Compliance PCI DSS

Se la sua azienda archivia, processa o trasmette dati di carte di credito, la compliance PCI DSS non è un'opzione. Non essere conformi significa sanzioni, perdita dei privilegi di merchant e responsabilità enormi in caso di breach. Ma raggiungere la compliance senza paralizzare il team di ingegneria è un'arte in cui la maggior parte delle consulenze fallisce.

Il mio engagement PCI DSS parte da un'attività di scoping per identificare esattamente quali sistemi toccano i dati dei titolari di carta. La maggior parte delle aziende scopre con sorpresa quanta parte della loro architettura può essere tolta dal perimetro PCI tramite tokenization, segmentazione di rete e ridisegno dei flussi di dati. La riduzione del perimetro è il luogo dove si ottengono le vere vittorie di compliance, ed è anche dove la maggior parte delle consulenze lavora di meno.

Da lì procediamo con i dodici requisiti PCI DSS insieme al suo team: controllo degli accessi, cifratura in transito e a riposo, gestione delle vulnerabilità, monitoraggio continuo, policy di sicurezza e risposta agli incidenti. Ogni controllo viene documentato, testato e mappato sulla sua infrastruttura esistente, così il momento dell'audit diventa un esercizio di spunte al posto di una corsa contro il tempo.

Con 30 anni di esperienza in sicurezza enterprise e un approccio hands-on all'implementazione, consegno una compliance PCI che il team di ingegneria riesce davvero a mantenere. Non un mucchio di carta che si rompe la prima volta che qualcuno fa il deploy di una feature, ma un programma vivo di cui il team è proprietario.