Wie CellPoint Digital sein PCI-DSS-Zertifizierungsaudit beschleunigt hat

CellPoint Digital hatte sich zum Ziel gesetzt, schnell ein PCI-DSS-Programm einzuführen und dieses anschließend dauerhaft zu betreiben. Mithilfe der von Sprinto begleiteten PCI-DSS-Programmimplementierung kombinierte CellPoint Digital automatisierte Kontrolltests und die Erfassung von Nachweisen, detailliertes Compliance-Tracking auf einem zentralen Compliance-Dashboard mit Echtzeit-Reporting sowie ein gemeinsames Kontrollframework zur Abbildung und Skalierung des Programms.

Nachdem CellPoint Digital Sprinto implementiert hatte, traten die Lücken in der Sicherheitsinfrastruktur sofort zutage. „Wir haben fast umgehend Schwächen im Gerätemanagement, der Identitätsbereitstellung und den Zugriffskontrollen festgestellt“, so Thomas.

Frederic Lauret, Sicherheitsarchitekt und seit Jahrzehnten PCI-Experte, unterstützte Thomas bei der Vorbereitung des PCI-DSS-Audits und stellte fest, dass die Strukturierung von Anfang an zur Einhaltung der Vorschriften beitrug, mit verbesserter Transparenz und klarerer Ausrichtung an den PCI-DSS-Empfehlungen. Dank dieser Transparenz konnte CellPoint Digital Sicherheitslücken schnell schließen und Systeme für eine umfassende PCI-DSS-Konformität konfigurieren.

„Ich bin seit zehn Jahren im PCI-Zertifizierungsprozess tätig und dies ist das erste Mal, dass ich eine Plattform habe, die alle Informationen bündelt und gleichzeitig überprüft, was zu tun ist. Ich schätze es sehr, dass die Plattform uns aufzeigt, was zu tun ist und wo wir uns befinden, sodass der Zertifizierungsprozess stets im Zeitplan liegt“, sagt Frederic.

CellPoint Digital verknüpfte Systeme, Verfahren und Richtlinien mit Kontrollen mithilfe der vorgefertigten Kontrollbibliothek von Sprinto. Diese visualisierte den Compliance-Status als tägliche Kontrollübersicht auf dem Dashboard, anhand derer Frederic Compliance-Lücken schloss. „Wir haben eine Kontrollübersicht auf dem Dashboard, die wir täglich durchgehen müssen, um kleinere Verbesserungen vorzunehmen“, erklärt er.

Mit seiner umfassenden Erfahrung in der Umsetzung von PCI-DSS war es Frederic besonders wichtig, die Einhaltung der Standards auch über die Audit-Zeiträume hinaus sicherzustellen. „Viele glauben, PCI-Compliance gelte nur für die Zeit der Zertifizierung, aber das stimmt nicht. Sie ist ein fortlaufender Prozess, und man muss das ganze Jahr über konform sein, nicht nur einmal im Jahr“, erklärt er.

CellPoint Digital nutzte hierfür die kontinuierliche Compliance-Überwachung von Sprinto, indem es täglich sechs- bis siebentausend Prüfungen seiner verschiedenen Compliance-Kontrollen durchführte. Diese Echtzeit-Überwachung bewahrte das Unternehmen davor, von der Compliance abzuweichen.

„Die Kennzahlen werden permanent erfasst, und wir können Abweichungen sofort erkennen. Wenn niemand diese Aufgaben manuell übernehmen kann, ist das Tool genau hier eine große Hilfe. Denn es gibt viele Dinge, die regelmäßig überprüft werden müssen: die Protokolle, die Benutzer und die PCI-konforme Konfiguration aller Infrastrukturkomponenten. Sprinto automatisiert all diese Prozesse“, erklärt Frederic.

CellPoint Digital hat anschließend das PCI-DSS-Zertifizierungsaudit erfolgreich bestanden, mit einer Verbesserung von 95 % bei der Compliance-Berichterstattung und einer Verbesserung von über 65 % bei den Auditprozessen.

„Die Unterstützung von Sprinto war äußerst hilfreich und hat uns während des gesamten Zertifizierungsprozesses zu ständigen Verbesserungen angespornt. Bei begrenzten Ressourcen kann man nicht viele Mitarbeiter mit einem Problem betrauen, daher war die Unterstützung von Sprinto ein echter Gewinn für uns. Sie ist einer der wertvollsten Aspekte des Tools“, so Thomas Thomsen, Security Architect bei CellPoint Digital.