Automatisch Invullen Van Betaalinformatie Uitgeschakeld

Automatisch invullen van creditcardgegevens vormt een kritiek beveiligingsrisico voor organisaties die werken met financiële transacties. Deze functionaliteit slaat creditcardnummers, vervaldatums, CVV-codes en kaarthoudernamen op in de browserdatabase, waardoor gevoelige financiële informatie permanent op het apparaat wordt bewaard. Het risico manifesteert zich op meerdere manieren die directe gevolgen hebben voor de beveiligingspostuur van organisaties. Ten eerste kunnen kwaadaardige softwareprogramma's de browserdatabases lezen en volledige creditcardgegevens exfiltreren zonder dat gebruikersinteractie nodig is. Dit betekent dat malware die toegang krijgt tot een apparaat, direct toegang heeft tot alle opgeslagen betaalgegevens zonder dat de gebruiker hiervan op de hoogte is. Ten tweede kunnen phishingwebsites met onzichtbare formuliervelden complete kaartgegevens ophalen via de automatische invulfunctie. Wanneer een gebruiker een website bezoekt die er legitiem uitziet maar kwaadaardige code bevat, kunnen aanvallers onzichtbare velden plaatsen die automatisch worden ingevuld wanneer de browser de autofill-functie activeert. Dit resulteert in volledige creditcardgegevens die direct naar de aanvaller worden gestuurd zonder dat de gebruiker dit doorheeft. Ten derde zijn bij diefstal of compromittering van een apparaat de financiële gegevens direct toegankelijk voor de aanvaller. Zelfs als het apparaat is vergrendeld, kunnen geavanceerde aanvalstechnieken de versleutelde browserkluizen doorbreken en toegang krijgen tot opgeslagen creditcardgegevens. Ten vierde kan browsersynchronisatie creditcardgegevens naar de cloud synchroniseren, wat een aanvullend aanvalsoppervlak creëert. Dit betekent dat gegevens niet alleen lokaal op het apparaat staan, maar ook in cloudopslag, waardoor het risico op gegevenslekken exponentieel toeneemt. Ten vijfde kunnen lokale privilege-escalatie-aanvallen versleutelde browserkluizen doorbreken, waardoor zelfs versleutelde opslag niet voldoende bescherming biedt tegen vastberaden aanvallers. De Payment Card Industry Data Security Standard (PCI-DSS) verbiedt expliciet de opslag van volledige trackdata, CVV2-codes en PIN-gegevens na autorisatie. Browsergebaseerde creditcardopslag voldoet niet aan de PCI-DSS-vereisten voor bescherming van kaarthoudergegevens, wat betekent dat organisaties die deze functionaliteit toestaan, direct in strijd zijn met compliancevereisten. In een praktijkscenario bezoekt een gebruiker een gecompromitteerde webshop. De website heeft verborgen formuliervelden voor kaartnummer, vervaldatum en CVV-code. Wanneer de autofill-functie wordt geactiveerd, worden alle velden, inclusief de verborgen velden, automatisch ingevuld. De aanvaller haalt vervolgens complete betaalgegevens op via onzichtbare exfiltratie, zonder dat de gebruiker zich hiervan bewust is. Voor bedrijfsomgevingen is creditcardautofill fundamenteel incompatibel met zero-trust-architecturen, datagovernancebeleid en financieel beheer. Zero-trust-principes vereisen dat alle gegevens worden beschermd alsof ze zich in een onveilige omgeving bevinden, en het opslaan van gevoelige financiële gegevens in browserdatabases is in strijd met deze principes. Organisaties die PCI-DSS-conform moeten zijn, zoals retailbedrijven, e-commerceplatforms en betaalverwerkers, moeten creditcardautofill verplicht uitschakelen om te voldoen aan wettelijke en compliancevereisten.

Implementatie

Deze beveiligingsmaatregel configureert de registerwaarde AutofillCreditCardEnabled op 0 via het registerpad HKLM:\SOFTWARE\Policies\Microsoft\Edge\AutofillCreditCardEnabled. Deze configuratie voorkomt dat gebruikers creditcardgegevens kunnen opslaan in Microsoft Edge en blokkeert automatisch invullen van betaalformuliervelden. Gebruikers moeten betaalgegevens handmatig invoeren of goedgekeurde betaalprocessors gebruiken, zoals bedrijfsinkoopsystemen met beheerde betaalstromen. Voor zakelijke gebruiksscenario's wordt aanbevolen om gecentraliseerde betaalautorisatie te implementeren via inkoopsystemen in plaats van individuele kaartopslag. Dit zorgt voor betere controle, auditmogelijkheden en compliance met organisatiebeleid en regelgeving.

Vereisten

Voor een succesvolle implementatie van deze beveiligingsmaatregel moeten organisaties voldoen aan een reeks technische, organisatorische en compliance-vereisten. Deze vereisten vormen de basis voor een effectieve implementatie die zowel de beveiliging als de operationele continuïteit waarborgt. Het begrijpen en voorbereiden van deze vereisten is essentieel voordat de implementatie wordt gestart, omdat ontbrekende componenten kunnen leiden tot implementatiefouten, complianceproblemen of operationele verstoringen.

Vanuit technisch perspectief vereist deze maatregel Microsoft Edge browser versie 77 of hoger. Deze versievereiste is belangrijk omdat eerdere versies mogelijk niet volledig ondersteuning bieden voor de registerbeleidsinstellingen die nodig zijn om creditcardautofill uit te schakelen. Organisaties moeten een inventarisatie uitvoeren van alle apparaten in hun omgeving om te bepalen welke apparaten voldoen aan deze vereiste en welke mogelijk een upgrade nodig hebben. Voor apparaten die nog oudere versies gebruiken, moet een upgradeplan worden ontwikkeld dat prioriteit geeft aan apparaten die worden gebruikt voor financiële transacties of die toegang hebben tot gevoelige systemen.

Het besturingssysteem moet Windows 10, Windows 11 of Windows Server 2016 of hoger zijn. Deze vereiste is noodzakelijk omdat de registerbeleidsinstellingen die worden gebruikt voor deze configuratie alleen correct worden ondersteund op deze versies van Windows. Voor organisaties die nog oudere besturingssystemen gebruiken, zoals Windows 7 of Windows Server 2012, moet een migratieplan worden ontwikkeld, omdat deze systemen niet alleen incompatibel zijn met deze beveiligingsmaatregel, maar ook algemene beveiligingsrisico's vormen vanwege het ontbreken van beveiligingsupdates.

Administratorrechten zijn vereist voor de implementatie van beleidsinstellingen via Group Policy of Microsoft Intune. Dit betekent dat de persoon of het team dat verantwoordelijk is voor de implementatie, voldoende rechten moet hebben om registerbeleidsinstellingen te configureren en te distribueren naar alle apparaten in de organisatie. Voor grote organisaties kan dit betekenen dat coördinatie nodig is tussen verschillende IT-teams, zoals het endpointbeheerteam, het securityteam en het netwerkbeheerteam. Het is belangrijk om te documenteren wie verantwoordelijk is voor welke aspecten van de implementatie om verwarring en gaten in de implementatie te voorkomen.

Vanuit complianceperspectief is documentatie van PCI-DSS-compliancevereisten essentieel. Organisaties die onder de scope van PCI-DSS vallen, moeten kunnen aantonen dat zij maatregelen hebben genomen om creditcardgegevens te beschermen. Dit betekent dat alle implementatiebeslissingen, configuraties en monitoringactiviteiten moeten worden gedocumenteerd voor auditdoeleinden. De documentatie moet duidelijk maken waarom deze maatregel is geïmplementeerd, hoe deze is geïmplementeerd, en hoe de effectiviteit wordt gemonitord. Deze documentatie is niet alleen belangrijk voor interne compliance, maar ook voor externe audits door PCI-DSS-auditors of certificeringsinstanties.

Alternatieve betaalworkflows voor zakelijke uitgaven moeten worden ontwikkeld voordat creditcardautofill wordt uitgeschakeld. Dit is cruciaal omdat gebruikers anders geen manier hebben om legitieme zakelijke betalingen uit te voeren, wat kan leiden tot operationele verstoringen of gebruikers die creatieve maar onveilige oplossingen zoeken. Organisaties moeten alternatieve methoden identificeren en implementeren, zoals gecentraliseerde inkoopsystemen, virtuele creditcardnummers, of goedgekeurde betaalprocessors met tokenisatie. Deze alternatieven moeten gebruiksvriendelijk zijn en voldoen aan de operationele behoeften van de organisatie, anders bestaat het risico dat gebruikers deze omzeilen of omzeilen.

Gebruikerstraining over goedgekeurde betaalmethoden is essentieel om ervoor te zorgen dat gebruikers begrijpen waarom deze maatregel is geïmplementeerd en hoe zij legitieme betalingen kunnen uitvoeren zonder creditcardautofill te gebruiken. Training moet niet alleen technische instructies bevatten over hoe alternatieve methoden te gebruiken, maar ook uitleggen over de beveiligingsrisico's die worden gemitigeerd door deze maatregel. Dit helpt gebruikers te begrijpen dat de maatregel niet bedoeld is om hen te hinderen, maar om hen en de organisatie te beschermen tegen beveiligingsincidenten. Training moet worden gegeven voordat de maatregel wordt geïmplementeerd, zodat gebruikers voorbereid zijn wanneer de wijziging plaatsvindt.

Integratie met inkoopsystemen voor zakelijke betalingen kan nodig zijn om een naadloze ervaring te bieden voor gebruikers die regelmatig zakelijke aankopen moeten doen. Deze integratie kan complex zijn en vereist mogelijk coördinatie tussen verschillende systemen en teams. Organisaties moeten bepalen welke inkoopsystemen worden gebruikt, hoe deze systemen kunnen worden geconfigureerd om creditcardautofill te omzeilen, en hoe gebruikers kunnen worden getraind om deze systemen effectief te gebruiken. Voor organisaties die nog geen gecentraliseerd inkoopsysteem hebben, kan dit een gelegenheid zijn om een dergelijk systeem te implementeren, wat niet alleen beveiligingsvoordelen biedt, maar ook operationele voordelen zoals betere kostencontrole en rapportage.

Implementatie

Gebruik PowerShell-script autofill-payment-disabled.ps1 (functie Invoke-Remediation) – PowerShell-script voor automatische uitschakeling van payment autofill.

De implementatie van deze beveiligingsmaatregel kan worden uitgevoerd via verschillende methoden, waarbij Microsoft Intune de aanbevolen aanpak is voor moderne organisaties met cloudgebaseerd endpointbeheer. De implementatie vereist zorgvuldige planning en uitvoering om ervoor te zorgen dat alle apparaten correct worden geconfigureerd zonder operationele verstoringen te veroorzaken. Het proces begint met het openen van het Microsoft Intune-beheercentrum, waar beheerders toegang hebben tot alle configuratieopties voor endpoints in de organisatie.

Binnen het Intune-beheercentrum navigeren beheerders naar de sectie Devices, gevolgd door Configuration profiles. Hier kunnen nieuwe configuratieprofielen worden aangemaakt die specifieke instellingen toepassen op apparaten in de organisatie. Voor deze implementatie moet een nieuw profiel worden gemaakt met het platform Windows 10 en later, en het profieltype moet worden ingesteld op Settings catalog. De Settings catalog biedt toegang tot een uitgebreide lijst van configureerbare instellingen voor Microsoft Edge en andere Microsoft-toepassingen, waardoor beheerders precies kunnen specificeren welke instellingen moeten worden toegepast.

Binnen de Settings catalog zoeken beheerders naar de categorie Microsoft Edge, waar alle configureerbare Edge-instellingen beschikbaar zijn. Specifiek moet worden gezocht naar de instelling AutofillCreditCardEnabled, die verantwoordelijk is voor het beheren van de automatische invulfunctie voor creditcardgegevens. Deze instelling moet worden geconfigureerd op False, wat overeenkomt met de registerwaarde 0. Deze configuratie zorgt ervoor dat gebruikers geen creditcardgegevens kunnen opslaan in Edge en dat de automatische invulfunctie wordt uitgeschakeld voor alle betaalformuliervelden.

Na het configureren van de instelling moet het profiel worden toegewezen aan alle gebruikers en apparaten in de organisatie. Het is cruciaal dat er geen uitzonderingen worden gemaakt voor deze toewijzing, omdat zelfs één apparaat met ingeschakelde creditcardautofill een beveiligingsrisico vormt en kan leiden tot complianceproblemen. De toewijzing kan worden gedaan op basis van gebruikersgroepen, apparaatgroepen, of alle gebruikers en apparaten, afhankelijk van de organisatiestructuur en beheerstrategie. Voor organisaties met een strikte compliancevereiste, zoals PCI-DSS, wordt aanbevolen om het profiel toe te wijzen aan alle gebruikers en apparaten zonder uitzonderingen.

Na de toewijzing is verificatie van de implementatie essentieel om ervoor te zorgen dat alle apparaten correct zijn geconfigureerd. Dit vereist een controle van de deployment coverage om te bevestigen dat 100% van de doelapparaten het beleid heeft ontvangen en toegepast. Intune biedt rapportagefunctionaliteit die laat zien welke apparaten het beleid hebben ontvangen, welke apparaten nog in behandeling zijn, en welke apparaten mogelijk fouten hebben ondervonden tijdens de implementatie. Beheerders moeten deze rapporten regelmatig controleren en eventuele problemen onmiddellijk oplossen om ervoor te zorgen dat de implementatie volledig is.

Naast de technische implementatie moeten organisaties PCI-DSS-conforme alternatieve workflows ontwikkelen om ervoor te zorgen dat gebruikers nog steeds legitieme zakelijke betalingen kunnen uitvoeren. Deze workflows zijn essentieel omdat het uitschakelen van creditcardautofill gebruikers kan hinderen als er geen alternatieven beschikbaar zijn. Een aanbevolen aanpak is het implementeren van bedrijfsinkoopkaarten via een gecentraliseerd systeem dat beheerd wordt door de organisatie. Dit systeem kan worden geïntegreerd met bestaande inkoopprocessen en biedt betere controle en zichtbaarheid over zakelijke uitgaven.

Goedgekeurde betaalprocessors met tokenisatie vormen een andere veilige alternatieve methode voor zakelijke betalingen. Tokenisatie vervangt gevoelige creditcardgegevens door unieke tokens die alleen kunnen worden gebruikt binnen het specifieke betaalproces, waardoor het risico op gegevenslekken wordt geminimaliseerd. Deze tokens zijn nutteloos voor aanvallers omdat ze niet kunnen worden gebruikt voor andere doeleinden dan de oorspronkelijke transactie. Organisaties moeten samenwerken met goedgekeurde betaalprocessors die PCI-DSS-conforme tokenisatie bieden en die voldoen aan de beveiligingsvereisten van de organisatie.

Virtuele creditcardnummers voor online transacties bieden een extra beveiligingslaag door unieke, eenmalig te gebruiken creditcardnummers te genereren voor elke transactie. Deze nummers zijn gekoppeld aan het oorspronkelijke creditcardaccount maar kunnen alleen worden gebruikt voor de specifieke transactie waarvoor ze zijn gegenereerd. Dit beperkt het risico van gegevenslekken omdat zelfs als een virtueel creditcardnummer wordt gecompromitteerd, het niet kan worden gebruikt voor andere transacties. Veel creditcardmaatschappijen en financiële instellingen bieden deze functionaliteit aan als onderdeel van hun beveiligingsservices.

Reis- en onkostensystemen met beleidsafdwinging kunnen worden gebruikt om zakelijke uitgaven te beheren en te controleren terwijl creditcardautofill is uitgeschakeld. Deze systemen bieden workflows voor het indienen, goedkeuren en verwerken van zakelijke uitgaven, en kunnen worden geconfigureerd om specifieke beleidsregels af te dwingen, zoals goedkeuringslimieten, categorisering van uitgaven, en naleving van reisbeleid. Door deze systemen te gebruiken, kunnen organisaties ervoor zorgen dat zakelijke betalingen worden uitgevoerd via goedgekeurde kanalen die voldoen aan beveiligings- en compliancevereisten, terwijl gebruikers nog steeds de flexibiliteit hebben om zakelijke aankopen te doen.

Het is belangrijk om te benadrukken dat individuele creditcardopslag in browsers of op endpoints onder geen enkele omstandigheid is toegestaan in een PCI-DSS-conforme omgeving. Dit betekent dat organisaties niet alleen creditcardautofill moeten uitschakelen, maar ook moeten zorgen dat gebruikers begrijpen dat het handmatig opslaan van creditcardgegevens in browsers of op lokale apparaten niet is toegestaan. Training en communicatie zijn essentieel om ervoor te zorgen dat gebruikers begrijpen waarom deze beperkingen bestaan en hoe zij legitieme zakelijke betalingen kunnen uitvoeren via goedgekeurde alternatieve methoden.

Monitoring

Gebruik PowerShell-script autofill-payment-disabled.ps1 (functie Invoke-Monitoring) – Beheert kritieke compliance met uitgeschakelde payment autofill.

Monitoring van deze beveiligingsmaatregel is van kritiek belang omdat non-compliance directe gevolgen heeft voor de beveiligingspostuur en PCI-DSS-conformiteit van de organisatie. Dagelijkse controles zijn vereist om ervoor te zorgen dat alle apparaten correct zijn geconfigureerd en dat er geen afwijkingen zijn die kunnen leiden tot beveiligingsincidenten of complianceproblemen. Het monitoringproces moet worden geautomatiseerd waar mogelijk om ervoor te zorgen dat controles consistent worden uitgevoerd en dat afwijkingen onmiddellijk worden gedetecteerd en gemeld.

De primaire monitoringactiviteit is het controleren van de registerwaarde op elk apparaat om te verifiëren dat HKLM:\SOFTWARE\Policies\Microsoft\Edge\AutofillCreditCardEnabled is ingesteld op 0. Deze controle moet worden uitgevoerd op alle apparaten in de organisatie, zonder uitzonderingen. Voor grote organisaties met duizenden apparaten is handmatige controle niet haalbaar, daarom moeten geautomatiseerde monitoringtools worden gebruikt die regelmatig de registerwaarden controleren en rapporten genereren over de compliance status van alle apparaten.

Verificatie van 100% apparaatcompliance is essentieel, en er moet een nultolerantiebeleid worden gehanteerd voor non-compliance. Dit betekent dat elk apparaat dat niet voldoet aan de vereisten, onmiddellijk moet worden geïdentificeerd en gecorrigeerd. Er mogen geen uitzonderingen worden gemaakt, omdat zelfs één non-compliant apparaat een beveiligingsrisico vormt en kan leiden tot complianceproblemen tijdens audits. Monitoringtools moeten waarschuwingen genereren zodra een non-compliant apparaat wordt gedetecteerd, zodat beheerders onmiddellijk actie kunnen ondernemen.

Waarschuwingen moeten worden gegenereerd voor alle non-compliant apparaten, en deze waarschuwingen moeten worden geëscaleerd naar het juiste beheerteam voor onmiddellijke actie. Het waarschuwingssysteem moet worden geconfigureerd om verschillende prioriteitsniveaus te gebruiken, waarbij kritieke non-compliance onmiddellijk wordt geëscaleerd naar het security operations center of het incident response team. Waarschuwingen moeten voldoende context bevatten, zoals het apparaat-ID, de gebruiker, de huidige registerwaarde, en de verwachte waarde, zodat beheerders snel kunnen begrijpen wat er mis is en hoe dit moet worden opgelost.

Audit van de Edge-instellingen via edge://settings/payments moet regelmatig worden uitgevoerd om te verifiëren dat de gebruikersinterface correct weergeeft dat creditcardautofill is uitgeschakeld. Hoewel registerbeleidsinstellingen de functionaliteit moeten blokkeren, is het belangrijk om te verifiëren dat de gebruikersinterface ook correct is geconfigureerd en dat gebruikers niet in staat zijn om de instelling handmatig te wijzigen. Deze audit kan worden geautomatiseerd via scripts die de Edge-instellingenpagina controleren, of handmatig worden uitgevoerd tijdens periodieke beveiligingscontroles.

Monitoring van helpdesktickets over betaalformulierproblemen kan waardevolle informatie opleveren over gebruikers die mogelijk problemen ondervinden met alternatieve betaalmethoden of die proberen creditcardautofill te gebruiken ondanks de beperkingen. Deze tickets kunnen wijzen op gebruikers die niet voldoende zijn getraind in alternatieve betaalmethoden, of op technische problemen met alternatieve workflows die moeten worden opgelost. Door deze tickets te analyseren, kunnen organisaties hun trainingprogramma's verbeteren en technische problemen identificeren die gebruikers kunnen dwingen om creatieve maar onveilige oplossingen te zoeken.

Een PCI-DSS-auditlog van beleidsafdwinging moet worden bijgehouden om te documenteren dat de organisatie maatregelen heeft genomen om creditcardgegevens te beschermen. Dit auditlog moet alle monitoringactiviteiten, gedetecteerde afwijkingen, en genomen corrigerende maatregelen bevatten. Het log moet worden bewaard voor de vereiste bewaarperiode zoals gespecificeerd in de PCI-DSS-vereisten, en moet beschikbaar zijn voor externe auditors tijdens compliance-audits. Het auditlog moet ook worden gebruikt voor interne beveiligingsbeoordelingen om trends te identificeren en verbeteringen aan te brengen in het monitoringproces.

Remediatie

Gebruik PowerShell-script autofill-payment-disabled.ps1 (functie Invoke-Remediation) – Herstellen.

Non-compliance met deze beveiligingsmaatregel vormt een kritiek risico voor de organisatie en vereist onmiddellijke remediatie. Elke minuut dat een apparaat non-compliant is, verhoogt het risico op beveiligingsincidenten en complianceproblemen. Het remediatieproces moet daarom worden geautomatiseerd waar mogelijk om ervoor te zorgen dat afwijkingen onmiddellijk worden gecorrigeerd zonder menselijke tussenkomst. Dit vermindert niet alleen het risico, maar ook de tijd die nodig is om compliance te herstellen.

Automatische remediatie via Intune-remediatiescripts is de aanbevolen aanpak voor het corrigeren van non-compliant apparaten. Deze scripts kunnen worden geconfigureerd om automatisch te worden uitgevoerd wanneer een non-compliant apparaat wordt gedetecteerd, waardoor de registerwaarde onmiddellijk wordt gecorrigeerd zonder dat beheerders handmatig moeten ingrijpen. De scripts moeten worden getest in een testomgeving voordat ze worden geïmplementeerd in productie, om ervoor te zorgen dat ze correct werken en geen onbedoelde gevolgen hebben. Na implementatie moeten de scripts regelmatig worden gecontroleerd om ervoor te zorgen dat ze effectief blijven en dat eventuele problemen snel worden opgelost.

Onmiddellijke escalatie naar security operations is vereist wanneer automatische remediatie niet succesvol is of wanneer er tekenen zijn van opzettelijke manipulatie of kwaadaardige activiteit. Security operations teams hebben de expertise en tools om diepgaande onderzoeken uit te voeren en te bepalen of non-compliance het gevolg is van technische problemen, gebruikersfouten, of kwaadaardige activiteit. Escalatie moet worden gedaan via een gedefinieerd incident response proces dat duidelijk maakt wie moet worden gecontacteerd, welke informatie moet worden gedeeld, en welke acties moeten worden ondernomen.

Apparaatisolatie totdat compliance is hersteld kan nodig zijn wanneer er tekenen zijn van kwaadaardige activiteit of wanneer automatische remediatie herhaaldelijk faalt. Isolatie voorkomt dat het non-compliant apparaat toegang heeft tot gevoelige systemen of gegevens totdat het probleem is opgelost en compliance is hersteld. Het isolatieproces moet worden gedocumenteerd en geautomatiseerd waar mogelijk, om ervoor te zorgen dat isolatie snel en consistent wordt toegepast wanneer nodig. Na isolatie moet het apparaat worden onderzocht om te bepalen waarom compliance niet kon worden hersteld, en corrigerende maatregelen moeten worden genomen om te voorkomen dat het probleem opnieuw optreedt.

Onderzoek naar de oorzaak van beleidsfalen is essentieel om te begrijpen waarom een apparaat non-compliant is geworden en om te voorkomen dat het probleem opnieuw optreedt. Mogelijke oorzaken zijn technische problemen met de beleidsdistributie, gebruikers die proberen de instellingen te wijzigen, kwaadaardige software die registerwaarden wijzigt, of configuratiefouten in het beleidsbeheersysteem. Het onderzoek moet worden gedocumenteerd en de bevindingen moeten worden gebruikt om verbeteringen aan te brengen in het beleidsbeheerproces, gebruikers training, of beveiligingscontroles.

Documentatie van incidenten voor PCI-DSS-auditors is vereist om aan te tonen dat de organisatie proactief maatregelen heeft genomen om non-compliance te detecteren en te corrigeren. Deze documentatie moet alle relevante details bevatten, zoals wanneer het incident werd gedetecteerd, welke acties werden ondernomen, hoe lang het duurde om compliance te herstellen, en welke corrigerende maatregelen werden genomen om te voorkomen dat het probleem opnieuw optreedt. Deze documentatie is niet alleen belangrijk voor compliance-audits, maar ook voor interne beveiligingsbeoordelingen en continue verbetering van het beveiligingsprogramma.

Er mogen geen uitzonderingen worden gemaakt voor deze beveiligingsmaatregel, omdat financiële gegevensbescherming niet onderhandelbaar is. Elke uitzondering creëert een beveiligingsrisico en kan leiden tot complianceproblemen tijdens audits. Als er legitieme zakelijke redenen zijn waarom een apparaat of gebruiker mogelijk een uitzondering nodig heeft, moeten alternatieve oplossingen worden gevonden die voldoen aan de beveiligings- en compliancevereisten. Deze alternatieven moeten worden gedocumenteerd en goedgekeurd door het securityteam en complianceofficers voordat ze worden geïmplementeerd.

Compliance en Auditing

Deze beveiligingsmaatregel is direct gerelateerd aan meerdere kritieke compliancevereisten die organisaties moeten naleven om te voldoen aan wettelijke, regelgevende en industriestandaarden. Het begrijpen van deze vereisten is essentieel voor het effectief implementeren en monitoren van de maatregel, en voor het voorbereiden van audits door externe auditors of certificeringsinstanties. Elke compliancevereiste heeft specifieke implicaties voor hoe de maatregel moet worden geïmplementeerd, gemonitord en gedocumenteerd.

PCI-DSS Requirement 3.2 verbiedt expliciet de opslag van gevoelige authenticatiegegevens na autorisatie. Dit betekent dat organisaties geen volledige creditcardnummers, CVV-codes, PIN-codes, of andere gevoelige authenticatiegegevens mogen opslaan na een transactie is geautoriseerd. Browsergebaseerde creditcardautofill slaat deze gegevens permanent op, wat direct in strijd is met deze vereiste. Door creditcardautofill uit te schakelen, zorgen organisaties ervoor dat gevoelige authenticatiegegevens niet worden opgeslagen in browserdatabases, waardoor ze voldoen aan deze kritieke PCI-DSS-vereiste.

PCI-DSS Requirement 4.2 vereist dat primaire accountnummers (PAN) niet onversleuteld worden verzonden over openbare netwerken. Hoewel deze vereiste primair gericht is op netwerktransmissie, heeft het ook implicaties voor lokale opslag. Browsergebaseerde creditcardopslag kan deze gegevens synchroniseren naar cloudopslag, wat kan leiden tot onversleutelde transmissie over openbare netwerken. Door creditcardautofill uit te schakelen, elimineren organisaties het risico dat creditcardgegevens onversleuteld worden verzonden tijdens synchronisatieprocessen.

De CIS Microsoft Edge Benchmark bevat specifieke aanbevelingen voor de bescherming van betaalgegevens in Microsoft Edge. Deze benchmark is ontwikkeld door het Center for Internet Security en biedt best practices voor het beveiligen van Edge-browsers in bedrijfsomgevingen. De benchmark beveelt expliciet aan om creditcardautofill uit te schakelen om gevoelige financiële gegevens te beschermen. Organisaties die de CIS-benchmark volgen, moeten deze maatregel implementeren om te voldoen aan de aanbevelingen.

AVG Artikel 32 vereist dat organisaties passende technische en organisatorische maatregelen nemen om persoonsgegevens te beschermen. Creditcardgegevens bevatten persoonsgegevens, zoals namen en adressen, en moeten daarom worden beschermd in overeenstemming met de AVG. Het opslaan van deze gegevens in browserdatabases zonder adequate beveiligingsmaatregelen kan worden beschouwd als een schending van Artikel 32. Door creditcardautofill uit te schakelen en alternatieve, veiligere betaalmethoden te implementeren, zorgen organisaties ervoor dat zij voldoen aan de AVG-vereisten voor de bescherming van financiële persoonsgegevens.

BIO 12.03 richt zich op de beveiliging van financiële transacties in de context van de Baseline Informatiebeveiliging Overheid. Deze norm vereist dat organisaties maatregelen nemen om financiële transacties te beveiligen tegen ongeautoriseerde toegang, wijziging of vernietiging. Creditcardautofill kan leiden tot ongeautoriseerde toegang tot financiële gegevens, vooral wanneer apparaten worden gecompromitteerd of gestolen. Door deze functionaliteit uit te schakelen, zorgen organisaties ervoor dat zij voldoen aan de BIO-vereisten voor financiële transactiebeveiliging.

ISO 27001:2022 A.8.24 vereist dat organisaties maatregelen nemen om kaarthoudergegevens te beschermen. Deze controle is specifiek gericht op de bescherming van creditcardgegevens en vereist dat organisaties passende beveiligingsmaatregelen implementeren om deze gegevens te beschermen tegen ongeautoriseerde toegang, gebruik, wijziging of vernietiging. Browsergebaseerde creditcardopslag voldoet niet aan deze vereiste omdat het gegevens blootstelt aan verschillende beveiligingsrisico's, zoals malware, phishing, en apparaatcompromittering. Door creditcardautofill uit te schakelen en alternatieve, veiligere betaalmethoden te implementeren, zorgen organisaties ervoor dat zij voldoen aan de ISO 27001-vereisten voor de bescherming van kaarthoudergegevens.

Compliance & Frameworks

• CIS M365: Control 2.1.9 (L1) - Zorg ervoor dat creditcardautofill is uitgeschakeld - Kritiek
• BIO: 12.03.01, 11.01.01 - Beveiliging en privacy van financiële transacties
• ISO 27001:2022: A.8.24, A.5.34 - Bescherming van kaarthoudergegevens en persoonsgegevens

Automation

Gebruik het onderstaande PowerShell script om deze security control te monitoren en te implementeren. Het script bevat functies voor zowel monitoring (-Monitoring) als remediation (-Remediation).

Risico zonder implementatie

Management Samenvatting

Kritiek: Schakel creditcardautofill uit (AutofillCreditCardEnabled is 0). PCI-DSS-vereiste. Voorkomt diefstal van financiële gegevens via malware- of phishingaanvallen. Implementatie: 1-3 uur. Nultolerantie - 100% dekking vereist.

• Implementatietijd: 3 uur
• FTE required: 0.02 FTE