Вопросы по пункту 1.4 стандарта PCI DSS

[Alexander731]

Всем привет!

Изучаю стандарт PCI DSS v.2.0. Пункт 1.4 гласит: "Install personal firewall software on any mobile and/or employee-owned computers with direct connectivity to the Internet (for example, laptops used by employees), which are used to access the organization’s network."

Есть два вопроса к QSA или тем, кто проходил сертификацию по PCI DSS.
1) Относятся ли смартфоны к мобильным компьютерам?
2) Что такое в данном случае "direct connectivity to the Internet"? Если компьютер в офисе выходит в Интернет через NAT из приватной сети, то это "direct connectivity" или нет? Если нет, то нужен ли персональный фаерволл, если дома ноутбук выходит в интернет с публичным адресом, а в офисе через NAT из приватной сети?

Заранее спасибо тем, кто ответит.

[ost]

1) Относятся ли смартфоны к мобильным компьютерам?

Да.

2) Что такое в данном случае "direct connectivity to the Internet"? Если компьютер в офисе выходит в Интернет через NAT из приватной сети, то это "direct connectivity" или нет? Если нет, то нужен ли персональный фаерволл, если дома ноутбук выходит в интернет с публичным адресом, а в офисе через NAT из приватной сети?

Здесь надо смотреть защищен ли компьютер корпоративным фаерволом при выходе в интернет. Если да, то персональный не нужен, если нет -- устанавливайте персональный.


Ну и самое главное, это относится только к тем устройствам, которые вовлечены в процесс обслуживания карт.

[Alexander731]

ost, спасибо за ответ!

Ну и самое главное, это относится только к тем устройствам, которые вовлечены в процесс обслуживания карт.

Допускает ли стандарт нахождение в одной подсети неразделенных фаерволлом компьютеров, которые вовлечены в процесс обслуживания карт, и вместе с ними компьютеров, которые не вовлечены в процесс обслуживания карт? Если не разрешает, то каким пунктом?

[malotavr]

См. требование 1.2. Если ваша политика экранирования допускает входящие соединения на эти компы, они однозначно долдны быть отфайрволены от процессинга. Если нет - см. принцип "включи логику",, в соответствии с которым отфайрволивать их нужно только в том случае, если их нахождение в общем домене колизий создает угрозу процессингу.

А вообще имеет мыл дожэдаться публикации третьей версии - вдруг там что-то изменилось.