Seminar Detectify PCI ASV – Scanprofile, Compliance und Evidenz

Das Seminar behandelt die Planung und Durchführung externer PCI-ASV-Scans in Detectify. Scope, Verantwortlichkeiten, Scanprofile, wiederkehrende Prüfungen, Ergebnisse, Remediation, Nachprüfung, Attestation und Evidenz werden klar von regulären Sicherheits- und internen Scans abgegrenzt.

Inhaltsübersicht

• Lernziele und fachliche Einordnung
• Schrittweise Seminarinhalte
• Praxisübungen und Laborszenarien
• Zielgruppe und Voraussetzungen
• Didaktik und Arbeitsweise

Lernziele

• PCI-ASV-Scope und Verantwortlichkeiten eindeutig bestimmen.
• Externe Scanprofile vollständig und prüffähig konfigurieren.
• Ergebnisse, Streitfälle, Remediation und Nachscans kontrolliert bearbeiten.
• Compliance-Status, Berichte und Attestation korrekt verwalten.
• ASV-, interne und reguläre Detectify-Scans sachgerecht voneinander abgrenzen.

Schrittweise Seminarinhalte

1. PCI-ASV-Rollen, Scope und Prüfkalender

Schwerpunkt: Cardholder Data Environment, internetseitige Systeme, Merchant oder Service Provider, ASV, interne Verantwortliche, vierteljährliche Prüfungen und Änderungen.

1. Ausgangslage, Schutzbedarf und messbare Zielkriterien für den Themenblock „PCI-ASV-Rollen, Scope und Prüfkalender“ erfassen.
2. Relevante Objekte, Rollen, Datenflüsse und Abhängigkeiten anhand von Cardholder Data Environment, internetseitige Systeme, Merchant oder Service Provider, ASV, interne Verantwortliche, vierteljährliche Prüfungen und Änderungen modellieren.
3. Die erforderliche Konfiguration beziehungsweise Prozessfolge im Laborsystem schrittweise umsetzen und jeden sicherheitsrelevanten Zwischenschritt protokollieren.
4. Funktion, Berechtigungen, Abdeckung, Protokollierung und Fehlerverhalten mit definierten Positiv-, Negativ- und Grenzfällen prüfen.
5. Als Arbeitsergebnis eine freigegebene Scope-, Rollen- und Terminmatrix dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

2. Scanprofile und Zielsysteme

Schwerpunkt: IP-Adressen, Domains, Ports, Erreichbarkeit, WAF, Eigentümer, ausgeschlossene Systeme, Verifizierung, Profilpflege und Abnahme.

1. Ausgangslage, Schutzbedarf und messbare Zielkriterien für den Themenblock „Scanprofile und Zielsysteme“ erfassen.
2. Relevante Objekte, Rollen, Datenflüsse und Abhängigkeiten anhand von IP-Adressen, Domains, Ports, Erreichbarkeit, WAF, Eigentümer, ausgeschlossene Systeme, Verifizierung, Profilpflege und Abnahme modellieren.
3. Die erforderliche Konfiguration beziehungsweise Prozessfolge im Laborsystem schrittweise umsetzen und jeden sicherheitsrelevanten Zwischenschritt protokollieren.
4. Funktion, Berechtigungen, Abdeckung, Protokollierung und Fehlerverhalten mit definierten Positiv-, Negativ- und Grenzfällen prüfen.
5. Als Arbeitsergebnis ein vollständiges und prüffähiges ASV-Scanprofil dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

3. Scanlauf und Ergebnisbewertung

Schwerpunkt: Scanstatus, technische Befunde, Compliance-Status, False-Positive-Prüfung, Scopefehler, blockierter Verkehr, Priorität und Zuständigkeit.

1. Ausgangslage, Schutzbedarf und messbare Zielkriterien für den Themenblock „Scanlauf und Ergebnisbewertung“ erfassen.
2. Relevante Objekte, Rollen, Datenflüsse und Abhängigkeiten anhand von Scanstatus, technische Befunde, Compliance-Status, False-Positive-Prüfung, Scopefehler, blockierter Verkehr, Priorität und Zuständigkeit modellieren.
3. Die erforderliche Konfiguration beziehungsweise Prozessfolge im Laborsystem schrittweise umsetzen und jeden sicherheitsrelevanten Zwischenschritt protokollieren.
4. Funktion, Berechtigungen, Abdeckung, Protokollierung und Fehlerverhalten mit definierten Positiv-, Negativ- und Grenzfällen prüfen.
5. Als Arbeitsergebnis einen standardisierten ASV-Ergebnisreview dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

4. Remediation, Nachscan und Streitfall

Schwerpunkt: Behebungsplan, technische Änderung, Evidenz, Wiederholungsprüfung, Fristen, Ausnahmegrenzen, Eskalation und Abschluss.

1. Ausgangslage, Schutzbedarf und messbare Zielkriterien für den Themenblock „Remediation, Nachscan und Streitfall“ erfassen.
2. Relevante Objekte, Rollen, Datenflüsse und Abhängigkeiten anhand von Behebungsplan, technische Änderung, Evidenz, Wiederholungsprüfung, Fristen, Ausnahmegrenzen, Eskalation und Abschluss modellieren.
3. Die erforderliche Konfiguration beziehungsweise Prozessfolge im Laborsystem schrittweise umsetzen und jeden sicherheitsrelevanten Zwischenschritt protokollieren.
4. Funktion, Berechtigungen, Abdeckung, Protokollierung und Fehlerverhalten mit definierten Positiv-, Negativ- und Grenzfällen prüfen.
5. Als Arbeitsergebnis einen kontrollierten Remediation- und Rescan-Prozess dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

5. Berichte, Attestation und Abgrenzung

Schwerpunkt: offizielle Nachweise, Attestation, Aufbewahrung, Bank oder Acquirer, interne Scans, reguläre DAST-Scans, Verantwortungsmatrix und Auditpaket.

1. Ausgangslage, Schutzbedarf und messbare Zielkriterien für den Themenblock „Berichte, Attestation und Abgrenzung“ erfassen.
2. Relevante Objekte, Rollen, Datenflüsse und Abhängigkeiten anhand von offizielle Nachweise, Attestation, Aufbewahrung, Bank oder Acquirer, interne Scans, reguläre DAST-Scans, Verantwortungsmatrix und Auditpaket modellieren.
3. Die erforderliche Konfiguration beziehungsweise Prozessfolge im Laborsystem schrittweise umsetzen und jeden sicherheitsrelevanten Zwischenschritt protokollieren.
4. Funktion, Berechtigungen, Abdeckung, Protokollierung und Fehlerverhalten mit definierten Positiv-, Negativ- und Grenzfällen prüfen.
5. Als Arbeitsergebnis ein vollständiges PCI-ASV-Evidenz- und Abgrenzungspaket dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

Praxisübungen und Laborszenarien

• Erstellung eines PCI-ASV-Scopes aus einer beispielhaften Payment-Architektur.
• Review eines Scanprofils auf fehlende oder falsch zugeordnete externe Ziele.
• Durchspielen von Finding, Remediation, Nachscan und Evidenzübergabe.

Zielgruppe und Voraussetzungen

Zielgruppe: PCI- und Compliance-Verantwortung, Informationssicherheit, Netzwerkbetrieb, Payment Engineering, AppSec und Auditvorbereitung.

Voraussetzungen: Grundverständnis von PCI DSS, internetseitigen Systemen, Schwachstellenscans und organisatorischer Nachweisführung.

Didaktik und Arbeitsweise

Kompakte Fachimpulse werden unmittelbar durch Demonstrationen, strukturierte Arbeitsschritte und kontrollierte Praxisfälle vertieft. Jede Übung besitzt definierte Ausgangswerte, Prüfpunkte und Dokumentationsanforderungen.