Wie The Boxoffice Company mit Sprinto ihr PCI-DSS-Audit mit Bravour bestanden hat
Die Boxoffice Company, mit über 200 Mitarbeitern in Frankreich, Schottland, Kanada, Mexiko und den USA, ist ein führender Anbieter von Medien, Technologie und Daten für die globale Filmindustrie. Ihr Netzwerk an Medienmarken erreicht Millionen von Kinofans in den USA, Europa und Lateinamerika. Das Unternehmen bietet eine Reihe von Produkten an, darunter Websites, mobile Anwendungen, CRM-Systeme und Online-Ticketing-Lösungen, um Entdeckungsplattformen, Studios und Kinobetreiber weltweit dabei zu unterstützen, direkt mit Kinobesuchern und Fans in Kontakt zu treten.
– Marine Suttle
Geschäftsführer, The Boxoffice Company
– Marine Suttle
Geschäftsführer, The Boxoffice Company
Einführung
Die Boxoffice Company ist ein White-Label-Datenlösungsanbieter für die Filmindustrie mit über 200 Mitarbeitern in Frankreich, Schottland, Kanada, Mexiko und den USA. Zu ihren Produkten gehören Websites, mobile Anwendungen, CRM und Online-Ticketing, die Entdeckungsplattformen, Studios und Kinobetreiber direkt mit Kinobesuchern und Fans verbinden.
Da Zahlungsdaten über diese Ticketing-Produkte liefen, war die Kundennachfrage nach einer Konformitätsbescheinigung (Atostation of Compliance, AoC) gemäß PCI-DSS der ursprüngliche Anstoß für die Umsetzung der Konformitätsbemühungen. Marine Suttle, Geschäftsführerin von The Boxoffice Company, leitete die Bemühungen zur PCI-DSS-Konformität.
Was sie brauchte, war ein Compliance-Partner, der den Umfang der PCI-DSS-Compliance definieren, Kontrollen implementieren und überwachen sowie den internen Arbeitsaufwand minimieren konnte, und das alles, während der globale Geschäftsbetrieb ohne Unterbrechung weiterlief.
Das Problem
Marine nannte Fachwissen als erste von zwei großen Herausforderungen für die Durchführung dieses Projekts: Während die Ingenieure von The Boxoffice Company die IT-Sicherheitsvorkehrungen verwalteten, hatten sie keine Erfahrung mit den taktischen und administrativen Aufgaben der Compliance, was zu Unsicherheit und Stress darüber führte, was für ein erfolgreiches Audit Priorität haben sollte.
Marine sagt: „Die Teilnahme am PCI DSS-Programm fühlte sich an, als würden wir zum ersten Mal campen gehen. Wir hatten keine Ahnung, was wir tun oder mitnehmen sollten, was ziemlich stressig war. Wir brauchten jemanden, der uns durch den Prozess führt.“
Die zweite Herausforderung ergab sich nach der Durchsicht der PCI-DSS-Website, die oft die erste Anlaufstelle für Einsteiger ist. Dort erkannte The Boxoffice Company, dass die Komplexität der Einhaltung der Vorschriften und der dazugehörigen Dokumentation schnell außer Kontrolle geraten, viel Zeit in Recherche und Dokumentation investieren und den täglichen Betrieb stören konnte. Um dem entgegenzuwirken, suchte das Unternehmen nach einem Partner, der konkrete Handlungsempfehlungen, technisches Fachwissen und offene Kommunikation bieten konnte.
Die Lösung
Die Boxoffice Company entschied sich für Sprinto, nachdem deren Lösungsberater einen klaren Weg zur PCI-DSS-Konformität innerhalb des vorgegebenen Zeitrahmens und mit minimalen Beeinträchtigungen für die globalen Teams aufgezeigt hatten. Diese Entscheidung wurde durch die Erschwinglichkeit und die wettbewerbsfähigen Funktionen von Sprinto noch verstärkt.
Dieser Weg begann mit einer gezielten PCI-DSS-Abgrenzung, um die Anforderungen der Stufe 1 des Audits angemessen zu dimensionieren, und führte dann zu einer meilensteinorientierten Implementierung der Plattform und des Sicherheitsprogramms, der Integration von Kontrollen auf Anlagenebene, der automatisierten Nachverfolgung und zeitgebundenen Aufgaben, um die rechtzeitige Auditbereitschaft sicherzustellen.
„Sprinto hat den Weg in erreichbare und praktische Schritte unterteilt, uns gezeigt, was zu tun ist und wer es tun kann, und uns aufgezeigt, wie wir die PCI-DSS-Konformität ohne Vollzeitkräfte erreichen können. Die Plattform würde die Hauptarbeit übernehmen, unterstützt von unserem Account Manager. Das war beruhigend, insbesondere weil wir dadurch nicht Tausende von Seiten zu den PCI-Richtlinien lesen mussten“, erinnert sich Marine.
Die Boxoffice Company nahm Sprinto schnell in ihr System auf, und ein eigens dafür eingerichtetes Team machte sich an die Arbeit, um zu ermitteln, welche Aktivitäten unter PCI-DSS fallen.
Die Boxoffice Company integrierte daraufhin Cloud-Ressourcen und -Infrastruktur über verschiedene Regionen und Teams hinweg für eine zentralisierte, automatisierte Kontrollüberwachung und führte Sicherheitsschulungen für Mitarbeiter sowie ein Programm zur Offenlegung von Sicherheitslücken ein. Außerdem wurden von Sprinto geprüfte Anbieter für ASV und VAPT eingebunden und die Richtlinien aktualisiert, um die nun geltenden Maßnahmen widerzuspiegeln. All dies ist für das PCI-DSS-Audit von entscheidender Bedeutung.
Diese erste Phase dauerte rund 6 Wochen und brachte The Boxoffice Company, ausgehend von einem PCI-Bereitschaftsgrad von ca. 30 %, auf dem einheitlichen Kontroll-Dashboard von Sprinto zu 50 % auf dem Weg zur PCI-DSS-Konformität.
Von da an konzentrierte sich das Compliance-Team von The Boxoffice Company darauf, die Kontrollen zu optimieren und bis zum finalen PCI-DSS-Audit zu überwachen. Dabei nutzten sie die Echtzeit-Warnmeldungen und E-Mails von Sprinto, um auf Kontrollfehler und Sicherheitslücken aufmerksam zu werden. The Boxoffice Company bildete außerdem ein „PCI-Komitee“ mit Vertretern der Rechts-, Personal-, Entwicklungs- und Betriebsabteilungen, um die Aufrechterhaltung der Kontrollen und die Auditbereitschaft sicherzustellen – ein neuartiger Ansatz für ein neuartiges Mandat.
Marine bemerkt: „Für die Einhaltung der Vorschriften braucht es ein ganzes Team. Da unser Team über verschiedene Zeitzonen verteilt ist, half uns Sprinto dabei, klare Aufgaben und Zeitpläne zu definieren, sodass jeder eingebunden und für seinen Teil verantwortlich war.“ Innerhalb weniger Wochen erreichte The Boxoffice Company auf dem Sprinto-Dashboard einen PCI-DSS-Kontrollstatus von 98 % und war bereit für das L1-Audit.
Auswirkungen
Das PCI-DSS-Audit der Boxoffice Company verlief im besten Sinne unauffällig. Die Nachweise wurden automatisch erfasst, klar mit den PCI-Kontrollanforderungen verknüpft und von den internen Experten von Sprinto vorab geprüft. Dies ermöglichte ein schnelles und reibungsloses Audit mit nur wenigen Rückfragen an die Boxoffice Company.
„Das PCI-Audit war sehr einfach und schnell. Sprinto bereitet alles vor, und die Auditoren erhalten ihr eigenes Dashboard, um die Nachweise zu überprüfen. Sie gingen einfach die Liste durch, sahen alle grünen Häkchen, und schon war es erledigt“, erklärt Marine.
Über das eigentliche Audit hinaus optimierte The Boxoffice Company ihre Sicherheitsabläufe, indem sie Systemineffizienzen auf Sprinto aufdeckte, diese behob und standardisierte. Ein Paradebeispiel hierfür ist der Personalbereich: Mit über 200 Mitarbeitern in neun Zeitzonen arbeitete The Boxoffice Company zuvor mit einem fragmentierten Onboarding-Prozess. Durch die Optimierung wurde dieser Prozess dringend benötigt, und die Abläufe wurden unternehmensweit an Best Practices im Bereich Sicherheit ausgerichtet.
Marine erklärt: „Unsere HR-Systeme unterscheiden sich in den einzelnen Regionen, und es gibt kein übergreifendes System. In Großbritannien nutzen wir SageHR, in den USA ADP TotalSource usw. Sprinto hat uns geholfen, den Onboarding-Prozess zu optimieren, denn jetzt wird jeder neue Mitarbeiter automatisch in Sprinto angelegt, und der Sicherheitsprozess läuft reibungslos ab.“
Mithilfe des von Sprinto entwickelten Mechanismus für Sicherheitsschulungen, die Verwaltung von Mitarbeitergeräten und die Bestätigung von Richtlinien führte The Boxoffice Company eine Compliance-Ebene zusätzlich zu ihren standardmäßigen, regionsspezifischen Betriebsabläufen ein: aktualisierte und einheitliche IT-Standards für Datenschutz und Sicherheit, die für den Nachweis der PCI-DSS-Konformität unerlässlich sind.
Heute überwacht The Boxoffice Company die PCI-DSS- und DSGVO-Kontrollen mit Sprinto. Die Einhaltung der Vorschriften ist ein fester Bestandteil der Geschäftsprozesse und ermöglicht es The Boxoffice Company, große Erfolge zu erzielen und ihr Geschäft zu sichern. Marine ergänzt: „Sprinto sorgt für Transparenz. Sprinto meldet alles – von verpassten Scans auf ungesicherten Mitarbeiterlaptops bis hin zu neuen Sicherheitslücken im Code. Selbst nach dem PCI-Audit unterstützt uns Sprinto dabei, die Zertifizierung aufrechtzuerhalten.“
Haben Sie Fragen? Sprechen Sie mit unseren Experten!
Medien, Technologie und Daten für die globale Filmindustrie
200+
Frankreich, Schottland, Kanada, Mexiko, USA, EU
