Вопросы по пункту 1.4 стандарта PCI DSS - Форум по вопросам информационной безопасности

Всем привет!

Изучаю стандарт PCI DSS v.2.0. Пункт 1.4 гласит: "Install personal firewall software on any mobile and/or employee-owned computers with direct connectivity to the Internet (for example, laptops used by employees), which are used to access the organization’s network."

Есть два вопроса к QSA или тем, кто проходил сертификацию по PCI DSS.
1) Относятся ли смартфоны к мобильным компьютерам?
2) Что такое в данном случае "direct connectivity to the Internet"? Если компьютер в офисе выходит в Интернет через NAT из приватной сети, то это "direct connectivity" или нет? Если нет, то нужен ли персональный фаерволл, если дома ноутбук выходит в интернет с публичным адресом, а в офисе через NAT из приватной сети?

Заранее спасибо тем, кто ответит.

"Включи логику!" (c)

Не в смысле обидеть, просто каждое требование PCI DSS логичным образом закрывает определенный набор угроз. Требование 1.4 - контрмера от угрозы "Если что-то используется и для доступа в процессинг, и для доступа в Инет, оно может быть затроянено через уязвимость одной из сетевых служб со всеми вытекающими отсюда последствиями".

1. Имеются в виду все мобильные устройства, которые используются для работы с процессингом. Т.е., если у вас на смартфоне стоирт мобильный клиент к какому-нибудь Way4, и вы им пользуетесь во внутренней сети процессинга, в остальной жизни вы должны защищать его от сетевых атак с помощью персонального файрвола. Кстати, требования по антивирусной защите и стандартизации конфигурации к нему тогда тоже относятся.

2. Под direct connectivity понимается потенциальная возможность доступа в инет, не контролируемого сетевыми средствами защиты, предусмотренными PCI DSS. Т.е. если в процессинге ваш ноут подключен во внутреннюю сеть, а после работы потенциально можете подключить его к сети через публичное подключение, на ноуте должен быть персональный файрвол.

malotavr, спасибо за отклик!

Попробую применить такую логику, но почти наверняка буду дальше постить некоторые глупые вопросы.

Ещё раз спасибо!

Не вопрос, продолжайте на Банкире - там больше специалистов по PCI DSS.