El Estándar de Seguridad de Datos de la Industria de Tarjetas de Pago (PCI DSS) tiene requisitos estrictos cuando se trata de implementar actualizaciones de seguridad y utilizar aplicaciones compatibles. Para cumplir con estos requisitos, es importante tener una política de parcheo en su lugar para sus servidores SQL. Este artículo le guiará a través del proceso de creación de una política de parcheo que cumpla con los estándares de PCI DSS.

Identificación de Vulnerabilidades de Seguridad en SQL Server

Antes de poder crear una política de parcheo, es necesario identificar las vulnerabilidades de seguridad que pueden afectar su entorno de SQL Server. Hay varias formas de obtener esta información, como verificar los Avisos y Boletines de Seguridad de Microsoft Technet, suscribirse a las Notificaciones Técnicas de Seguridad de Microsoft o navegar por la base de datos de vulnerabilidades específicas del proveedor y del producto en CVE Details. Una vez que haya identificado un riesgo de seguridad, debe asignar una clasificación de riesgo para priorizar los riesgos e identificar problemas críticos que deben solucionarse de inmediato.

Cuándo Instalar Parches de Seguridad para SQL Server

Según PCI DSS, los parches de seguridad críticos deben instalarse dentro de un mes después de su lanzamiento, mientras que las correcciones de seguridad no críticas deben instalarse dentro de tres meses después de su lanzamiento. Sin embargo, se recomienda instalar los parches críticos lo antes posible y los parches no críticos dentro de un mes. Se deben realizar verificaciones periódicas para asegurarse de que todos los parches de seguridad conocidos se hayan instalado en todos los servidores.

Existe un debate en curso en la comunidad de SQL Server con respecto a la instalación de actualizaciones acumulativas (CU). Algunos argumentan que estas correcciones no están completamente probadas y solo deben instalarse si hay problemas específicos con el SQL Server. Otros creen que siempre es mejor mantener el sistema actualizado. Se recomienda probar las CUs antes de implementarlas en un entorno de producción y seguir las recomendaciones de Microsoft.

Establecimiento de un Proceso de Control de Cambios para Correcciones de Seguridad

PCI DSS requiere que las organizaciones documenten todos los cambios en el entorno de producción, incluidas las correcciones de seguridad. La documentación debe incluir el impacto del cambio y la aprobación de las partes autorizadas. Se debe realizar una prueba de funcionalidad para verificar que el cambio solucione el problema y se debe realizar una prueba de regresión para asegurarse de que la corrección no afecte negativamente el sistema. También es importante probar el proceso de reversión para asegurarse de que el parche se pueda deshacer en caso de cualquier problema.

Durante las pruebas, se recomienda verificar si el parche se instala sin errores, si hay pasos de implementación específicos que seguir, si se requiere reiniciar el sistema, si todos los servicios de SQL Server se inician correctamente después de la instalación, si el SQL Server y las aplicaciones funcionan correctamente después de la instalación y si el parche se puede desinstalar correctamente si es necesario.

Packs de Servicio y Actualizaciones de Versión

PCI DSS requiere que las organizaciones revisen su software anualmente para confirmar que sigue siendo compatible con el proveedor y cumple con los requisitos de seguridad. Microsoft proporciona 12 meses de soporte para el paquete de servicio anterior cuando se lanza un nuevo paquete de servicio. Esto significa que puede utilizar el paquete de servicio anterior de su conjunto de SQL Server durante un máximo de un año antes de actualizar al último paquete de servicio. Es importante actualizar regularmente a nuevas versiones de SQL Server para cumplir con la política de ciclo de vida de soporte de Microsoft.

Resumen

En resumen, una política de parcheo compatible con PCI DSS para servidores SQL debe incluir lo siguiente:

• Un proceso para identificar y clasificar las vulnerabilidades de seguridad
• Instalación de parches de seguridad críticos dentro de un mes después de su lanzamiento
• Instalación de correcciones de seguridad no críticas dentro de tres meses después de su lanzamiento
• Documentación de cambios y proceso de aprobación
• Requisitos de prueba
• Proceso de instalación para minimizar el tiempo de inactividad
• Política de paquetes de servicio y actualización de versión

Al seguir estas pautas, puede asegurarse de que sus servidores SQL estén correctamente parcheados y cumplan con los requisitos de PCI DSS.