Контроль клиентской стороны под PCI DSS 4.0.1

Автоматизация ключевых требований PCI DSS: инвентаризация и контроль целостности клиентских скриптов по 6.4.3, обнаружение изменений платёжной страницы на стороне конечного пользователя по 11.6.1, защита от веб-скимминга и формирование артефактов для QSA.

6.4.3 Контроль скриптов
11.6.1 Обнаружение изменений
Динамический SRI
CSP
Отчётность для аудита

Сценарий контроля

От реальной сессии пользователя до понятного сигнала для команды

Риск на платёжной странице часто появляется в браузере раньше, чем его видно в серверных логах: меняется скрипт, форма ведёт себя иначе или в checkout попадает новый сторонний вызов. Схема ниже показывает, как Cartelta превращает этот клиентский момент в структурированный контекст для ИБ, владельцев продукта и аудита.

01

Браузер пользователя

02

Checkout-страница

03

Событие JSIR

04

Панель команды

Этап 1

Открытие сайта клиента

Пользователь заходит на сайт клиента и начинает сессию. На этом шаге схема показывает исходную точку клиентского сценария.

1. Браузер конечного клиента

Клиент платежной страницы

Пользователь открывает сайт

2-3. Платёжная страница

Скрипты платежной страницы

Платёжная страница загружается

Скрипты клиента

Логика оплаты

JSIR

Контроль страницы

4. JSIR

Сервер JSIR

Ожидание событий

Алерты

0

Статус

Ожидание

5. Кабинет

Панель клиента JSIR

Текущая сводка

Алерты

12

Новый алерт

Детализация события

Клиентская панель JSIR

Личный кабинет даёт клиенту понятную картину по платёжным страницам: детализация алертов, проблемные зоны платежных страниц и их контекст, а также рекомендации для их устранения.

Личный кабинет клиента

Статус
История
События

Общая оценка

Высокая

Зоны внимания

2

Сводка за период

Статус: большинство ключевых страниц выглядит устойчиво

Несколько проблемных зон требуют внимания команды

Обзор

Общее состояние платёжных страниц

Руководитель или владелец процесса видит сжатую картину: где всё стабильно, где появились зоны внимания и насколько ситуация меняется со временем.

Общее состояние платежных страниц

Динамика защищенности страниц

Постановка приоритетов для исправления несоответствия

Продукты Cartelta

Инструменты для CISO: обеспечение соответствия требованиям 6.4.3 и 11.6.1, снижение риска веб-скимминга и формирование артефактов для QSA и эквайеров.

JSIR (JavaScript Incident Response)

Автоматическая инвентаризация скриптов с назначением ответственных по требованию 6.4.3, динамическая генерация SRI, обнаружение изменений страницы на стороне конечного пользователя по требованию 11.6.1, оперативное оповещение и экспорт артефактов для QSA.


Подробнее о решении JSIR

PCI DSS Consulting

GAP-анализ версий PCI DSS 4.0 и 4.0.1, разработка плана достижения соответствия требованиям 6.4.3/11.6.1, подготовка TAR и артефактов, интеграция JSIR в процессы SOC и сопровождение до получения финального отчёта аудитора.


Подробнее