ネットワーク構成を自動把握・リスク分析「RedSeal」
事例 - 効率的なコンプライアンス PCI DSS

PCI DSS

原文「EFFICIENT COMPLIANCE WITH PCI DSS」（英文）はこちら

PCI DSS 3.2

PCI DSS 3.2には多くの重要な要件があります。

PCI DSS 3.1と3.2の更新

PCI 3.1は、NIST（米国国立標準技術研究所）が特定したSSLの脆弱性とTLSの「初期」バージョンに対応して2015年4月にリリースされました。SSL(いずれのバージョンも)およびTLSの初期バージョンの既存の実装はすべて2016年6月30日までにTLSの「新」バージョンに更新する必要がありました。新しい実装は、即、新バージョンのTLSを使わなければならず、SSLを使うことができません。例外は、POSやPOI端末、関連するターミネーションポイントが、これらの悪用に対して脆弱でないことを示せる場合です。初期バージョンのTLSはTLS v1.0と定義されていますが、NISTはTLS v1.1も回避することを強く推奨しています。つまり、TLSの新バージョンではTLS v1.2(利用可能な場合はそれ以上)を使用すべきです。これらの要件はPCI 3.1セクション2.2.3、2.3、および4.1に関連しています。PCI 3.1には他の変更が含まれていますが、これらは3.0の「説明および追加ガイダンス」の更新です。
PCI DSS 3.2は2016年4月にリリースされ、主にサービスプロバイダ向けに更新されました。

RedSealのメリット

RedSealはネットワーク管理を検証し、脆弱性に優先順位を付ける強力なソリューションです。レイヤ3のネットワークデバイス構成の分析によりネットワークセグメンテーションの有効性を正確かつ継続的に決定し、直ちに修復するポリシーの逸脱を特定することができます。何万ものデバイスにまたがるネットワークアクセスポリシーをこのレベルで明確にできるソリューションは他にはありません。
また、RedSealはネットワークインテリジェンスと業界の主要な脆弱性スキャナベンダのスキャンデータと連携し、修復の優先順位付けをします。どんな複雑なネットワークでも内部スキャンと外部スキャンは膨大な数の脆弱性を検知します。課題はリスクを最小限に抑えるために、まずどの問題を解決すべきか決定することです。検知された脆弱性のいずれかが悪用された場合の潜在的影響をRedSealで分析し、セキュリティチームはリスクマネジメントのため優先順位付けされた活動計画を作成することができます。
その他の重要なRedSealの機能としては、検証されたネットワーク構成図とデバイスのインベントリの作成、運用機能や、ベストプラクティス構成強化チェックを広範囲なネットワークデバイスに適用する機能があります。

RedSealによるPCI DSSの効率的な遵守

RedSealのユニークな機能は、特にネットワークとファイアウォールの隔離、ペネトレーションテストと修復の分野で監査とコンプライアンス管理要件を満たすのに最適です。RedSealは次のDSS要件セクションの38のPCI管理に対応しています。

さらに、RedSealではネットワークのセグメンテーション分析や検証を行い、継続的に業務を管理するための「日常業務」ガイドラインに対応しています。RedSealはPCI監査の規模と範囲を削減できるサンプリングガイドラインを1つサポートしています。各管理とサポートは本書の最後に一覧があります。

RedSealは、PCI DSSが要求する継続的なネットワーク隔離管理を効率的な運用方法でできる唯一のベンダです。