Мы сертифицировали все ЦОДы и облако по PCI DSS

С гордостью сообщаем, что мы завершили процесс сертификации всех дата-центров Казахстана и Узбекистана по стандарту PCI DSS 3.2.1. Теперь этому стандарту соответствует большинство наших услуг: размещение и аренда серверов, вся облачная платформа PS Cloud — IaaS, K8saaS, DBaaS, LBaaS — облачные VPS, объектное хранилище и Virtuozzo Application Platform.

Для справки: PCI DSS, «Payment Card Industry Data Security Standard», учрежден международными платежными системами (VISA, MasterCard и прочими) для защиты данных платежных карт. Его соблюдение обязательно для компаний, которые обрабатывают, хранят или передают данные карт, по условиям международных платежных систем (Visa, MasterCard и другие). Клиенты компаний, соответствующих PCI DSS, могут безопасно проводить транзакции и значительно снизить риск утечки платежных данных.

Получение сертификации включает детальный аудит более 600 контрольных пунктов по всем аспектам безопасности данных: защищенности сетей, управления уязвимостями, контроля физического и сетевого доступа, шифрования данных, поддержки политики ИБ, мониторинга и тестирования. Размещая IT-инфраструктуру у нас, в зависимости от выбранного типа хостинга, вы автоматически выполняете до половины требований PCI DSS. Ниже вкратце описаны наши зоны ответственности.

Ограничение физического доступа к данным

Физический доступ к помещениям дата-центра ограничен устройствами считывания электронных бейджей и механическими замками. Все сотрудники и посетители идентифицируются, доступ к системе идентификации имеют только сотрудники дата-центров. Камеры видеонаблюдения контролируют помещения дата-центров и защищены от взлома и отключения. Доступ к сетевому и коммуникационному оборудованию строго ограничен.

Установка и поддержка межсетевого экрана

Все системы защищены от неавторизованного доступа из недоверенных сетей. Межсетевой экран анализирует весь сетевой трафик и блокирует соединения, не соответствующие критериям безопасности. Входящий и исходящий трафик ограничен только необходимыми соединениями для среды держателей карт. Прямой публичный доступ между интернетом и системными компонентами запрещен. Внедрены меры против подмены IP-адресов (антиспуфинг).

Изменение параметров по умолчанию

Учетные записи, системные пароли и прочие параметры ПО, заданные производителем по умолчанию, легко доступны для злоумышленников. Поэтому мы меняем все дефолтные параметры и устраняем известные уязвимости до установки подсистем в дата-центры.

Антивирусная защита

На всех системах установлено антивирусное ПО, которое обнаруживает и удаляет известные виды вредоносов. Антивирусные механизмы регулярно актуализируются, периодически сканируют системы и сохраняют журналы событий.

Контроль доступа к сетевым ресурсам и данным

Система автоматически генерирует журналы событий и позволяет отслеживать подозрительную активность пользователей. Регистрируются все действия пользователя с неограниченными правами (root) и административными привилегиями, а также создание и удаление объектов системного уровня. Журналы событий безопасности проверяются ежедневно.

Тестирование систем безопасности

Системные компоненты, процессы и стороннее ПО регулярно тестируются на соответствие свежим требованиям к безопасности. Выполняется внешнее и внутреннее сканирование сети на наличие уязвимостей раз в квартал и после значительных изменений в сети (например, установки новых компонентов, изменения сетевой топологии или обновления продуктов).

Кроме того мы разделяем с клиентом еще несколько зон ответственности: безопасное хранение данных, шифрование данных при передаче через общедоступные сети, аспекты разработки безопасных приложений, идентификацию пользователей и соблюдение политик ИБ. Подробности вы сможете узнать при обращении в отдел продаж: info@ps.kz.