6.4.3
Определенные Требования к Подходу:
Все скрипты на странице платежа, которые загружаются и выполняются в браузере потребителя, управляются следующим образом:
- Реализован метод для подтверждения, что каждый скрипт авторизован.
- Реализован метод для обеспечения целостности каждого скрипта.
- Ведется инвентаризация всех скриптов с письменным бизнес- или техническим обоснованием, почему каждый скрипт необходим.
Цель Индивидуального Подхода:
Неавторизованный код не может быть выполнен на странице платежа, когда она отображается в браузере потребителя.
Примечания к Применимости:
Это требование применяется ко всем скриптам, загружаемым из среды организации, а также к скриптам, загружаемым от третьих и четвертых сторон.
Это требование также применяется к скриптам на веб-странице организации, которая включает встроенную страницу платежа/форму от TPSP/платежного процессора (например, один или несколько встроенных фреймов или iframe).
Это требование не применяется к организации для скриптов на встроенной странице платежа/форме TPSP/платежного процессора (например, один или несколько iframe), где организация включает страницу платежа/форму TPSP/платежного процессора на своем вебсайте.
Скрипты на странице платежа/форме TPSP/платежного процессора являются ответственностью TPSP/платежного процессора для управления в соответствии с этим требованием.
Это требование является лучшей практикой до 31 марта 2025 года, после чего оно станет обязательным и должно быть полностью учтено при оценке PCI DSS.
Определенные Процедуры Тестирования Подхода:
- 6.4.3.a Изучить политику и процедуры, чтобы убедиться, что процессы для управления всеми скриптами на странице платежа, которые загружаются и выполняются в браузере потребителя, определены в соответствии со всеми элементами, указанными в этом требовании.
- 6.4.3.b Провести интервью с ответственным персоналом и изучить записи инвентаризации и конфигурации системы, чтобы убедиться, что все скрипты на странице платежа, которые загружаются и выполняются в браузере потребителя, управляются в соответствии со всеми элементами, указанными в этом требовании.
Цель:
Скрипты, загружаемые и выполняемые на странице платежа, могут быть изменены без ведома организации и могут также иметь функциональность для загрузки дополнительных внешних скриптов (например, рекламных и отслеживающих скриптов, систем управления тегами).
Такие на первый взгляд безвредные скрипты могут быть использованы злоумышленниками для загрузки вредоносных скриптов, которые могут считывать и вытекать данные владельца карты из браузера потребителя.
Обеспечение того, чтобы функциональность всех таких скриптов была признана необходимой для работы страницы платежа, минимизирует количество скриптов, которые могут быть подвержены изменению.
Обеспечение того, чтобы скрипты были явно авторизованы, снижает вероятность добавления ненужных скриптов на страницу платежа без соответствующего одобрения управления. Если невозможно получить такую авторизацию до внесения изменений в скрипт или добавления нового скрипта на страницу, авторизация должна быть подтверждена как можно скорее после внесения изменений.
Использование техник для предотвращения подделки скриптов минимизирует вероятность того, что скрипт будет изменен для выполнения несанкционированного поведения, например, для сбора данных владельца карты с платежной страницы.
Надлежащая практика:
Скрипты могут быть авторизованы вручную или с помощью автоматизированных процессов (например, рабочего процесса). Когда страница платежа загружается в встроенный фрейм (iframe), ограничение местоположения, с которого страница платежа может быть загружена, с использованием политики безопасности содержимого (CSP) родительской страницы может помочь предотвратить подмену страницы платежа несанкционированным контентом.
Когда организация включает встроенную страницу платежа/форму TPSP/платежного процессора на своем вебсайте, организация должна ожидать, что TPSP/платежный процессор предоставит доказательства того, что они выполняют это требование в соответствии с оценкой PCI DSS TPSP/платежного процессора и Требованием 12.9.
Примеры:
Целостность скриптов может быть обеспечена различными механизмами, включая, но не ограничиваясь:
- Интеграция подресурсов (SRI), которая позволяет браузеру потребителя проверить, что скрипт не был подделан.
- CSP, которая ограничивает местоположения, с которых браузер потребителя может загружать скрипт и передавать данные счета.
- Проприетарные системы управления скриптами или тегами, которые могут предотвращать выполнение вредоносных скриптов.
