PCI 3.0 kommt - sind Sie bereit?
Alle drei Jahre wird der Payment Card Industry Data Security Standard (PCI) auf eine neue Version aktualisiert. Die Zeit für die nächste Veröffentlichung steht vor der Tür.
Version 2.0 wird in wenigen Wochen durch PCI 3.0 ersetzt, und die Frage, die Sie sich stellen müssen, lautet:
Sind Sie auf PCI 3.0 vorbereitet?
Ab dem 1. Januar 2014 können Sie den neuen Standard auf Ihr Unternehmen anwenden und alle darin enthaltenen Anforderungen erfüllen. Wenn es jedoch Elemente in der neuen Version von PCI 3.0 gibt, die Sie nicht erfüllen können, ist nicht alle Hoffnung verloren. Sie können Ihre Konformität mit Version 2.0 des PCI-Standards für das gesamte Jahr 2014 weiterhin validieren, wenn Sie dies wünschen.
Mit anderen Worten: Nächstes Jahr können Sie sich für die Einhaltung von PCI 2.0 oder PCI 3.0 entscheiden.
Wenn der Standard veröffentlicht wird, müssen Sie möglicherweise Ihre Abläufe ändern, um die neue Version zu erfüllen. Daher haben Sie ein Jahr Zeit, um diese Anpassungen vorzunehmen.
Aber warten Sie, es gibt noch mehr!
Es gibt noch weitere gute Nachrichten, wenn Sie sich den neuen Standard ansehen möchten.
Aus Sicht des Händlers unterscheidet sich der neue Standard (zumindest die Entwurfsversion, die wir vor der offiziellen Veröffentlichung in der Vorschau sehen konnten) nicht wesentlich vom vorherigen. Aus dem Netzwerkdiagramm sind mehr Informationen erforderlich, und die Penetrationstestanforderung enthält mehr Leitlinien, es gibt jedoch nur wenige inhaltliche Änderungen.
Andererseits müssen Dienstanbieter (die die Sicherheit eines Händlers beeinträchtigen können, wie z. B. ein POS-Anbieter oder ein Webhosting-Anbieter) den Händlern, die an der PCI-Konformität unter PCI 3.0 arbeiten, mehr Informationen zur Verfügung stellen.
Der Standard verlangt eine stärkere Due-Diligence-Prüfung, die sich darauf konzentriert, wie sich ein Dienstleister auf die Sicherheit des Händlers auswirkt, der Kreditkarten akzeptiert. Dies ist wahrscheinlich der größte Unterschied zwischen 2.0 und PCI 3.0, und es wird interessant sein zu sehen, wie sich dies in Zukunft auswirken wird.
Es ist wichtig, sich daran zu erinnern, dass es sich bei der PCI um die Mindestsicherheit handelt, die ein Händler einrichten sollte, um die Kreditkarten seiner Kunden zu schützen. Sicherheit sollte wie jede andere Unternehmensrichtlinie betrachtet werden - Sie müssen Ihr Unternehmen immer auf eine bestimmte Art und Weise führen, nicht nur während Ihrer Validierungsbemühungen.
Wenn Sie Sicherheit zuerst in Ihre regulären Geschäftspraktiken integrieren, werden Sie feststellen, dass PCI ganz natürlich folgen wird.