Erfüllung der Anforderungen an das Third-Party-Risiko von PCI DSS im Jahr 2023

Unternehmen müssen effektive Third-Party-Risk-Management-Programme (TPRM) einführen, um sicherzustellen, dass ihre Anbieter die Anforderungen an die Cybersicherheit erfüllen. Andernfalls riskieren sie, den finanziellen und Reputationsschaden zu tragen, der durch Datenschutzverletzungen bei Kunden verursacht wird.

Der PCI DSS-Standard deckt Aspekte des Risikomanagements von Drittanbietern ab, da er auf alle Organisationen anwendbar ist, die Kreditkartendaten verarbeiten, insbesondere auf die stark regulierte Finanzbranche.

Die Vermeidung hoher Geldstrafen und negativer Schlagzeilen reicht aus, um die PCI-Compliance zu fördern. Diese Befürchtungen überschatten oft die praktischen Vorteile der Implementierung des Standards, wie z. B. die Reife der Sicherheitslage und effektivere TPRM-Praktiken.

In diesem Beitrag wird beschrieben, welche PCI-Anforderungen für den Risikomanagementprozess von Drittanbietern relevant sind und wie die UpGuard-Plattform dazu beitragen kann, alle Anforderungen im gesamten Anbieter-Ökosystem zu erfüllen.

Wenn Sie bereits mit PCI DSS vertraut sind, klicken Sie hier, um zu den Risikoanforderungen von Drittanbietern zu gelangen.

Was ist PCI DSS?

Der Payment Card Industry Data Security Standard (PCI DSS) ist ein internationaler Informationssicherheitsstandard, der darauf abzielt, Kreditkartendaten und sensible Authentifizierungsdaten zu schützen und Kreditkartenbetrug zu reduzieren.

Der Standard wurde erstmals 2004 veröffentlicht und gleicht die Datensicherheitskontrollen von fünf großen Zahlungsmarken an - Visa, MasterCard, Discover, American Express und JCB.

PCI DSS hat viele Überarbeitungen durchlaufen, seit die fünf Kartenmarken im Jahr 2006 ihren Dachverband - den Payment Card Industry Security Standards Council (PCI SSC) - gegründet haben.

Die neueste Version von PCI DSS ist v4.0. Diese Version adressiert den unvermeidlichen Einfluss der digitalen Transformation und wachsender Angriffsflächen auf die Zahlungstechnologie.

Erfahren Sie, wie Sie PCI DSS 4.0 > einhalten können

Jedes Unternehmen, das Kredit- oder Debitkartendaten verarbeitet, muss PCI-konform sein. Zu diesen Organisationen gehören:

Acquirer
Prozessoren
Kaufleute
Banken
Drittanbieter von Dienstleistungen

Finden Sie heraus, ob Sie einen Auditor für PCI-Compliance beauftragen müssen >

Was sind die PCI DSS-Compliance-Anforderungen?

Die neueste Version von PCI DSS besteht aus 12 Hauptanforderungen, die auf sechs übergeordnete Ziele aufgeteilt sind.

Erfahren Sie, wie Sie ein PCI DSS 4.0-Compliance-Produkt auswählen >

Ziel 1: Aufbau und Wartung eines sicheren Netzwerks und sicherer Systeme

Anforderung 1. Installieren und pflegen Sie eine Firewall-Konfiguration, um die Daten des Karteninhabers zu schützen.

Anforderung 2. Verwenden Sie keine vom Anbieter bereitgestellten Standardwerte für Systemkennwörter und andere Sicherheitsparameter.

Ziel 2: Schutz der Daten von Karteninhabern

Anforderung 3. Schützen Sie gespeicherte Karteninhaberdaten.

Anforderung 4. Verschlüsseln Sie die Übertragung von Karteninhaberdaten über offene, öffentliche Netzwerke.

Ziel 3: Pflegen Sie ein Schwachstellenmanagement-Programm

Anforderung 5. Schützen Sie alle Systeme vor Malware und aktualisieren Sie regelmäßig Antivirensoftware oder -programme.

Anforderung 6. Entwickeln und pflegen Sie sichere Systeme und Anwendungen.

Ziel 4: Implementierung strenger Zugangskontrollmaßnahmen

Anforderung 7. Beschränken Sie den Zugriff auf Karteninhaberdaten nach geschäftlichem Bedarf.

Anforderung 8. Identifizieren und authentifizieren Sie den Zugriff auf Systemkomponenten.

Anforderung 9. Beschränken Sie den physischen Zugriff auf Karteninhaberdaten.

Ziel 5: Netzwerke regelmäßig überwachen und testen

Anforderung 10. Verfolgen und überwachen Sie alle Zugriffe auf Netzwerkressourcen und Karteninhaberdaten.

Anforderung 11. Testen Sie regelmäßig Sicherheitssysteme und -prozesse.

Ziel 6: Aufrechterhaltung einer Informationssicherheitsrichtlinie

Anforderung 12. Pflegen Sie eine Richtlinie, die die Informationssicherheit für alle Mitarbeiter berücksichtigt.

Das PCI Security Standards Council verlangt eine jährliche Validierung der Konformität. Händler müssen Self-Assessment Questionnaires (SAQs) ausfüllen und werden vor Ort von einem qualifizierten Sicherheitsprüfer geprüft, wenn sie mit größeren Transaktionsvolumina zu tun haben.

Organisationen, die PCI DSS nicht einhalten, müssen mit Geldstrafen zwischen 5.000 und 100.000 US-Dollar pro Monat rechnen, wenn sie nicht eingehalten werden.

Diese Checkliste hilft Ihnen, Ihre PCI DSS-Compliance-Bemühungen zu verfolgen. Um die PCI DSS-Konformität mit Ihren Anbietern zu bewerten, verwenden Sie diese kostenlose Vorlage.

Erfahren Sie, wie Sie das Risiko von Drittanbietern an den Vorstand kommunizieren können >

PCI DSS-Compliance-Stufen

Es gibt vier verschiedene Stufen der PCI DSS-Compliance-Anforderungen, abhängig von:

Die Anzahl der Kreditkartentransaktionen, die der Händler verarbeitet,
das Zahlungsabwicklungsmedium, das der Händler verwendet, und
Der Status der Datenschutzverletzung des Händlers.

Stufe 1

Deckt Händler ab, die jährlich mehr als sechs Millionen Kreditkartentransaktionen verarbeiten, einschließlich realer und E-Commerce-Transaktionen, ODER alle Händler, die kürzlich eine Datenschutzverletzung erlebt haben.

Compliance-Anforderungen:

Jährliches Audit durch einen Qualified Security Assessor (QSA)
Vierteljährlicher Netzwerk-Scan, der von einem Approved Scanning Vendor (ASV) durchgeführt wird
Jährlicher Erhalt einer Konformitätsbescheinigung (AoC) und eines Compliance-Berichts (RoC)

Stufe 2

Deckt Händler ab, die jährlich zwischen einer und sechs Millionen Kreditkartentransaktionen verarbeiten, einschließlich realer und E-Commerce-Transaktionen.

Compliance-Anforderungen:

Jährliches Ausfüllen eines Self-Assessment Questionnaire (SAQ)

Vierteljährlicher Netzwerk-Scan, der von einem Approved Scanning Vendor (ASV) durchgeführt wird

Stufe 3

Deckt Händler ab, die jährlich zwischen 20.000 und einer Million E-Commerce-Transaktionen verarbeiten.

Compliance-Anforderungen:

Jährliches Ausfüllen eines Self-Assessment Questionnaire (SAQ)

Vierteljährlicher Netzwerk-Scan, der von einem Approved Scanning Vendor (ASV) durchgeführt wird

Stufe 4

Deckt Händler ab, die weniger als 20.000 und eine Million E-Commerce-Transaktionen pro Jahr oder bis zu einer Million reale Transaktionen pro Jahr verarbeiten.

Compliance-Anforderungen:

Jährliches Ausfüllen eines Self-Assessment Questionnaire (SAQ)

Vierteljährlicher Netzwerk-Scan, der von einem Approved Scanning Vendor (ASV) durchgeführt wird

Was sind die PCI DSS-Anforderungen für Dritte?

Das Dokument Information Supplement des PCI Security Standards Council: Third-Party Security Assurance besagt, dass Unternehmen ihre Kreditkartenvorgänge an einen Drittanbieter (TPSP) auslagern können, z. B. "um Karteninhaberdaten im Namen des Unternehmens zu speichern, zu verarbeiten oder zu übertragen oder um Komponenten der Karteninhaberdatenumgebung (CDE) des Unternehmens zu verwalten. ”

Zu den gängigen TPSPs gehören:

Hosting von Anwendungen
Rechenzentren
Anbieter von Zahlungsgateways
Cloud-Infrastruktur
Verschlüsselungs- oder Tokenisierungsdienste
Verwaltete Sicherheitsdienste
Zahlungsabwickler

Zu den CDE-Komponenten gehören:

Router
Firewalls
Datenbanken
Physische Sicherheit
und/oder Server

Der Rat erkennt zwar an, dass ein solches TPSP "... kann zu einem integralen Bestandteil der Datenumgebung des Unternehmens für Karteninhaber werden... sich auf die PCI-DSS-Konformität eines Unternehmens auswirken ... [und] die Sicherheit der Datenumgebung für Karteninhaber", wird betont, dass ein Unternehmen "letztendlich für seine eigene PCI DSS-Konformität verantwortlich ist, [und] nicht davon ausgenommen ist... von der Rechenschaftspflicht und der Verpflichtung, dafür zu sorgen, dass die Daten des Karteninhabers (CHD) und die CDE sicher sind. ”

PCI SSC bietet Anleitungen in vier Hauptbereichen, um Unternehmen bei der Implementierung von TPRM-Programmen zu unterstützen, die die Sicherheitsanforderungen des PCI DSS-Standards erfüllen.

1. Sorgfaltspflicht von Drittanbietern

Durchführung der Vendor Due Diligence, um sicherzustellen, dass potenzielle Anbieter auf der Grundlage ihrer Sicherheitspraktiken überprüft und ausgewählt werden.

2. Korrelation des Dienstes mit den PCI DSS-Anforderungen

Eine einvernehmliche Einigung darüber, welche PCI DSS-Anforderungen vom TPSP erfüllt werden sollen und welche das Unternehmen erfüllen wird, wobei davon ausgegangen wird, dass das Unternehmen letztendlich für die Einhaltung verantwortlich ist.

3. Schriftliche Vereinbarungen sowie Richtlinien und Verfahren

Erstellung schriftlicher Vereinbarungen, in denen die gegenseitige Vereinbarung zwischen dem TPSP und dem Unternehmen in Bezug auf die PCI DSS-Compliance-Anforderungen klar angegeben ist.

4. Überwachen Sie den Compliance-Status von Drittanbietern

Einblick in den PCI DSS-Compliance-Status jedes relevanten TPSP, um sicherzustellen, dass das Unternehmen selbst konform bleibt.

PCI DSS - Anforderungen an das Risiko von Drittanbietern

Der PCI Data Security Standard umfasst ein komprimiertes Programm für das Risikomanagement von Anbietern, das in Anforderung 12.8 unterteilt ist und fünf Unteranforderungen und eine zusätzliche Anforderung speziell für Drittanbieter enthält.

Anforderung 12.8

"Festlegung und Umsetzung von Richtlinien und Verfahren zur Verwaltung von Dienstleistern, bei denen Karteninhaberdaten weitergegeben werden oder die Sicherheit von Karteninhaberdaten beeinträchtigen können. "

Die Richtlinien und Verfahren sollten die folgenden Unteranforderungen abdecken.

Unteranforderung 12.8.1

"Führen Sie eine Liste der Dienstleister, einschließlich einer Beschreibung der erbrachten Dienstleistung. "

Das Lieferanteninventar von UpGuard kann die Sicherheitslage jedes Unternehmens sofort finden, verfolgen und überwachen. Die Funktion ermöglicht es Unternehmen, Service Provider mit Branchen-Benchmarks zu vergleichen und ihre Sicherheitslage im Laufe der Zeit an einem zentralen Ort zu überwachen.