La certificazione
PCI DSS richiede di “eseguire scansioni di vulnerabilità della rete interne ed esterne almeno una volta ogni tre mesi e dopo ogni cambiamento significativo apportato alla rete (ad esempio, l'installazione di nuovi componenti di sistema, la modifica della topologia della rete, la modifica delle regole del firewall o l'aggiornamento di un prodotto)” (requisito 11.2).
Dopo aver contattato eMaze, il Cliente riceverà un documento che dovrà leggere e compilare , in cui dichiarerà:
- le informazioni di contatto (nominativo del referente, carica/ruolo aziendale, numero di telefono, e-mail, …);
- gli indirizzi IP da testare (server, router, workstation, firewall, ecc.);
- gli eventuali virtual host;
- gli eventuali entry point alternativi ai sistemi on line (directory nascoste, interfacce di amministrazione, ecc.).di configurare gli eventuali strumenti di IDS/IPS in modo da non interferire con i risultati.
Una volta ricevuto il documento, eMaze contatterà il Cliente per concordare le tempistiche e i dettagli operativi di intervento.
Le scansioni fatte da eMaze sono volte a verificare l’assenza di vulnerabilità di gravità “Elevata” (in base alla definizione contenuta nel Requisito 6.2 PCI DSS) sui sistemi analizzati e non comportano alcun impatto sulle normali operazioni del Cliente. Nel caso in cui venissero rilevate delle vulnerabilità, verrà consegnato al Cliente un report intermedio in modo che possa procedere alle attività di rimedio necessarie. A valle degli interventi, le scansioni saranno ripetute fino a verificare una situazione positiva. Il processo si conclude con il rilascio di una certificazione di conformità, che il Cliente potrà fornire alle sue controparti.
Il costo delle attività di verifica è riferito non alla singola scansione bensì all’intero processo che, se necessario, ne comprende più di una.