Affermare che un fornitore di servizi di terze parti sia “conforme allo standard PCI” non è una conclusione, bensì il punto di partenza per ulteriori verifiche.
Per molte organizzazioni, la certificazione da parte di terzi equivale ancora all’ottenimento di un Attestato di Conformità (AOC), al suo archiviazione in un repository e al presupposto che non sia necessaria alcuna ulteriore revisione. Tuttavia, lo standard PCI DSS richiede più della semplice prova che un fornitore abbia completato una valutazione in un determinato momento.
È necessario stabilire se il fornitore rientri nell’ambito di applicazione, quali servizi siano stati valutati, quali responsabilità abbia accettato, se la sua convalida sia ancora valida e se le prove supportino effettivamente i servizi utilizzati dalla vostra organizzazione.
Il PCI Security Standards Council ha chiarito in che modo i fornitori di servizi di terze parti debbano essere inclusi nell’ambito di applicazione, convalidati e documentati durante una valutazione PCI DSS. La guida sottolinea un punto importante: i fornitori non devono necessariamente archiviare, elaborare o trasmettere dati relativi agli account per rientrare nell’ambito di applicazione. Possono rientrare nell’ambito di applicazione anche perché i loro servizi contribuiscono a soddisfare i requisiti PCI DSS o potrebbero influire sulla sicurezza dell’ambiente dei dati dei titolari di carta.
Ciò ha implicazioni significative per gli esercenti, i fornitori di servizi e i valutatori.
Ai fini della valutazione PCI DSS di un cliente, il rapporto con un fornitore di servizi di terze parti è rilevante quando il fornitore eroga servizi che:
È proprio nel terzo punto che le organizzazioni spesso sottovalutano la portata del proprio ambito di applicazione.
Un fornitore non ha bisogno di vedere un numero di conto primario (PAN) per comprometterne la sicurezza. Un fornitore di servizi di sicurezza gestiti, un fornitore di servizi cloud, un fornitore di identità, una società di hosting, un fornitore di gestione delle applicazioni o un fornitore di assistenza remota potrebbe non gestire direttamente i dati di pagamento, ma il suo accesso o i suoi servizi potrebbero comunque influire sulla sicurezza dei sistemi che rientrano nell’ambito di applicazione.
Ciò significa che la domanda corretta non è semplicemente:
Questo fornitore gestisce i dati delle carte?
Ma è:
I sistemi, il personale, gli accessi o i servizi di questo fornitore potrebbero influire sulla sicurezza dei dati degli account o aiutarci a soddisfare un requisito PCI DSS?
Quando la risposta è sì, i servizi pertinenti, i percorsi di accesso, le dipendenze di sistema e le responsabilità gestite dal fornitore devono essere considerati nell’ambito di applicazione e nella valutazione PCI DSS del cliente.
La conformità allo standard PCI DSS si applica a un ambito, a un servizio e a un periodo ben definiti.
Un fornitore può gestire diversi prodotti, piattaforme o linee di servizi. La sua Attestazione di Conformità (AOC) può riguardare uno di essi, ma non il servizio utilizzato dalla vostra organizzazione. L’ambito oggetto di valutazione può essere limitato a specifiche persone giuridiche, servizi, ambienti, sedi, regioni o modelli di erogazione, come documentato nell’AOC e nei materiali di valutazione di supporto.
L’affermazione «il nostro fornitore è conforme allo standard PCI» di per sé non dice quasi nulla.
È comunque necessario verificare:
Senza tale analisi, un AOC può creare una falsa sicurezza.
Un’organizzazione potrebbe essere in possesso di un documento valido pur affidandosi a un servizio che esula dall’ambito di valutazione del fornitore.
Un fornitore di servizi di terze parti dispone generalmente di due modalità per dimostrare l’adempimento delle proprie responsabilità relative allo standard PCI DSS.
Il fornitore può effettuare una valutazione annuale della conformità allo standard PCI DSS e fornire ai clienti la documentazione appropriata, solitamente un AOC.
A seconda dei propri requisiti di convalida, il fornitore può effettuare:
Questa è solitamente la procedura più semplice per i clienti, poiché il fornitore ha già identificato l’ambito di applicazione, valutato i controlli applicabili e documentato i risultati.
Tuttavia, il cliente deve comunque esaminare attentamente l’AOC. Il ricevimento del documento non esonera dalla necessità di verificare che esso copra effettivamente il servizio in questione.
Qualora il fornitore non abbia completato la propria valutazione annuale, può partecipare alla valutazione PCI DSS di un cliente.
Il fornitore deve mettere a disposizione prove, personale, sistemi e processi sufficienti affinché il valutatore del cliente possa eseguire le procedure di verifica PCI DSS applicabili e giungere a una conclusione comprovata. Le responsabilità del fornitore vengono quindi valutate nell’ambito del Report on Compliance (ROC) di quel cliente. Non si tratta di una semplice dichiarazione da parte del fornitore, ma richiede prove dettagliate e test da parte del valutatore. Inoltre, non è un’opzione disponibile per tutti gli esercenti.
Un commerciante non può utilizzare il proprio SAQ per convalidare la conformità interna allo standard PCI DSS di un fornitore di servizi non ancora convalidato. Il SAQ del commerciante copre l’ambiente idoneo del commerciante stesso e i requisiti applicabili a tale commerciante.
All’esercente non dovrebbe essere richiesto di:
Un fornitore che serve un commerciante SAQ è tenuto a convalidare la propria conformità tramite un SAQ D per fornitori di servizi o un ROC.
Pertanto, quando un fornitore sprovvisto di una propria convalida comunica a un commerciante SAQ che può semplicemente essere «coperto dalla valutazione del cliente», il commerciante dovrebbe contestare tale posizione.
La procedura che prevede l’integrazione dei controlli del fornitore nella valutazione del cliente si applica alle organizzazioni che compilano un ROC e scelgono di valutare direttamente tali responsabilità del fornitore. Non si tratta di un’alternativa universale alla convalida del fornitore di servizi.
Un Attestato di Conformità è una prova importante, ma solo se viene esaminato correttamente.
Non è sufficiente verificare il nome del fornitore e la data di completamento della valutazione. La vostra due diligence dovrebbe confermare che l’AOC si applichi al servizio, all’ambiente e al rapporto in questione.
Verificate che il soggetto giuridico indicato sull’AOC sia effettivamente l’ente che fornisce il vostro servizio.
I grandi gruppi possono operare attraverso diverse controllate. La valutazione di una società madre non copre automaticamente tutte le controllate o le attività regionali.
Esaminare la descrizione dei servizi oggetto di valutazione.
Il fornitore potrebbe offrire diversi ambienti cloud, servizi di hosting, prodotti di pagamento o servizi gestiti. L’AOC deve coprire il servizio specifico che utilizzi, non semplicemente un altro servizio fornito dalla stessa azienda.
La convalida PCI DSS non è permanente.
Un AOC non dovrebbe rimanere in archivio a tempo indeterminato senza verificare se lo stato di conformità PCI DSS del fornitore sia ancora valido e se sia disponibile la documentazione di convalida aggiornata.
Verificare quale versione dello standard PCI DSS sia stata utilizzata durante la valutazione del fornitore.
Ciò consente di determinare se la convalida del fornitore si basa sulla versione applicabile dello standard PCI DSS ed è adeguata al periodo di valutazione e rendicontazione del cliente.
Il contratto e la documentazione di supporto dovrebbero chiarire quali requisiti dello standard PCI DSS siano:
Un AOC non trasferisce tutte le responsabilità al fornitore. I clienti rimangono responsabili della comprensione e della gestione della propria parte dell’ambiente di controllo.
Ogni fornitore che soddisfi i criteri di ambito di applicazione dello standard PCI DSS deve essere documentato nella Sezione 4.4 del Report on Compliance.
Ciò include i fornitori che:
Ove pertinente, i servizi, le connessioni, gli accessi e le dipendenze del fornitore dovrebbero essere riportati anche nelle sezioni del ROC relative all’ambito di applicazione, ai componenti di sistema, alle connessioni di rete, alla segmentazione, ai flussi di dati e alle sedi oggetto di valutazione.
Il punto fondamentale è la coerenza.
I fornitori elencati nel ROC devono essere in linea con:
Un fornitore non dovrebbe comparire in un documento per poi scomparire dagli altri.
Quando un fornitore terzo è responsabile di un requisito PCI DSS, tale requisito può essere segnalato come “In vigore”.
Tuttavia, tale conclusione richiede prove a sostegno.
La documentazione di valutazione dovrebbe identificare:
«In vigore» non è sinonimo di «il fornitore ci ha detto che era conforme».
Si tratta di una conclusione di valutazione documentata, supportata da contratti, prove di convalida e test.
In assenza di tali elementi, il risultato potrebbe non essere difendibile.
Il requisito 12.8 dello standard PCI DSS riguarda le modalità con cui le organizzazioni gestiscono i fornitori di servizi di terze parti che hanno accesso ai dati degli account o che potrebbero comprometterne la sicurezza.
Esso richiede alle organizzazioni di mantenere il controllo su tale rapporto, anziché considerare la dichiarazione di conformità del fornitore come una semplice operazione annuale di raccolta di documenti.
Il requisito 12.8.1 richiede un elenco dei fornitori di servizi di terze parti rilevanti, comprensivo di una descrizione dei servizi forniti da ciascun fornitore.
Tale elenco deve rispecchiare l’attuale contesto relativo ai dati dei titolari di carta e deve essere aggiornato ogni volta che vengono introdotti, modificati o dismessi dei servizi.
Il requisito 12.8.2 richiede la stipula di accordi scritti con i fornitori interessati.
Tali accordi devono riconoscere la responsabilità del fornitore nella protezione dei dati relativi agli account o nel rispetto dei requisiti PCI DSS di cui si occupa per conto del cliente.
Una formulazione contrattuale ambigua può creare incertezza riguardo a chi sia responsabile di determinati controlli.
Il requisito 12.8.3 impone alle organizzazioni di predisporre una procedura per la selezione dei fornitori di servizi, che includa un’adeguata verifica prima dell’avvio del rapporto.
Gli aspetti relativi allo standard PCI DSS dovrebbero quindi essere integrati nelle procedure di appalto e di inserimento dei fornitori, anziché essere affrontati solo all’avvio della valutazione annuale.
Prima di firmare un contratto, le organizzazioni dovrebbero comprendere:
L'approfondimento della due diligence dovrebbe essere proporzionato al servizio, all'accesso, ai dati trattati, alle dipendenze tecniche e al potenziale impatto sul CDE.
La maggior parte delle non conformità riscontrate presso terze parti non è dovuta alla totale assenza di documentazione da parte delle organizzazioni.
Sono invece causati da una documentazione che sembra adeguata finché non viene esaminata attentamente.
Nel repository di conformità è ancora presente un AOC obsoleto, ma nessuno ha verificato se il fornitore abbia completato la sua ultima valutazione.
Il documento è valido, ma si riferisce a un altro prodotto, modello di hosting, sede, regione o entità giuridica.
L'elenco dei fornitori terzi dell'organizzazione non corrisponde più ai suoi attuali sistemi, integrazioni, flussi di pagamento o servizi cloud.
Il cliente presume che sia il fornitore a gestire un controllo, mentre la documentazione del fornitore indica che la responsabilità rimane a carico del cliente.
I requisiti vengono contrassegnati come “In Place” basandosi esclusivamente sullo stato segnalato dal fornitore, senza identificare il servizio applicabile, l’attribuzione delle responsabilità, le prove di convalida o i test a sostegno della conclusione.
Il fornitore non dispone di alcuna convalida indipendente e si aspetta che l’esercente includa i suoi controlli all’interno di un SAQ, nonostante l’esercente non sia responsabile della valutazione dell’ambiente del fornitore.
Queste lacune spesso rimangono nascoste fino a quando non viene avviata la valutazione formale. A quel punto, risolverle può comportare il dover sollecitare i fornitori, rivedere i contratti, ridefinire l’ambito di applicazione e raccogliere prove sotto una notevole pressione temporale.
Una gestione efficace delle terze parti richiede un processo ripetibile che metta in collegamento i team addetti agli acquisti, agli aspetti legali, alla sicurezza delle informazioni, ai pagamenti e alla conformità.
Iniziate creando un inventario completo dei fornitori che gestiscono i dati degli account o che potrebbero influire sulla loro sicurezza. Associate ciascun fornitore al servizio che eroga, ai sistemi a cui può accedere e ai requisiti PCI DSS pertinenti.
Per ogni fornitore rientrante nell’ambito di applicazione, procuratevi prove di convalida aggiornate e verificate che coprano il servizio che utilizzate. Documentate quali controlli sono gestiti dal fornitore e quali rimangono di vostra responsabilità.
Tale revisione non deve essere un'operazione una tantum da dimenticare in seguito. I servizi dei fornitori cambiano. I contratti cambiano. Le piattaforme migrano. Un fornitore potrebbe modificare l’ambito di valutazione o sostituire un servizio con un altro.
Un processo maturo include quindi:
L’obiettivo non è semplicemente quello di raccogliere documenti, ma di accertare che i controlli, le responsabilità e le procedure di convalida del fornitore supportino la vostra conformità allo standard PCI DSS.
I fornitori di servizi di terze parti possono complicare notevolmente la definizione dell’ambito di applicazione e la valutazione dello standard PCI DSS, in particolare quando le responsabilità sono condivise tra diversi fornitori, piattaforme e team interni.
Gli specialisti in conformità dei pagamenti di Integrity360 possono aiutare le organizzazioni a:
Integrity360 fornisce servizi di valutazione della sicurezza dei pagamenti dal 2009 e supporta le organizzazioni in materia di PCI DSS, 3DS, P2PE, Secure Software Framework, Token Service Provider, sicurezza dei PIN e requisiti relativi alla produzione e all’emissione delle carte.
Lo stato di conformità PCI DSS di un fornitore è importante, ma non può essere valutato fuori dal contesto.
È necessario sapere cosa è stato valutato, quando è stata effettuata la valutazione, quali servizi sono stati inclusi e se le responsabilità del fornitore sono chiaramente sancite da contratti e prove documentali.
È utile che sia presente un AOC in archivio.
Un AOC aggiornato, pertinente e applicabile al servizio corretto può supportare una valutazione PCI DSS difendibile se considerato insieme all’attribuzione delle responsabilità, agli impegni contrattuali, ai controlli da parte del cliente e alle prove di test applicabili.
Rivolgetevi a Integrity360 per esaminare l’ambito dei vostri fornitori di servizi di terze parti, convalidare le vostre prove e prepararvi alla vostra prossima valutazione PCI DSS.