PCI DSS v4.0.1-vereiste voor CBOM: een beknopte handleiding

Kort antwoord: PCI DSS v4.0.1 Vereiste 12.3.3 vereist dat elke organisatie die kaartgegevens van kaarthouders opslaat, verwerkt of verzendt, een gedocumenteerde en gecontroleerde inventaris bijhoudt van elke gebruikte cryptografische cipher suite en elk protocol, een Cryptographic Bill of Materials (CBOM). Deze vereiste werd op 31 maart 2025 een verplichte, gecontroleerde beheersmaatregel, samen met de gerelateerde inventaris van sleutels en certificaten in Vereiste 4.2.1.1. De aanbevolen actie: stel een versiebeheerde CBOM op die algoritmen, sleutels, certificaten en bibliotheken omvat, wijs een verantwoordelijke toe en controleer deze minstens elke 12 maanden.

Key afhaalrestaurants

• De PCI DSS v4.0.1-vereisten 12.3.3 en 4.2.1.1 zijn niet langer "toekomstige" vereisten, maar worden vanaf 31 maart 2025 volledig beoordeeld. QSA's toetsen deze vereisten nu bij elke beoordeling.
• Een cryptografische materiaallijst (CBOM) is het praktische mechanisme om te voldoen aan 12.3.3: een gestructureerde, versiebeheerde inventaris van elke cipher suite, protocol, algoritme, sleutel en certificaat in de omgeving met kaartgegevens.
• De vereiste bestaat uit drie onderdelen: het bijhouden van de inventaris, het actief monitoren van trends in het uitfaseren van technologieën in de sector, en het documenteren van een responsplan voor het geval een versleuteling of protocol onveilig wordt.
• Vereiste 4.2.1.1 (vertrouwde sleutels en certificaten) en vereiste 12.3.3 (coderingssuites en protocollen) zijn complementair en dienen te worden ontwikkeld vanuit hetzelfde ontdekkingsproces, en niet als afzonderlijke projecten te worden behandeld.
• Een auditklare CBOM vereist een aangewezen eigenaar, een schriftelijk vastgelegde evaluatiecyclus van 12 maanden en bewijsmateriaal dat direct aansluit op de QSA-beoordelingsprocedures voor beide vereisten.

Gepubliceerd: juli 2025 | Bijgewerkt: augustus 2026 | Beoordeeld door het compliance-adviessteam van Encryption Consulting

Dit bericht maakt deel uit van de serie over cryptografische compliance van Encryption Consulting. Het vormt een aanvulling op onze handleidingen over de verschillen tussen CBOM en SBOM , de NIST SP 800-53-controlemapping en het FIPS 140-3-overgangsdraaiboek , die elk gericht zijn op de specifieke verwachtingen ten aanzien van de cryptografische inventaris van een bepaald compliancekader.

Wat is PCI DSS-vereiste 12.3.3 en wat is een CBOM?

De Payment Card Industry Data Security Standard (PCI DSS) is de beveiligingsstandaard die wordt beheerd door de PCI Security Standards Council (PCI SSC) voor elke organisatie die betaalkaartgegevens opslaat, verwerkt of verzendt. PCI DSS v4.0.1 , gepubliceerd in juni 2024, is een verduidelijkende herziening van v4.0 en is op het moment van schrijven nog steeds de huidige versie van de standaard; de raad heeft nog geen tijdschema voor v4.1 of v5.0 gepubliceerd.

Vereiste 12.3.3 stelt dat een organisatie een actuele inventaris moet documenteren van alle gebruikte cryptografische cipher suites en protocollen, inclusief doel en gebruikslocatie, actief trends in de sector moet volgen met betrekking tot de blijvende levensvatbaarheid van die cryptografie, en een plan moet opstellen voor de aanpak van verwachte veranderingen in cryptografische kwetsbaarheden. Een Cryptographic Bill of Materials (CBOM) is het document dat aan alle drie de onderdelen voldoet: een gestructureerde, machinaal leesbare inventaris van cipher suites, protocollen, algoritmen, sleutellengtes, certificaten en de cryptografische bibliotheken en modules (OpenSSL, BoringSSL, HSM-firmware) die deze implementeren, elk gekoppeld aan het systeem of de dienst waarop deze draait.

Vereiste 4.2.1.1 is de nauw verwante eis: deze vereist een inventaris van vertrouwde sleutels en certificaten die worden gebruikt om primaire accountgegevens (PAN) tijdens transport te beschermen. De meeste organisaties stellen beide inventarissen samen via hetzelfde ontdekkingsproces, aangezien een certificaatinventaris en een cipher suite-inventaris in de praktijk sterk overlappen.

Hoe verhouden vereisten 12.3.3 en 4.2.1.1 zich tot beheersmaatregelen, eigenaren en bewijsmateriaal?

Het behalen van een QSA-beoordeling betekent dat elke subvereiste terug te voeren is op een benoemde controle, een benoemde eigenaar en een bewijsstuk dat de beoordelaar kan inspecteren. De onderstaande tabel toont de mapping die Encryption Consulting gebruikt bij het definiëren van de scope van een CBOM-opdracht in het kader van PCI DSS v4.0.1.

eis	Controleer:	Eigenaar	bewijsmateriaal artefact
12.3.3(a) inventaris van cipher suites en protocollen	Gearchiveerd CBOM-register dat alle cipher suites, protocollen en algoritmen in de CDE omvat.	Cryptografie / beveiligingstechniek	Geëxporteerd CBOM-bestand met ingevulde velden voor systeem, doel en locatie.
12.3.3(b) toezicht houden op de levensvatbaarheid van de industrie	Abonnement op NIST-, IETF- en CVE-waarschuwingen voor verouderde software met een vastgestelde beoordelingsfrequentie.	Beveiligingstechniek / GRC	Monitoringlogboek en jaarlijkse evaluatie met goedkeuring, gedateerd binnen 12 maanden.
12.3.3(c) gedocumenteerd responsplan	Runbook voor de reactie op cryptografische kwetsbaarheden met tijdlijnen en betrokken partijen	Beveiligingstechniek / incidentrespons	Een responsplan en bewijs van ten minste één simulatieoefening.
4.2.1.1 Vertrouwde sleutel- en certificaatinventaris	Certificaat- en sleutelinventaris gekoppeld aan PAN-systemen die onderweg zijn.	PKI-/certificaatlevenscyclusteam	Export van certificaatinventaris en logboek voor toewijzing van sleutelbeheerders
3.6 / 3.7 sleutelbeheer voor opgeslagen accountgegevens	Gedocumenteerde beheersprocedures voor de belangrijkste producten, waaronder generatie, rotatie en vernietiging.	Belangrijk managementteam	Uittreksels uit het sleutelbeheerbeleid en het HSM-auditlogboek.
12.10.5 Incidentrespons voor kritieke meldingen	Het incidentresponsplan is expliciet gericht op cryptografische en IDS-/veranderingsdetectie-waarschuwingen.	Beveiligingsoperaties	IR-plan met cryptospecifiek escalatiepad

Wat zijn de implementatiestappen voor het bouwen van een PCI DSS-compatibel CBOM?

1. Ontdek Alle cryptografische elementen in de omgeving met kaartgegevens: cipher suites en protocollen via netwerk- en endpointscans (nmap, sslscan of tools voor continue detectie), plus certificaten, sleutels, bibliotheken en HSM/TPM-modules.
2. Classificeer en contextualiseer Elke bevinding: doel (bijvoorbeeld "TLS-beëindiging voor de API-gateway die toegankelijk is voor kaarthouders") en locatie (systeem, service of integratie met derden).
3. Bouw het CBOM-register op. in een versiebeheerd formaat, zodat elke wijziging, afschrijving en herstelactie in de loop van de tijd wordt bijgehouden in plaats van overschreven.
4. Eigendom toewijzen Stuur elk cryptografisch domein (coderingssuites, certificaten, sleutels, HSM's) naar een specifiek team, niet naar een algemene beveiligingsmailbox.
5. Stel de evaluatiecyclus van 12 maanden vast. schriftelijk, afgestemd op de PCI DSS-beoordelingskalender van de organisatie, zodat de beoordelingsdatum zelf een vaststaand gegeven wordt.
6. Abonneer u op bronnen voor verouderde informatie.: NIST-, IETF- en CVE-adviezen, zodat een versleuteling die van "goedgekeurd" naar "afgeraden" gaat, wordt opgemerkt voordat een beoordelaar ernaar vraagt.
7. Documenteer het responsplan.: tijdlijnen voor het uitfaseren van een encryptiealgoritme, fallback-configuratie, verantwoordelijke belanghebbenden en validatiestappen vóór de ingebruikname.
8. Verpak het bewijsmateriaal De QSA zal vragen om: CBOM-export, monitoringlogboek, responsplan en de certificaat-/sleutelinventaris die vereist is onder 4.2.1.1.

Wat is de huidige status van PCI DSS v4.0.1 en welke deadline geldt er nu?

PCI DSS v4.0.1 is de huidige gepubliceerde versie van de standaard. Versie 3.2.1 is eind maart 2024 volledig uitgefaseerd en de "toekomstige" vereisten die in v4.0 zijn geïntroduceerd, waaronder vereiste 12.3.3 en vereiste 4.2.1.1, werden verplichte, beoordeelde vereisten op 31 maart 2025. Die datum is inmiddels verstreken: vanaf deze update worden beide vereisten exact behandeld als elke andere PCI DSS-controle tijdens een nalevingsrapport of zelfbeoordelingsvragenlijst. Er is geen overgangsperiode meer en de PCI SSC heeft geen openbare planning bekendgemaakt voor een v4.1- of v5.0-release. Organisaties moeten daarom voorlopig rekening houden met v4.0.1 als basislijn.

Wat zijn de beperkingen van een op CBOM gebaseerde aanpak?

• Een CBOM is slechts zo compleet als het ontdekkingsproces erachter; onbeheerde schaduwcertificaten, hardgecodeerde API-sleutels en interne oost-west TLS-verbindingen zijn de meest voorkomende blinde vlekken.
• Vereiste 12.3.3 schrijft geen specifiek hulpmiddel of bestandsformaat voor, dus QSA's accepteren verschillende CBOM-implementaties zolang aantoonbaar aan de drie subvereisten wordt voldaan.
• Een inventaris die niet onder versiebeheer valt, kan niet bewijzen dat er daadwerkelijk een evaluatie na 12 maanden heeft plaatsgevonden; een spreadsheet die elk jaar wordt overschreven, voldoet noch aan de geest, noch aan de praktijk van de meeste QSA-testprocedures.
• De reikwijdte van CBOM onder PCI DSS is beperkt tot de omgeving met kaartgegevens; organisaties die een breder cryptografisch beheer nastreven (NIST SP 800-53, FIPS 140-3 of crypto-agility-programma's) hebben een inventarisatie met een bredere reikwijdte nodig dan strikt genomen vereist is in paragraaf 12.3.3.

Auditklare checklist voor vereiste 12.3.3

1. CBOM-export met alle cipher suites, protocollen, algoritmen en sleutellengtes in de CDE, waarbij het doel en de locatie voor elke vermelding zijn ingevuld.
2. Certificaat en sleutelinventaris die voldoen aan vereiste 4.2.1.1, met verwijzing naar de CBOM.
3. Gedocumenteerde evaluatiecyclus van 12 maanden, met vermelding van de datum en naam van de meest recente goedkeuring.
4. Monitoringlogboek met weergave van abonnementen op NIST-, IETF- of CVE-waarschuwingen inzake verouderde systemen.
5. Plan voor de reactie op cryptografische kwetsbaarheden met vastgestelde tijdlijnen, noodmaatregelen en betrokken partijen.
6. Bewijs van ten minste één tabletop-oefening of gesimuleerde reactie op een afschrijvingsprobleem.
7. Aan elk cryptografisch domein (cipher suites, certificaten, sleutels, HSM's) is een eigenaar toegewezen met een specifieke naam.
8. Versiegeschiedenis van het CBOM-register, met weergave van wijzigingen in de loop der tijd, en niet een enkele statische momentopname.

Wat zou Encryption Consulting aanbevelen?

Beschouw vereisten 12.3.3 en 4.2.1.1 als één ontdekkingsproject, niet als twee. Organisaties die een certificaatinventaris los van een cipher suite-inventaris opbouwen, scannen doorgaans dezelfde omgeving tweemaal, één keer voor elke vereiste, terwijl één CBOM-ontdekkingsronde met het juiste datamodel beide dekt. ​​Wij raden aan te investeren in continue ontdekking in plaats van een momentopname: omgevingen met kaartgegevens veranderen tussen beoordelingscycli en een CBOM die eenmaal is opgebouwd en nooit is bijgewerkt, vormt een compliance-risico vermomd als een compliance-artefact. Combineer de CBOM met ons CBOM Secure- platform voor continue ontdekking en onze Compliance Advisory Services voor een gap-analyse ten opzichte van de exacte QSA-testprocedures voor v4.0.1.

Veelgestelde Vragen / FAQ

Wat is PCI DSS-vereiste 12.3.3?

Het vereist van organisaties die onder de PCI DSS-regelgeving vallen dat ze een gedocumenteerde, actuele inventaris bijhouden van alle gebruikte cryptografische cipher suites en protocollen, trends in de sector volgen met betrekking tot hun blijvende bruikbaarheid en een plan opstellen voor de aanpak van verwachte cryptografische kwetsbaarheden. Het werd een verplichte, getoetste vereiste op 31 maart 2025.

Is een CBOM verplicht onder PCI DSS?

PCI DSS noemt "CBOM" niet als een verplicht document, maar een CBOM is voor de meeste organisaties de praktische manier om te voldoen aan de subvereisten van vereiste 12.3.3 met betrekking tot inventarisatie, monitoring en responsplan, in een vorm die een QSA kan toetsen.

Wat is het verschil tussen CBOM en SBOM onder PCI DSS?

Een Software Bill of Materials (SBOM) inventariseert alle softwarecomponenten in een applicatie. Een CBOM beperkt die scope tot specifiek cryptografische elementen: cipher suites, protocollen, algoritmen, sleutels en certificaten. PCI DSS-vereiste 12.3.3 heeft betrekking op de scope van de CBOM, niet op de bredere SBOM. Zie onze handleiding CBOM vs. SBOM voor een volledige vergelijking.

Wat gebeurt er als een organisatie geen cryptografische inventaris bijhoudt?

Sinds 31 maart 2025 leidt het niet aantonen van naleving van vereiste 12.3.3 tot een bevinding tijdens het nalevingsrapport of de zelfbeoordelingsvragenlijst, net als elke andere tekortkoming in de PCI DSS-controle. Dit kan de certificering vertragen en, afhankelijk van het beleid van de acquirerende bank, gevolgen hebben voor de verwerkingsbevoegdheden.

Hoe vaak moet de cryptografische inventaris worden gecontroleerd?

Minimaal eens per 12 maanden, en de datum van de controle zelf moet als bewijs worden vastgelegd, niet alleen het bestaan ​​van een inventaris.

Klaar om de kloof te dichten? Neem contact op met Encryption Consulting via [email protected] om een ​​CBOM-onderzoekstraject af te stemmen op PCI DSS v4.0.1.

Referenties

• PCI DSS v4.0.1, PCI Security Standards Council
• PCI SSC: Zojuist gepubliceerd, PCI DSS v4.0.1
• Raad voor PCI-beveiligingsnormen