. Il monitoraggio della configurazione e della distribuzione viene condotto da 10 sedi globali.

Per chi è preoccupato per i certificati in scadenza, questo monitoraggio dei log CT mantiene anche costantemente aggiornate le informazioni sui certificati distribuiti. Red Sift Certificates è adatto a chi già dispone o sta cercando una soluzione per automatizzare la rotazione dei certificati.

Tuttavia, è importante notare che, a differenza dei CLM, Red Sift Certificates non automatizza il processo di rinnovo.

Costruire un inventario di certificati per PCI 4.2.1.1 è facile con Red Sift Certificates.

1. Scopri tutti i tuoi certificati. Inserisci un singolo dominio seed e Red Sift Certificates identificherà tutti i certificati della tua organizzazione. Lo sappiamo, sembra troppo bello per essere vero, ma con un singolo dominio Red Sift Certificates può creare un inventario completo di tutti i certificati di proprietà, di terze parti, autofirmati e privati visibili su internet. L'app lo fa scoprendo e poi monitorando tutti gli hostname e gli intervalli di rete che appartengono alla tua organizzazione. Possiamo anche connetterci alla tua istanza di cloud computing. E la cosa migliore è che tutto questo può essere fatto in meno di un'ora.
2. Etichetta tutti i certificati in ambito PCI. Utilizzando semplici gruppi o tag, puoi annotare quali certificati rientrano nell'ambito del Requisito 4.2.1.1, in modo da avere un modo semplice per generare report.
3. Esporta secondo necessità. Esporta il tuo inventario come file .csv, .xls o JSON per documentarlo. Questo può essere fatto in base al tempo trascorso dall'ultima esportazione, o ogni volta che qualcosa cambia, in base alle preferenze e alle esigenze dell'utente.

Se stai cercando di costruire un inventario di certificati e pensi che Red Sift Certificates possa essere l'approccio giusto per la tua organizzazione, scrivici o prenota una demo. I membri del nostro team saranno lieti di aiutarti a costruire il tuo inventario prima della scadenza di PCI 4.0.1.

Se hai domande sui prossimi requisiti crittografici per PCI 4.0.1, guarda il nostro webinar on-demand per saperne di più.