PCI DSS 4.0: Alles, was Sie wissen müssen

Der Payment Card Industry Data Security Standard (PCI DSS) ist ein Rahmenwerk, das die Integrität und Sicherheit von Karteninhaberdaten bei digitalen Transaktionen gewährleistet. Unternehmen und Organisationen müssen alle Anforderungen erfüllen, die die neueste Version - PCI DSS 4.0 - stellt, um die sensiblen Daten ihrer Kunden zu schützen und wettbewerbsfähig zu bleiben.

Dieser Artikel erklärt alles, was Sie über PCI DSS 4.0 wissen müssen, seine Implementierungsmechanismen und die Fristen für die Konformität.

PCI DSS 4.0-Konformitätsfristen

PCI DSS 4.0 wurde am 31. März 2022 vom PCI Security Standards Council veröffentlicht.

Die Frist für die Konformität mit PCI DSS 4.0 ist der 31. März 2024. Bis zu diesem Datum müssen Organisationen die bereits in PCI DSS 3.2.1 enthaltenen Anforderungen sowie die neuen Anforderungen erfüllen, die nicht als zukunftsorientiert gekennzeichnet sind.

Die letzte Frist ist der 1. April 2025, wenn alle neuen Anforderungen des PCI DSS 4.0 verbindlich werden. Diese verlängerte Frist ist für Änderungen gedacht, die als komplexer gelten und möglicherweise neue Technologien oder erhebliche Prozessänderungen erfordern.

Welche Änderungen bringt PCI DSS 4.0 mit sich?

PCI DSS 4.0 führt viele wichtige Änderungen ein, die den Datenschutz der Karteninhaberdaten bei Online-Transaktionen verbessern.

• Risikomanagement. Die neue Version erfordert einen dynamischeren und praxisorientierteren Ansatz zur Bewertung und Überwachung von Risiken und verdächtigen Aktivitäten.
• Sichere Softwareentwicklung. Sämtliche in der Zahlungsabwicklung eingesetzte Software muss sicher entwickelt sein und regelmäßigen Tests und Wartungen unterzogen werden.
• Risikobewertungsprozess. Organisationen müssen eine Risikobewertung für „Bedrohungsagenten“ durchführen, die spezifischen Einheiten oder Faktoren, die Schwachstellen ausnutzen oder eine Bedrohung für die Sicherheit von Karteninhaberdaten darstellen könnten.
• Bewertung der Sicherheitskontrollen. Unternehmen müssen häufig bewerten, wie effektiv ihre Sicherheitskontrollen Angriffe erkennen und darauf reagieren.
• Verwaltung von drahtlosen Zugangspunkten. Unternehmen müssen den Überblick über alle autorisierten und nicht autorisierten drahtlosen Zugangspunkte behalten.
• Multi-Faktor-Authentifizierung. Alle Mitarbeiter mit Administratorrechten außerhalb der Konsole müssen die Multi-Faktor-Authentifizierung durchlaufen, um Zugriff auf Systeme zu erhalten, die Karteninhaberdaten verarbeiten, oder auf Systeme, die die Sicherheit dieser Systeme beeinträchtigen könnten.
• Schwachstellenmanagement in benutzerdefiniertem Code. Organisationen müssen alle in benutzerdefiniertem Code gefundenen Schwachstellen umgehend beheben.
• Überwachung von Sicherheitsvorfällen. Organisationen müssen alle Sicherheitswarnungen und Informationen überprüfen, die sie von Sicherheitsüberwachungssystemen erhalten.
• Erkennung unbefugter Manipulation. Organisationen müssen Mechanismen einsetzen, um alle Manipulationen und unbefugten Zugriffsversuche auf die Systeme zu erkennen.
• Erkennung und Reaktion auf Vorfälle. Unternehmen müssen über einen Plan zur Reaktion auf Vorfälle verfügen, um alle rechtlichen, vertraglichen und behördlichen Anforderungen zu erfüllen. Dieser Plan muss jährlich getestet und regelmäßig überprüft und aktualisiert werden.
• Bestandsverwaltung. Unternehmen müssen einen Bestand aller Hardware- und Softwarekomponenten führen, die an der Speicherung, Übertragung und Verarbeitung von Karteninhaberdaten beteiligt sind.
• Sichere Außerbetriebnahme. Hardware und Software, die an der Speicherung, Übertragung und Verarbeitung von Karteninhaberdaten beteiligt sind, müssen sicher außer Betrieb genommen werden.
• Penetrationstests. Diese Tests müssen mindestens alle 6 Monate und nach der Implementierung von Änderungen an Sicherheitssystemen durchgeführt werden.
• Medienentsorgung. Alle Medien mit Karteninhaberdaten müssen sicher entsorgt werden.
• Zusätzliche Anforderungen für Point-of-Interaction (POI)-Geräte. PCI DSS 4.0 schreibt zusätzliche Sicherheitsmaßnahmen für die Verwendung von POI-Geräten bei Transaktionen ohne Karte vor.
• Verschlüsselungsstandards. Alle Verschlüsselungsmethoden müssen branchenerprobte Algorithmen verwenden und Verschlüsselungsschlüssel müssen jederzeit geschützt sein.
• Schulung zum Sicherheitsbewusstsein. Alle Mitarbeiter müssen mindestens einmal im Jahr an einer Schulung zum Sicherheitsbewusstsein teilnehmen.
• Verwaltung von Dienstanbietern. Dazu gehört die Pflege einer aktuellen Liste aller Dienstanbieter, die Durchführung einer Due-Diligence-Prüfung vor der Beauftragung und die Überwachung des Compliance-Status der Anbieter.
• Endpunktgerätesicherheit. Dazu gehören die Installation von Sicherheitsagenten, die Verwaltung eines Inventars autorisierter Geräte und die Implementierung von Sicherheitsrichtlinien und -verfahren.
• Sichere Codierungspraktiken. Dazu gehören neue Anforderungen an sichere Codierungspraktiken, wie z. B. Schulungen für Entwickler, Codeüberprüfung aller Änderungen und Sicherheitskontrollen zur Vermeidung von Codierungsschwachstellen.

Wer wird betroffen sein?

Alle an der Handhabung, Verarbeitung und Übermittlung von Karteninhaberdaten beteiligten Stellen müssen sich an diese Änderungen anpassen, um die Vorschriften einzuhalten. Zu den betroffenen Parteien gehören:

• Händler. Alle Unternehmen, die Kartenzahlungen akzeptieren, müssen die neuesten gesetzlichen Standards einhalten.
• Zahlungsabwickler und Dienstleister. Unternehmen, die die Verarbeitung, Speicherung und Übertragung von Kreditkartendaten ermöglichen, müssen PCI DSS 4.0 einhalten.
• Softwareentwickler. Entwickler von Zahlungsanwendungen und -systemen müssen ihre Praktiken an die neuen Anforderungen für die Softwareentwicklung anpassen.
• IT- und Sicherheitsteams. IT- und Cybersicherheitsteams müssen neue Anforderungen an Sicherheitskontrollen, Risikomanagement und Authentifizierung umsetzen.
• Finanzinstitute. Auch Banken und andere Finanzinstitute, die Zahlungskarten ausstellen oder an der Zahlungsabwicklung beteiligt sind, sind von den neuen Änderungen betroffen.
• Compliance- und Audit-Experten. Einzelpersonen und Organisationen, die für die Sicherstellung der PCI-DSS-Compliance verantwortlich sind, müssen ihr Wissen über die neuen Praktiken aktualisieren.

Wie wird PCI DSS 4.0 eingehalten?

Um die Konformität mit PCI DSS 4.0 zu erreichen, befolgen Sie diese Schritte.

• Überprüfen Sie Ihren Umfang. Bestimmen Sie den Umfang der PCI DSS 4.0-Anforderungen für Ihr Unternehmen.
• Machen Sie sich mit den neuen Anforderungen vertraut. Machen Sie sich gründlich mit den neuen Änderungen von PCI DSS 4.0 vertraut, bevor Sie diese umsetzen.
• Führen Sie eine Lückenbewertung durch. Führen Sie eine Lückenbewertung durch, indem Sie Ihren aktuellen Sicherheitsstatus mit den neuen Anforderungen vergleichen. Dies wird Ihnen dabei helfen, Bereiche zu identifizieren, in denen Ihre Organisation die Standards nicht erfüllt.
• Erstellen Sie eine Compliance-Roadmap. Entwickeln Sie einen detaillierten Plan, um die im vorherigen Schritt identifizierten Lücken zu schließen. Der Plan sollte Zeitpläne, Verantwortlichkeiten und die benötigten Ressourcen festlegen.
• Sicherheitsrichtlinien und -verfahren aktualisieren. Bestehende Richtlinien und Verfahren überarbeiten, um sicherzustellen, dass sie alle Aspekte des Standards abdecken.
• Implementieren Sie technische, physische und Zugangskontrollen. Installieren und konfigurieren Sie Kontrollen wie Firewalls, Intrusion-Detection-Systeme, Datenverschlüsselung während der Übertragung, sichere Hardware- und Softwarekonfigurationen und Multi-Faktor-Authentifizierung. Sorgen Sie für eine robuste physische Sicherheit rund um die Daten. Überprüfen Sie regelmäßig die Funktionsfähigkeit der Steuerungssysteme und überprüfen Sie die Benutzerzugriffsrechte.
• Mitarbeiter schulen. Mitarbeiter, die mit Karteninhaberdaten umgehen, müssen mindestens einmal im Jahr an Schulungen teilnehmen. Stellen Sie sicher, dass die Schulungsmaterialien auf dem neuesten Stand sind und die Themen enthalten, die PCI DSS 4.0 vorschreibt, wie z. B. Social Engineering, Phishing und andere aktuelle Bedrohungen.
• Führen Sie eine fortlaufende Sicherheitsüberwachung durch. Überwachen Sie die Sicherheit Ihrer Systeme, indem Sie regelmäßig Penetrationstests und Schwachstellenscans durchführen. Halten Sie alle Systeme und Anwendungen mit den neuesten Sicherheitspatches auf dem neuesten Stand, um sie vor Schwachstellen zu schützen.
• Verwaltung von Lieferanten und Drittanbietern. Überprüfen Sie Anbieter und Dritte, die Karteninhaberdaten verarbeiten, um sicherzustellen, dass sie auch PCI DSS 4.0 einhalten. Beziehen Sie Compliance als Voraussetzung in Ihre Verträge ein.
• Bestätigen Sie Ihre Konformität. Nehmen Sie die Dienste eines qualifizierten Gutachters in Anspruch, der validiert, dass Ihr Unternehmen den neuen Standard einhält.

Die Zukunft der Zahlungssicherheit

Der Übergang zu PCI DSS 4.0 ist ein großer Schritt hin zu noch mehr Sicherheit und Effizienz bei der Zahlungskartenabwicklung. Unternehmen müssen sicherstellen, dass ihre Systeme die neuen Anforderungen erfüllen, um die vollständige Sicherheit der sensiblen Daten ihrer Kunden online zu gewährleisten.

Die in der aktualisierten Norm eingeführten Änderungen betonen einen dynamischeren und proaktiveren Sicherheitsansatz. Das Erreichen von Compliance ist keine einmalige Aufgabe, sondern ein fortlaufender Prozess, der regelmäßige Überprüfungen und Aktualisierungen erfordert.