14、信息安全合规：法规影响与安全计划制定

信息安全合规：法规影响与安全计划制定

1. 引言

在当今数字化时代，漏洞评估（VAs）和渗透测试（pen tests）一直是信息安全计划的重要组成部分。过去，安全管理人员可以自主决定这些测试的时间、方式和范围，错过一两次评估也并非大事。然而，如今企业和行业面临着众多合规法规的约束，我们在创建和实施信息安全计划时已不能随心所欲。接下来，我们将探讨法规对漏洞评估和渗透测试的影响，以及如何制定信息安全计划以适应不断变化的商业环境。

2. 法规对评估和测试的规范

大多数组织都受到不止一项政府或行业法规的约束。以下是一些常见法规及其对漏洞评估和渗透测试的影响：

2.1 支付卡行业（PCI）标准

• 背景 ：互联网和电子商务的发展使信用卡数据更容易被盗取。为应对这一问题，信用卡公司自2001年起开始制定数据保护标准。2004年，信用卡公司要求商家和服务提供商遵守PCI或其接受或处理信用卡的数据保护标准。
• 要求 ：
  | 要求编号 | 要求描述 |
  | — | — |
  | 11 | 定期测试安全系统和流程。 |
  | 11.2 | 至少每季度进行一次内部和外部网络漏洞扫描，并在网络发生重大变化后进行扫描。外部漏洞扫描必须由PCI认可的扫描供应商执行。 |
  | 11.3 | 每年至少对网络基础设施和应用程序进行一次渗透测试，并在基础设施或应用程序发生重大升级或修改后进行测试。 |
• 部分批准的PCI VA供应商 ：
  | 供应商名称 | 产品名