6 PCI-DSS-Konformitätsziele, die Sie kennen müssen 

Einer Studie des US-amerikanischen Meinungsforschungsinstituts Pew Internet zufolge sind ganze 79 % der Nutzer besorgt darüber, wie ihre Daten online von Unternehmen verwendet werden. Darüber hinaus wissen 59 % nicht, was mit ihren Daten nach der Erfassung geschieht.

Hier kommt der Payment Card Industry Data Security Standard, kurz PCI DSS, ins Spiel. Dieser Begriff ist in der Kreditkartenverarbeitungsbranche sehr bekannt, aber was sind die Ziele der PCI-DSS-Konformität und warum ist sie für Sie relevant?

In diesem Artikel werden die sechs PCI-DSS-Konformitätsziele und ihre Vorteile für Ihr Unternehmen erläutert!

Lass uns tauchen ...

Was ist PCI DSS?

PCI DSS ist ein Satz von Sicherheitsstandards, der von MasterCard, Visa, Discover, JCB International und American Express entwickelt wurde und vom PCI SSC (Payment Card Industry Security Standards Council) verwaltet wird. 

Diese Compliance-Richtlinie wurde eingeführt, um Kredit- und Debitkartentransaktionen vor Datendiebstahl und Betrug zu schützen. Die Gründungsmitglieder dieser Organisation haben ein gleichberechtigtes Mitspracherecht bei deren Führung und der Auswahl der zu erledigenden Aufgaben.

Der PCI-DSS-Standard definiert Mindestsicherheitsvorkehrungen, die getroffen werden müssen, um zu verhindern, dass Karteninhaberdaten in falsche Hände geraten. Er impliziert, dass jede Organisation, die Karteninhaberdaten speichert, verarbeitet oder übermittelt, die Einhaltung der PCI-DSS-Vorgaben nachweisen muss. 

Als SaaS-Unternehmen müssen Sie daher die PCI-DSS-Standards sorgfältig einhalten, um im Falle einer Datenschutzverletzung oder kostspieliger Rechtsstreitigkeiten in der Zukunft besser vorbereitet zu sein. 

Das PCI SSC ist rechtlich nicht befugt, irgendjemanden zur Einhaltung der Vorschriften zu zwingen, aber Unternehmen, die Kredit- oder Debitkartentransaktionen abwickeln wollen, müssen seine Anforderungen erfüllen.

Der beste Weg, sensible Daten und Informationen zu schützen, ist durch PCI-ZertifizierungDies wird Ihnen helfen, langfristige und vertrauensvolle Beziehungen zu Ihren Kunden aufzubauen.

Welchen Zweck hat PCI DSS?

Der PCI DSS (Payment Card Industry Data Security Standard) dient dem Zweck, Unternehmen beim Schutz von Karteninhaberdaten und der Absicherung von Kredit- und Debitkartentransaktionen vor Diebstahl, Betrug und Datenlecks zu unterstützen. Er definiert grundlegende Sicherheitsanforderungen, die alle Organisationen, die Zahlungskarteninformationen verarbeiten, erfüllen müssen.

Zu den Hauptzielen gehören:

• Schutz der Karteninhaberdaten, unabhängig davon, wo sie gespeichert, verarbeitet oder übermittelt werden
• Verhinderung von unbefugtem Zugriff, Hacking oder Missbrauch sensibler Daten
• Reduzieren der Risiko kostspieliger Datenschutzverletzungen und Betrug sowohl für Unternehmen als auch für Verbraucher
• Standardisierung globaler Praktiken, damit alle Händler und Dienstleister das gleiche Schutzniveau erreichen.

Kurz gesagt, PCI DSS dient dazu, Vertrauen in das Zahlungsökosystem aufzubauen, indem sichergestellt wird, dass jedes Unternehmen, das Kartenzahlungen akzeptiert, verarbeitet oder speichert, einheitliche Standards einhält. strenge Sicherheitspraktiken.

Was ist das Ziel der PCI-DSS-Konformität?

Die Ziele des PCI DSS gewährleisten, dass Karteninhaberdaten unabhängig vom Ort ihrer Übertragung, Verarbeitung oder Speicherung geschützt sind. Die zwölf vom PCI DSS geforderten Sicherheitskontrollen und -prozesse sind unerlässlich für den Schutz von Karteninhaberdaten, einschließlich der PAN – der auf der Zahlungskarte aufgedruckten primären Kontonummer.

Bevor Sie die Anforderungen des PCI DSS erfüllen können, müssen Sie jedoch die sechs wichtigsten Ziele der PCI-DSS-Konformität verstehen. 

Ein sicheres Netzwerk einrichten

Das erste Ziel von PCI DSS ist die Einrichtung und Aufrechterhaltung eines sicheren Netzwerks. Um Ihr Netzwerk zu schützen, müssen Sie eine Firewall korrekt einrichten und warten. Firewalls schützen Ihr System, indem sie den eingehenden Datenverkehr analysieren und sicherstellen, dass er bestimmten Regeln entspricht. Es ist wichtig, diese Regeln stets im Blick zu behalten und sie alle sechs Monate zu aktualisieren, damit Sie sicher sein können, dass keine verdächtigen Daten eindringen. 

Zum BeispielSollten offene Ports oder Dienste ohne erkennbaren geschäftlichen Grund betrieben werden, müssen diese umgehend deaktiviert werden. Solche Sicherheitslücken können selbst die bestgeschützten Netzwerke schnell angreifbar machen. 

Die Sicherheit der Systeme Ihres Unternehmens zu gewährleisten, erfordert Sorgfalt, aber mit einer Kombination aus Firewalls und kontinuierlicher Wartung können Sie sich vor böswilligen Hackern und Datendiebstahl schützen. 

Verwenden Sie außerdem keine vom Hersteller vorgegebenen Standardpasswörter für Ihr System. Cyberkriminelle haben so im Handumdrehen Zugriff auf diese. Ändern und deaktivieren Sie daher unbedingt die Standardpasswörter, um die Ausnutzung interner Netzwerke und den Datenverlust zu verhindern. Darüber hinaus sollten alle nicht dokumentierten Dienste entfernt werden, um die Sicherheit Ihres internen Netzwerks zu gewährleisten.

Schützen Sie Karteninhaberdaten um jeden Preis

Während die Verarbeitung und Nutzung von Karteninhaberdaten notwendig ist, ist deren sichere Speicherung ebenso wichtig. Es sollten bestimmte Maßnahmen ergriffen werden, um gespeicherte Karteninhaberdaten vor Missbrauch und Diebstahl zu schützen. 

Im einfachsten Fall bedeutet dies, die Speicherung von Karteninhaberdaten nach Möglichkeit zu vermeiden – was nicht benötigt wird, sollte gelöscht werden. Ist eine Speicherung jedoch nicht möglich, sollten Sie sicherstellen, dass Sie nur die minimal erforderlichen Karteninhaberdaten für rechtliche oder geschäftliche Zwecke speichern. 

Dies kann beispielsweise den Namen des Kunden und die Rechnungsadresse umfassen, jedoch niemals Informationen, die die Integrität einer Transaktion gefährden könnten, wie etwa sensible Authentifizierungsdaten (SAD). 

Karteninhaberdaten können bei Bedarf gespeichert werden, sollten aber unlesbar sein. Zu diesen Daten gehören die primäre Kontonummer, der Name des Karteninhabers und das Ablaufdatum.

Zum BeispielBei der Zahlungsabwicklung über ein POS-System sollten sowohl der Magnetstreifen als auch der EMV-Chip zusammen mit etwaigen Kreditverifizierungscodes (CVV) und persönlichen Identifikationsnummern (PIN/PIN-Sperre) von der Speicherung der Daten ausgeschlossen werden. 

Darüber hinaus sollten Sie die Übertragung von Karteninhaberdaten auch verschlüsseln, wenn Sie diese über offene öffentliche Netzwerke weitergeben. Stellen Sie sicher, dass die verwendete Verschlüsselung eine starke Kryptografie aufweist, um zu verhindern, dass Unbefugte auf die Informationen zugreifen.

Ein Schwachstellenmanagementprogramm einrichten

Um sich wirksam gegen Cyberbedrohungen zu verteidigen, ist das nächste Ziel die Aufrechterhaltung eines robusten Schwachstellenmanagementprogramms, das Antivirensoftware oder -programme und andere Schutzmaßnahmen zum Schutz von Karteninhaberdaten umfasst. 

Antivirenprogramme sollten regelmäßig aktualisiert werden, so eingestellt sein, dass sie periodisch Scans durchführen und Audit-Protokolle generieren – wichtig ist, dass Endbenutzer nicht die Möglichkeit haben sollten, sie ohne Genehmigung des Managements zu deaktivieren. 

Darüber hinaus sollten alle Systeme regelmäßig auf Schadsoftware überprüft und mit den neuesten Sicherheitspatches aktualisiert werden. Zum BeispielDies kann beispielsweise die Überwachung oder vollständige Deaktivierung des P2P-Dateiaustauschs umfassen. 

Außerdem müssen Sie Ihre Systeme und Anwendungen ständig aktualisieren und absichern. Schulen Sie Ihre Entwickler regelmäßig darin, neu entdeckte Schwachstellen anhand des von ihnen ausgehenden Risikos zu erkennen und diese entsprechend zu beheben, um häufige Fehler in der Softwareentwicklung zukünftig zu vermeiden. 

Wir haben eine kostenlose Ressource für Sie, falls Sie sich über die Funktionsweise des Risikobewertungsansatzes informieren möchten:

Zu den häufigsten Schwachstellen gehören unter anderem: 

• Cross-Site-Skripting
• Standortübergreifende Fälschung von Anfragen
• Puffer läuft über 

Öffentlich zugängliche Webanwendungen sollten mit speziellen Tools oder Methoden (Penetrationstests) und unter Verwendung einer Web Application Firewall gescannt werden.

Siehe auch: Wie man PCI-Konformitätsbescheinigung

Entwickeln Sie starke Zugangskontrollmaßnahmen

Einige Maßnahmen, wie beispielsweise die Zugriffskontrolle, sind für eine robuste digitale Sicherheit unerlässlich. Schließlich ist ein Missbrauch Ihrer wertvollen Karteninhaberdaten deutlich unwahrscheinlicher, wenn nur die berechtigten Personen Zugriff darauf haben. 

Glücklicherweise werden Zutrittskontrollsysteme immer ausgefeilter und zuverlässiger. Ein zentrales Beispiel hierfür ist das „Need-to-know“-Prinzip, das den Benutzerzugriff auf das für seine Tätigkeit unbedingt notwendige Minimum beschränkt. 

Das bedeutet, dass Administratoren Mitarbeitern nur Zugriffsrechte auf die Bereiche gewähren, die diese für die ordnungsgemäße Ausführung ihrer Aufgaben benötigen – so wird sichergestellt, dass keine Daten unnötig offengelegt werden. Bezüglich Systemkomponenten sollten Unternehmen stets standardmäßig „Alles verweigern“-Einstellungen für eine detaillierte Autorisierung konfigurieren, um wichtige Systemressourcen zu schützen. Weitere Maßnahmen im Rahmen der PCI-Ziele umfassen: 

• Alle Benutzer müssen sich mithilfe einer eindeutigen ID authentifizieren, um auf Systemkomponenten zugreifen zu können. Dadurch können Sie die Benutzer für ihre Handlungen zur Rechenschaft ziehen. 
• Passwörter müssen mindestens sieben Zeichen lang sein. mit einer Kombination aus Buchstaben und Zahlen.
• Implementieren Sie die Multi-Faktor-Authentifizierung (MFA), die eine zweite Authentifizierungsebene und ein Passwort erfordert. Dies geschieht üblicherweise durch einen Code, der an ein anderes Gerät wie Ihr Smartphone, Ihren Schlüsselanhänger/Ihre Smartcard oder per biometrischer Abtastung gesendet wird.

Netzwerke kontinuierlich überwachen und testen

Die Sicherheit von Netzwerken und Daten erfordert eine angemessene Überwachung und regelmäßige Tests. Daher ist es wichtig, den Zugriff auf Netzwerkressourcen und Karteninhaberdaten zu verfolgen und zu überwachen. 

Die Einrichtung von Protokollierungssystemen für alle erforderlichen Systeme kann dazu beitragen, verdächtige Aktivitäten dem jeweiligen Konto zuzuordnen. Es wird empfohlen, Protokolle mindestens ein Jahr lang aufzubewahren und bei Bedarf schnell auf die Protokolle der letzten drei Monate zugreifen zu können. 

Darüber hinaus sollten regelmäßige Datensicherungsprozesse auf einem zentralen Server initiiert werden, damit etwaige Änderungen oder Löschungen von Protokollinformationen frühzeitig erkannt werden können. 

Zum BeispielEs empfiehlt sich, die Protokolle täglich zu überprüfen und etwaige Unregelmäßigkeiten sofort zu beheben – so werden alle Versuche von Eindringlingen erkannt und unterbunden, bevor sie zu viel Schaden anrichten können. 

Sie sollten außerdem regelmäßig Sicherheitssysteme und -prozesse testen, einschließlich Penetrationstests und interne und externe Schwachstellenscans. 

Diese Maßnahmen tragen dazu bei, das Netzwerk vor neu entdeckten Schwachstellen zu schützen. Darüber hinaus müssen Organisationen die Karteninhaberumgebung manuell oder automatisiert auf unberechtigte Zugriffspunkte überprüfen; Intrusion-Detection-Systeme sollten zudem bei unerwarteten Änderungen Warnmeldungen ausgeben.

Lesen Sie auch bitte: PCI-DSS-Stufen

Pflegen Sie eine Informationssicherheitsrichtlinie

Entwicklung eines wirksame Informationssicherheitspolitik Dies ist ein wichtiger Weg, um die Sicherheit von Karteninhaberdaten zu gewährleisten. Diese Richtlinie sollte festlegen, welche Mitarbeiter welche Geräte zu welchem ​​Zweck verwenden dürfen. Zusätzlich sollte angegeben werden, an welchen Orten diese Geräte aus Sicherheitsgründen verwendet werden dürfen.

Zum BeispielWenn Sie Ihren Mitarbeitern den Zugriff auf bestimmte Finanzdaten von außerhalb des Büros ermöglichen, könnte dies zu schwerwiegenden Verstößen gegen die Informationssicherheit führen. Legen Sie daher unbedingt fest, wo und wann die Nutzung von Geräten im Besitz der Mitarbeiter erlaubt ist. 

Sie müssen außerdem Nutzungsrichtlinien festlegen, die Datenschutzbestimmungen und Erwartungen bei der Nutzung des Netzwerks und der Computer des Unternehmens berücksichtigen. Schulung mit Mitarbeitern kann dazu beitragen, diese Richtlinien zu festigen und alle Beteiligten über Änderungen oder aktuelle Entwicklungen im Bereich der Informationssicherheit auf dem Laufenden zu halten. 

Außerdem sollten Sie einen Notfallplan für Datenpannen und Sicherheitsbedrohungen bereithalten. Dieser Plan umfasst in der Regel die Benachrichtigung der Kartenanbieter, die Umsetzung von Maßnahmen zur Aufrechterhaltung des Betriebs und die Speicherung von Datensicherungen. Beachten Sie zudem unbedingt die von Ihrer lokalen Regierung festgelegten Regeln bezüglich öffentlicher Bekanntmachungen im Zusammenhang mit dem Vorfall.

Überprüfen Sie auch: PCI DSS-Netzwerksegmentierung

Was kommt als Nächstes?

Mithalten mit PCI DSS-Konformität Das kann schnell anstrengend werden. Angesichts Hunderter von Kontrollen und Prüfungen, die implementiert, überwacht und nachverfolgt werden müssen, ist es nicht einfach, die Sicherheitsrisiken im Zuge des Unternehmenswachstums im Blick zu behalten. 

Hier kommt Sprinto ins Spiel – eine automatisierte Compliance-Plattform, mit der Sie sofort loslegen und sicherstellen können, dass Ihr Unternehmen alle notwendigen Standards einhält. 

Es erleichtert nicht nur die Implementierung und Überwachung der zahlreichen Kontrollmechanismen, sondern zeigt auch Verbesserungspotenziale auf – falls also etwas schiefgelaufen ist, können Sie sofort eingreifen und das Problem beheben. 

Neben anderen Funktionen wie automatischen Bedrohungswarnungen oder Live-Einblicken in erreichte Compliance-Meilensteine ​​bietet Sprinto auch eine einzigartige Funktion zur kontinuierlichen Überwachung, die jede Einheit innerhalb Ihrer Organisation auf vollständige PCI-DSS-Konformität überprüft – damit Sie immer abgesichert sind! 

Bei Sprinto ist unsere Mission klar: Wir möchten Ihnen Sicherheit bieten, damit Sie sich auf das Wachstum Ihres Unternehmens konzentrieren können. Buchen Sie jetzt eine Demo!

Häufig gestellte Fragen 

Wie viele PCI-DSS-Ziele gibt es?

Gemäß PCI DSS werden sechs primäre Ziele sind weiter in 12 Untergruppen unterteilt. Diese Ziele und Anforderungen sind von entscheidender Bedeutung für den Schutz von Karteninhaberdaten.

Was sind die fünf Ziele der Sicherheit?

Die fünf Sicherheitsziele lauten wie folgt: Schutz der Vertraulichkeit, Verfügbarkeit, Integrität, Authentizität und Nichtabstreitbarkeit der Benutzerdaten.