Куда я попал?
SECURITM это SGRC система, ? автоматизирующая процессы в службах информационной безопасности. SECURITM помогает построить и управлять ИСПДн, КИИ, ГИС, СМИБ/СУИБ, банковскими системами защиты.
А еще SECURITM это место для обмена опытом и наработками для служб безопасности.

Framework № PCI DSS 4.0 от 01.03.2022

Payment Card Industry Data Security Standard (RU)

Requirement 11.6.1

Для проведения оценки соответствия по документу войдите в систему.

Список требований

Похожие требования

ГОСТ Р № 57580.1-2017 от 01.01.2018 "Безопасность финансовых (банковских) операций. Защита информации финансовых организаций. Базовый состав организационных и технических мер. Раздел 9. Требования к защите информации на этапах жизненного цикла автоматизированных систем и приложений":
ЖЦ.22
ЖЦ.22 Регистрация внесения изменений в АС, включая обновление прикладного ПО
3-Н 2-О 1-О
NIST Cybersecurity Framework (RU):
PR.DS-6
PR.DS-6: Механизмы проверки целостности используются для проверки программного обеспечения, встроенного  программного обеспечения и целостности информации. 
Приказ ФСТЭК России № 21 от 18.02.2013 "Состав и содержание мер по обеспечению безопасности персональных данных, необходимых для обеспечения каждого из уровней защищенности персональных данных":
ОЦЛ.2 ОЦЛ.2 Контроль целостности персональных данных, содержащихся в базах данных информационной системы
ОЦЛ.1 ОЦЛ.1 Контроль целостности программного обеспечения, включая программное обеспечение средств защиты информации
Framework № PCI DSS 4.0 от 01.03.2022 "Payment Card Industry Data Security Standard":
Requirement 11.6.1
11.6.1
Defined Approach Requirements: 
A change- and tamper-detection mechanism is deployed as follows: 
  • To alert personnel to unauthorized modification (including indicators of compromise, changes, additions, and deletions) to the HTTP headers and the contents of payment pages as received by the consumer browser.
  • The mechanism is configured to evaluate the received HTTP header and payment page.
  • The mechanism functions are performed as follows: 
    • At least once every seven days 
    • OR
    • Periodically (at the frequency defined in the entity’s targeted risk analysis, which is performed according to all elements specified in Requirement 12.3.1). 
Customized Approach Objective:
E-commerce skimming code or techniques cannot be added to payment pages as received by the consumer browser without a timely alert being generated. Anti-skimming measures cannot be removed from payment pages without a prompt alert being generated. 

Applicability Notes:
The intention of this requirement is not that an entity installs software in the systems or browsers of its consumers, but rather that the entity uses techniques such as those described under Examples in the Guidance column to prevent and detect unexpected script activities. 
This requirement is a best practice until 31 March 2025, after which it will be required and must be fully considered during a PCI DSS assessment. 

Defined Approach Testing Procedures:
  • 11.6.1.a Examine system settings, monitored payment pages, and results from monitoring activities to verify the use of a change- and tamperdetection mechanism. 
  • 11.6.1.b Examine configuration settings to verify the mechanism is configured in accordance with all elements specified in this requirement. 
  • 11.6.1.c If the mechanism functions are performed at an entity-defined frequency, examine the entity’s targeted risk analysis for determining the frequency to verify the risk analysis was performed in accordance with all elements specified at Requirement 12.3.1. 
  • 11.6.1.d Examine configuration settings and interview personnel to verify the mechanism functions are performed either: • At least once every seven days OR • At the frequency defined in the entity’s targeted risk analysis performed for this requirement. 
Purpose:
Many web pages now rely on assembling objects, including active content (primarily JavaScript), from multiple internet locations. Additionally, the content of many web pages is defined using content management and tag management systems that may not be possible to monitor using traditional change detection mechanisms. 
Therefore, the only place to detect changes or indicators of malicious activity is in the consumer browser as the page is constructed and all JavaScript interpreted. 
By comparing the current version of the HTTP header and the active content of payment pages as received by the consumer browser with prior or known versions, it is possible to detect unauthorized changes that may indicate a skimming attack. 
Additionally, by looking for known indicators of compromise and script elements or behavior typical of skimmers, suspicious alerts can be raised. 

Examples:
Mechanisms that detect and report on changes to the headers and content of the payment page include but are not limited to: 
  • Violations of the Content Security Policy (CSP) can be reported to the entity using the reportto or report-uri CSP directives.
  • Changes to the CSP itself can indicate tampering. 
  • External monitoring by systems that request and analyze the received web pages (also known as synthetic user monitoring) can detect changes to JavaScript in payment pages and alert personnel.
  • Embedding tamper-resistant, tamper-detection script in the payment page can alert and block when malicious script behavior is detected.
  • Reverse proxies and Content Delivery Networks can detect changes in scripts and alert personnel. 
Often, these mechanisms are subscription or cloud-based, but can also be based on custom and bespoke solutions. 
CIS Critical Security Controls v7.1 (SANS Top 20):
CSC 14.9 CSC 14.9 Enforce Detail Logging for Access or Changes to Sensitive Data
Enforce detailed audit logging for access to sensitive data or changes to sensitive data (utilizing tools such as File Integrity Monitoring or Security Information and Event Monitoring).
Приказ ФСТЭК России № 17 от 11.02.2013 "Требования о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах":
ОЦЛ.2 ОЦЛ.2 Контроль целостности информации, содержащейся в базах данных информационной системы
ОЦЛ.1 ОЦЛ.1 Контроль целостности программного обеспечения, включая программное обеспечение средств защиты информации
SWIFT Customer Security Controls Framework v2022:
6 - 6.2 Software Integrity
6.2 Software Integrity
Приказ ФСТЭК России № 31 от 14.03.2014 "Состав мер защиты информации и их базовые наборы для соответствующего класса защищенности автоматизированной системы управления":
УКФ.4 УКФ.4 Контроль действий по внесению изменений
ОЦЛ.2 ОЦЛ.2 Контроль целостности информации
ОЦЛ.1 ОЦЛ.1 Контроль целостности программного обеспечения
NIST Cybersecurity Framework (EN):
PR.DS-6 PR.DS-6: Integrity checking mechanisms are used to verify software, firmware, and information integrity
Приказ ФСТЭК России № 239 от 25.12.2017 "Состав мер по обеспечению безопасности для значимого объекта соответствующей категории значимости":
УКФ.4 УКФ.4 Контроль действий по внесению изменений
ОЦЛ.1 ОЦЛ.1 Контроль целостности программного обеспечения
ОЦЛ.2 ОЦЛ.2 Контроль целостности информации
ОЦЛ.0 ОЦЛ.0 Регламентация правил и процедур обеспечения целостности

Связанные защитные меры

Ничего не найдено