支付卡行业DSS - 将卡持有人数据存储在未连接到互联网的系统中

Question

背景

虽然我已经浏览了一些关于堆栈溢出的帖子，但部分涵盖了这一点，我还没找到提供全面问题/答案的帖子。

作为POS系统的开发者，PCI DSS有两个我感兴趣的组件：

• 关于我开发的软件的PA DSS（付款申请）
• PCI DSS（商家），它关注所有使用该软件的客户

PA DSS似乎最直言不讳：

＆＃34; 9.1必须开发支付应用程序，使得数据库服务器和Web服务器不需要位于同一服务器上，数据库服务器也不需要与Web服务器一起位于DMZ中。

测试程序：

9.1.a要验证支付应用程序将持卡人数据存储在内部网络中，并且从不在DMZ中，请获取支付应用程序不需要在DMZ中存储数据的证据，并允许使用DMZ进行分离来自存储持卡人数据的系统的互联网（例如，支付应用程序不得要求数据库服务器和Web服务器在同一服务器上，或在与服务器的DMZ中）。

9.1.b如果客户可以在连接到Internet的服务器上存储持卡人数据，请检查供应商准备的PA-DSS实施指南，以验证客户和经销商/集成商是否被告知不要在互联网可访问的系统上存储持卡人数据（例如，Web服务器和数据库服务器不能在同一台服务器上。）

来自商家的PCI DSS：

1.3.5限制从持卡人数据环境到Internet的出站流量，使出站流量只能访问DMZ内的IP地址。

问题

我的问题很简单 - 数据库和应用服务器在逻辑上是不同的（在不同的虚拟化操作系统上），还是它们在物理上是不同的（在不同的物理/专用服务器上）？

另外，我有点担心必须放置一个没有连接到Internet的数据库服务器。我该如何远程管理这台服务器？ 或者可以通过应用程序服务器访问数据库服务器 - 虽然这肯定会破坏目的吗？

Answer 1

遗憾的是，没有简单的答案。

SSC发布了一个关于虚拟化的新补充，其中包含一些相关信息：https://www.pcisecuritystandards.org/documents/Virtualization_InfoSupp_v2.pdf

虽然不禁止在同一个虚拟机管理程序上混用不同功能的客户操作系统，但您需要证明您已经考虑过这会带来额外的风险。

它们还必须在逻辑上将网络流量从一个VM分离到另一个VM，通过某种防火墙来保护不同的操作系统和应用程序。在同一个物理主机上并不是跳过防火墙等控件的借口，因此您可能需要对如何满足这些要求充满创意。