PCI DSS Penetratietesten & Kwetsbaarhedenbeheer
Kort samengevat: PCI DSS v4.0, dat sinds maart 2024 de enige actieve standaard is, verscherpte de vereisten voor beveiligingstests aanzienlijk. Kwartaal-ASV-scans, jaarlijkse penetratietesten en continu kwetsbaarhedenbeheer zijn nu verplicht. Deze gids beschrijft precies wat vereist is.
PCI DSS v4.0-vereisten voor beveiligingstests
PCI DSS v4.0, dat sinds maart 2024 de enige actieve standaard is, bevat belangrijke updates voor de vereisten voor beveiligingstests onder Requirement 11.3 en 11.4. Dit is precies wat vereist is:
Requirement 11.3.1 — Interne kwetsbaarheidsscans (per kwartaal)
Voer minstens één keer per drie maanden en na elke significante wijziging interne kwetsbaarheidsscans uit. Kwetsbaarheden met een Hoge of Kritieke score moeten worden opgelost en opnieuw gescand.
Requirement 11.3.2 — Externe kwetsbaarheidsscans (per kwartaal, ASV)
Voer minstens elke drie maanden externe kwetsbaarheidsscanning uit met behulp van een Approved Scanning Vendor (ASV). Alle extern gerichte IP's binnen de CDE moeten een "schone" scan behalen zonder CVSS 4.0+-bevindingen.
Requirement 11.4.1 — Penetratietesten (jaarlijks)
Er moet een penetratietestmethodologie worden vastgesteld en gevolgd. Testen moeten minstens jaarlijks worden uitgevoerd en na elke significante infrastructuur- of applicatie-upgrade.
Requirement 11.4.3 — Externe penetratietesten
Externe penetratietesten van de CDE-perimeter moeten worden uitgevoerd. Testen moeten netwerklaag- en applicatielaagtesten omvatten.
Requirement 11.4.4 — Interne penetratietesten
Interne penetratietesten van de CDE moeten worden uitgevoerd. Bevindingen moeten worden hersteld, waarbij hertesten de oplossing bevestigt.
Requirement 11.4.6 — Segmentatietesten (NIEUW in v4.0)
Als netwerksegmentatie wordt gebruikt om de CDE te isoleren, moeten penetratietesten verifiëren dat de segmentatiecontroles effectief zijn. Testen minstens elke zes maanden en na segmentatiewijzigingen.
De "toekomstgedateerde" vereisten van PCI DSS v4.0 werden verplicht op 31 maart 2025. Dit omvat verbeterde scoping voor penetratietesten, segmentatietesten elke 6 maanden (in plaats van jaarlijks), en nieuwe vereisten voor beveiligingstests van webapplicaties. Veel organisaties zijn nog aan het inhalen.
CDE-scoping: wat moet worden getest
| Systeemcategorie | Binnen scope? | Testvereiste |
|---|---|---|
| Systemen die CHD opslaan, verwerken of overdragen | Altijd binnen scope | Interne + externe kwetsbaarheidsscan + pentest |
| Systemen op hetzelfde netwerksegment als de CDE | Binnen scope tenzij gesegmenteerd | Interne kwetsbaarheidsscan + pentest |
| Systemen die beveiligingsdiensten leveren aan de CDE | Binnen scope | Interne kwetsbaarheidsscan + pentest |
| Extern gerichte CDE-componenten | Binnen scope | ASV-scan + externe pentest |
| Segmentatiecontroles | Moet worden getest | Segmentatiepenetratietesten q2j |
Hoe KENSAI PCI DSS-compliance ondersteunt
- ✓ ASV-compatibele externe scanning — De externe scanning van KENSAI voldoet aan de PCI DSS ASV-scanmethodologievereisten. Exporteer scanresultaten in door PCI vereiste formaten.
- ✓ Planning van kwartaalscans — Geautomatiseerde kwartaalscanplanning met e-mailmeldingen en compliance-tracking — mis nooit een verplicht scanvenster.
- ✓ CDE-asset-inventarisatie — Ontdekt en volgt automatisch alle CDE-systemen binnen scope, zodat niets wordt gemist in uw kwartaalscans.
- ✓ Segmentatievalidatie — Test dat CDE-netwerksegmenten niet bereikbaar zijn vanuit systemen buiten scope — voldoet aan de nieuwe 6-maandelijkse segmentatietestvereiste.
- ✓ Herstelworkflow — Volg herstel van Hoge/Kritieke kwetsbaarheden met bewijsvastlegging en herscanbevestiging — vereist voor QSA-bewijspakketten.
- ✓ PCI-geformatteerde rapporten — Genereer QSA-klare rapporten met kwetsbaarheidsbevindingen gekoppeld aan PCI DSS-vereisten en herstelstatustracking.
Ernstdrempels voor kwetsbaarheden onder PCI DSS
PCI DSS v4.0 gebruikt CVSS v3.1-scoring om ernstdrempels te bepalen. De herstelvereisten van de standaard:
| CVSS-score | Ernst | Interne scan | Externe ASV-scan |
|---|---|---|---|
| 9,0 – 10,0 | Kritiek | Moet worden hersteld voordat de scan slaagt | Blokkeert "schone" scan — moet worden hersteld |
| 7,0 – 8,9 | Hoog | Moet worden hersteld voordat de scan slaagt | Blokkeert "schone" scan — moet worden hersteld |
| 4,0 – 6,9 | Middel | Risicogebaseerd herstel aanvaardbaar | Kan slagen met uitzonderingsdocumentatie |
| 0,1 – 3,9 | Laag | Documenteren en volgen | Blokkeert schone scan niet |
Veelvoorkomende PCI DSS-bevindingen die KENSAI detecteert
- Onversleutelde kaarthoudergegevens in netwerkverkeer (cleartext PAN over HTTP)
- Standaard inloggegevens op betaalterminals en netwerkapparatuur
- Niet-gepatchte systemen in de CDE (PCI vereist patches binnen 1 maand voor kritieke bevindingen)
- Onvoldoende netwerksegmentatie (CDE toegankelijk vanaf het bedrijfsnetwerk)
- Blootgestelde beheerinterfaces (SSH, RDP, beheerconsoles) op CDE-systemen
- SQL-injectiekwetsbaarheden in webapplicaties die betalingen verwerken
- Zwakke TLS-configuratie (SSLv3, TLS 1.0, zwakke cipher suites)
- Ontbrekende beveiligingsheaders op betaalpagina's
KENSAI levert continue kwetsbaarheidsscanning, ASV-compatibele rapportage en segmentatietesten in één platform. Verkort de QSA-beoordelingstijd en behoud het hele jaar door PCI-compliance.
Start PCI DSS-beoordeling →