release-management - PCI DSS 和发布部署自动化

Question

PCI DSS 规则之一是:

“PCI DSS 适用于持卡人数据环境中包含或连接的所有系统组件”

您将如何处理 SCM/发布自动化服务器？必须从开发网段中的某些服务器打开一个端口，使其通往产品网络设置中的某些服务器。

开发人员生成代码，然后构建管理器生成发布工件。发布工件必须投入生产。发布工件如何从开发到生产——它们如何从“不在范围内”的开发箱到“在范围内”的生产箱？

Answer 1

对此可能没有一个很好的答案。据我所知，你不可能有一个真正自动化的持续部署解决方案，它不会导致“范围内”爬回开发系统。因此，您必须在部署中涉及手动步骤，但您可以使该步骤尽可能小。

在我最近研究的零售系统中(约 80 个位置的约 100 个收银机)，我们选择了一个恰好有一些额外网络带宽的收银机，并将其指定为“孤岛”系统。我们可以将更新作为单个文件(zip 或其他文件)并将其放到该系统上，它会安装在那里，然后传播到所有位置的所有其他寄存器。因此，我们将手动工作的范围缩小到单个寄存器上的单个文件。

跨越这座桥的最安全和最简单的方法是 SneakerNet——每次有软件更新时，将拇指驱动器上的文件带到该系统——但可以使用远程桌面方法将文件复制到该系统并保留在该系统中范围，只要该过程不是自动化的并且您在完全不相关的网络上。