Auswahl eines PCI DSS 4.0-Compliance-Produkts im Jahr 2023

Mit Strafen von bis zu 100.000 US-Dollar pro Monat bis zur vollständigen Einhaltung der Vorschriften kann es sich jedes Unternehmen, das Karteninhaberdaten verarbeitet, nicht leisten, eine PCI DSS-Compliance-Lücke zu übersehen. Da die expandierende digitale Landschaft jedoch die Komplexität der Informationssicherheit erhöht, ist es schwierig, den Datensicherheitsstandard der Zahlungskartenindustrie einzuhalten, es sei denn, Sie nutzen ein Produkt, das Ihnen bei der Verfolgung Ihrer Compliance-Bemühungen helfen kann.

In diesem Beitrag skizzieren wir die wesentlichen Funktionen und Fähigkeiten einer PCI-Compliance-Softwarelösung, die die Sicherheit Ihrer Datenumgebung für Karteninhaber erhöht und die Wahrscheinlichkeit eines Verstoßes gegen die Vorschriften erheblich minimiert.

Erfahren Sie, wie UpGuard das Vendor Risk Management > optimiert

Die 12 Compliance-Anforderungen von PCI DSS 4.0

Um die PCI DSS-Ausrichtung effektiv zu verfolgen, sollte eine Compliance-Lösung Funktionen enthalten, die der aktualisierten Version dieser Verordnung - PCI DSS 4.0 - zugeordnet sind. Ein Compliance-Tool, das sich nicht an die überarbeiteten Anforderungen in Version 4 angepasst hat, wird Ihnen bei der Einhaltung der Vorschriften nicht helfen, da Version 4.0 einige dramatische Änderungen mit sich bringt.

Während sich die 12 Kernanforderungen von PCI DSS nicht geändert haben. Sie lauten wie folgt:

1. Implementieren und pflegen Sie Netzwerksicherheitskontrollen

2. Implementieren Sie eine sichere Konfiguration

3. Schützen Sie gespeicherte Konto- und Karteninhaberdaten

4. Verbesserte Kryptographie bei der Übertragung von Karteninhaberdaten

5. Verbessern und pflegen Sie den Schutz vor Malware

6. Aktualisieren und Warten von Systemen und Apps

7. Beschränkung des digitalen Zugriffs auf Karteninhaberdaten

8. Beschränkung des physischen Zugriffs auf Karteninhaberdaten

9. Weisen Sie jedem authentifizierten Benutzer eine eindeutige ID zu

10. Überwachen und melden Sie, wenn auf Netzwerkressourcen und Karteninhaberdaten zugegriffen wird

11. Führen Sie häufige Tests für Sicherheitssysteme, Prozesse, Netzwerke und Geräte durch

12. Erstellen, Implementieren und Pflegen von Informationssicherheitsrichtlinien für die Informationssicherheit

Erfahren Sie mehr über PCI DSS Compliance >

Hinweis: Jede PCI SSC-Zahlungskartenmarke hat ihre eigenen PCI-Compliance-Anforderungen. Links zu den Compliance-Standards einiger der beliebten Markenmitglieder sind unten aufgeführt.

• Mastercard (Englisch)
• Amerikanischer Express
• VISUM
• JCB Deutschland

3 Hauptmerkmale für die Verfolgung der PCI DSS-Konformität

Die meisten Anforderungen von PCI DSS können mit den folgenden drei Cybersicherheitsinitiativen erfüllt werden:

1. Risikomanagement von Anbietern
2. Verwaltung des privilegierten Zugriffs
3. Verwaltung von Sicherheits-Patches

Wenn Sie es vorziehen, Ihre Angriffsfläche durch die Implementierung einer einzigen PCI DSS-Compliance-Lösung so gering wie möglich zu halten, empfehlen wir Ihnen dringend die Implementierung eines Vendor Risk Management-Tools. Ein VRM-Tool hilft Ihnen, Ihre gesamten PCI DSS-Compliance-Bemühungen zu verfolgen, indem es interne und externe Risiken aufdeckt, die sich auf die Ausrichtung an den Compliance-Funktionen von PCI DSS auswirken.

Erfahren Sie mehr über die Vendor Risk Management-Lösung von UpGuard >

1. Risikomanagement von Anbietern

Das PCI Security Standards Council (PCI SSC) erkennt wie die meisten Cyber-Vorschriften die Auswirkungen der Sicherheitspraktiken von Service Providern auf die Einhaltung von PCI DSS an. Um PCI DSS-konform zu sein, müssen Zahlungsabwicklungsunternehmen ihre Angriffsfläche von Drittanbietern mit einem Vendor Risk Management (VRM) sichern, wie in Anforderung 12.8 angegeben.

- PCI DSS Anforderung 12.8

Eine Komponente des Vendor Risk Managements ist die Nachverfolgung der Einhaltung gesetzlicher Vorschriften, die, wenn sie den Standards von PCI DSS zugeordnet wird, als hilfreicher Leitfaden für die Verfolgung Ihres gesamten Compliance-Niveaus dienen kann, das von internen und externen (externen) Faktoren beeinflusst wird.

Im VRM-Lebenszyklus erfolgt die Nachverfolgung der Einhaltung gesetzlicher Vorschriften auf höchster Ebene in der Due-Diligence-Phase und auf der tiefsten Ebene in der Bewertungs- und Überwachungsphase. In der Bewertungsphase wird die Einhaltung gesetzlicher Vorschriften anhand von Sicherheitsfragebögen und Risikobewertungen bewertet, die den Sicherheitsanforderungen von PCI DSS und anderen Standards entsprechen, um einen Bericht über die Compliance-Bemühungen zu erstellen. In der Überwachungsphase werden diese Bemühungen mit Schwachstellenscans fortgesetzt, um aufkommende Compliance-Risiken zu verfolgen, die eine sofortige Behebung erfordern, um Verstöße zu vermeiden.

Ein ideales PCI DSS-Compliance-Produkt ist in der Lage, die PCI DSS-Compliance bilateral zu verfolgen, indem interne Risikofaktoren und Risikofaktoren von Drittanbietern berücksichtigt werden. Dies lässt sich am besten mit Sicherheitsfragebögen erreichen, die auf die Standards von PCI DSS abgestimmt sind und für Anbieterbewertungen und Fragebögen zur Selbstbewertung verwendet werden.

Offizielle Self-Assessment Questionnaires (SAQs), die die Bescheinigung der Einhaltung für Händler bestätigen, sind auf der Website der PCI Security Standards verfügbar.

In dieser Kurzanleitung erfahren Sie, ob Ihre Vendor Risk Management-Lösung die Sicherheitsupdate-Ziele von PCI DSS Version 4 erfüllt:

• Verwenden Sie keine vom Anbieter bereitgestellten Standardpasswörter für Lösungen von Drittanbietern. Setzen Sie komplexe Passwörter mit Passwort-Managern durch.
• Bewerten Sie regelmäßig die Cybersicherheitsbemühungen von Drittanbietern, die Kreditkartendaten verarbeiten.
• Reagieren Sie schnell auf Lieferantenrisiken und erleichtern Sie möglicherweise Sicherheitsverletzungen durch Dritte.
• Nutzen Sie eine Vendor-Tiering-Strategie, um kritische Anbieter, die Kreditkartendaten verarbeiten, einfach differenziert zu identifizieren.

UpGuard bietet eine Bibliothek mit anpassbaren Vorlagen für Sicherheitsfragebögen, die den Standards von PCI DSS und anderen gängigen Vorschriften entsprechen. Nach Abschluss erkennt UpGuard automatisch Sicherheitsrisiken, die sich auf die Einhaltung von Vorschriften auswirken, und erhöht das Risiko kostspieliger Verstöße.

Erfahren Sie mehr über UpGuard-Sicherheitsfragebögen >

Durch die Integration dieser PCI DSS-Compliance-Tracking-Funktion in eine Vendor Risk Management-Plattform können Compliance-Risiken sofort durch einen Abhilfe-Workflow geleitet werden, was Ihnen hilft, PCI DSS-Compliance-Risiken schneller zu beseitigen.

UpGuard bietet auch ein Lieferanten-Tiering, das Lieferanten basierend auf ihren Fragebogenantworten automatisch einer Kritikalitätsstufe zuweist - ein Prozess, der an Ihre individuellen Tiering-Anforderungen angepasst werden kann.

Durch die Konfiguration dieses Tiering-Prozesses so, dass alle Anbieter, die Kreditkartendaten verarbeiten, automatisch der einen kritischen Stufe zugewiesen werden, kann diese Gruppe im Vendor Risk Management priorisiert werden, um das Risiko von Verstößen Dritter zu verringern, die zu kostspieligen PCI DSS-Verstößen führen.

Um mehr über einige der Compliance-Reporting-Funktionen von UpGuard zu erfahren, sehen Sie sich dieses Video an.

Machen Sie eine selbstgeführte Tour durch das UpGuards Vendor Risk-Produkt>

2. Verwaltung des privilegierten Zugriffs

Kann die Einhaltung der folgenden PCI DSS-Anforderungen unterstützen:

• PCI DSS-Funktion 1: Implementieren und Pflegen von Netzwerksicherheitskontrollen
• PCI DSS-Funktion 3: Schutz gespeicherter Konto- und Karteninhaberdaten
• PCI DSS Funktion 7: Einschränken des digitalen Zugriffs auf Karteninhaberdaten
• PCI DSS-Funktion 8: Einschränken des physischen Zugriffs auf Karteninhaberdaten
• PCI DSS Function 10: Überwachung und Berichterstellung beim Zugriff auf Netzwerkressourcen und Karteninhaberdaten

Bei so vielen komplexen PCI-Anforderungen ist es üblich, dass man sich zu überfordert fühlt, um zu wissen, wo man überhaupt anfangen soll. Beginnen Sie damit, Ihren Fokus auf den Schutz von Kreditkarteninformationen zu legen. Diese anfängliche Dynamik wird die sicherste Grundlage für Ihr PCI DSS-Compliance-Programm schaffen.

Wenn Ihr Cybersicherheitsprogramm korrekt eingerichtet ist, sind Ressourcen, die Karteninhaberdaten enthalten, in der Regel nur für privilegierte Benutzer zugänglich - Benutzerkonten mit einem höheren privilegierten Zugriffspotenzial als allgemeine Benutzerkonten.

Neben dem Zugriff auf hochsensible Daten und Zahlungssysteme wie Kreditkartendaten, Kundendaten, Zahlungsterminals und Kreditkartentransaktionen können privilegierte Debitkontodaten auch für die Anmeldung bei Sicherheitsmaßnahmen verwendet werden, wie z. B.:

• Firewalls
• Antivirensoftware
• Komponenten des Systems zur Verhinderung von Datenschutzverletzungen
• Software zum Schutz von Endgeräten.
• Schwachstellen-Management-Programme

Da privilegierte Konten Zugang zu einem so breiten Spektrum sensibler Vermögenswerte bieten, zielen Cyberkriminelle immer darauf ab, privilegierte Konten fast sofort nach dem Eindringen in ein sicheres Netzwerk zu entdecken.

Laut Forester betreffen 80 % der Datenschutzverletzungen kompromittierte privilegierte Anmeldeinformationen.

Kompromittierte Konten mit privilegiertem Zugriff könnten Hacker mit einem mehrgleisigen Cyberangriff ausstatten und einen Weg über mehrere Sicherheitslösungen zu den Kreditkartendaten bieten, die im Zentrum dieser Cyberabwehrstruktur stehen.

Aus einer umgekehrten Perspektive wird die Sicherung von Konten mit privilegiertem Zugriff die Schutzgrenze über die Ressourcen hinaus erweitern, in denen Karteninhaberdaten gespeichert sind, um mehrere Schichten von Sicherheitslösungen einzubeziehen, wodurch die Wahrscheinlichkeit einer Datenschutzverletzung erheblich verringert wird.

Erfahren Sie, wie Sie sich erfolgreich gegen Datenschutzverletzungen verteidigen können >

Konten mit privilegiertem Zugriff lassen sich am besten durch Privileged Access Management (PAM) schützen - eine Cybersicherheitsstrategie, die das Prinzip der geringsten Rechte durchsetzt, um sicherzustellen, dass Benutzer nur Zugriff auf das Mindestmaß an sensiblen Ressourcen haben, das für ihre Arbeit erforderlich ist.

Erfahren Sie mehr über Privileged Access Management >

PCI DSS 4.0 legt den Schwerpunkt verstärkt auf Identitäts- und Zugriffsmanagement und eine Zero-Trust-Architektur - eine Netzwerksicherheitsstrategie, die genehmigte Benutzerzugriffe durch kontinuierliche Authentifizierungsprotokolle bestätigt. Diese beiden Cybersicherheitsinitiativen erweitern die Kontosicherheitsprinzipien des Privileged Access Managements, um kontinuierlich vor unbefugtem Zugriff auf Karteninhaberdaten zu schützen.

In dieser Kurzanleitung erfahren Sie, ob Ihre Sicherheitslösung für privilegierte Konten die Zugriffskontrollziele von PCI DSS Version 4 erfüllt.

• Beschränken Sie den Benutzerzugriff (einschließlich Remote-Zugriff) auf Datenumgebungen für Karteninhaber.
• Beschränken Sie den Zugriff auf Kartendaten auf Benutzer, die den Zugriff unbedingt benötigen, um ihre täglichen Aufgaben zu erledigen.
• Richten Sie eine Richtlinie für die Benutzerzugriffskontrolle ein, die festlegt, welchen Benutzern Zugriff auf Datenumgebungen von Karteninhabern gewährt wird.
• Implementieren Sie strenge Zugriffskontrollmaßnahmen, die allen Benutzern, die nicht in den Richtlinien für privilegierte Benutzer enthalten sind, den Zugriff verweigern.
• Legen Sie eine sichere Passwortrichtlinie für privilegierte Konten fest, die idealerweise mit einem Passwort-Manager durchgesetzt wird.
• Weisen Sie allen Benutzerkonten, insbesondere privilegierten Benutzern, eine eindeutige ID zu.
• Überwachen Sie alle privilegierten Zugriffe auf sensible Ressourcen und Karteninhaberdaten.

3. Verwaltung von Sicherheitspatches

Kann die Einhaltung der folgenden PCI DSS-Anforderungen unterstützen:

• Funktion 6: Aktualisieren und Warten von Systemen und Apps

So wie kompromittierte privilegierte Anmeldeinformationen als Schlüssel dienen, die einen Weg durch Sicherheitskontrollen und in Kreditkartendatenressourcen erleichtern, sind Sicherheitslücken auch Angriffsvektoren, die als Weg zu Markendaten von Zahlungskarten dienen könnten.

Jede digitale Lösung ist anfällig für Sicherheitslücken, einschließlich Sicherheitstools und E-Commerce-Zahlungsabwicklungssoftware, wie z. B. Point-of-Sale-Software (POS).

Wenn Sie davon ausgehen, dass Produkte, die speziell für Kreditkartenzahlungsabwickler entwickelt wurden, von Natur aus sicher sind, irren Sie sich schwer. Sie werden überrascht sein, wie viele Datenschutzverletzungen durch die Ausnutzung von Sicherheitsrisiken in Point-of-Sale-Software passieren.

Ein Programm zur Verwaltung von Sicherheitspatches informiert Ihre Sicherheitsteams über neu verfügbare Sicherheitspatches und sorgt für deren rechtzeitige Implementierung.

Um die Datenschutzbemühungen durch rechtzeitige Sicherheitspatches zu unterstützen, sollten Sie Web Application Firewalls implementieren. Eine WAF könnte die Sicherheitsrisiken bei der Datenübertragung über ein öffentliches Netzwerk angehen. Laut dem Payment Card Industry Security Standards Council sind Übertragungsprotokolle wie anfälliges SSL und TLS 1.0 keine sicheren Verschlüsselungstypen mehr und sollten daher vermieden werden.

Der PCI Council verlangt von den Unternehmen, einen Plan zur Risikominderung zu erstellen, um die Sicherheitsrisiken unsicherer Protokolle wie anfälliges SSL und TLS 1.0 zu reduzieren, bis der Übergang zu sichereren Übertragungsprotokollen abgeschlossen ist.

Große und kleine Unternehmen sollten Netzwerke regelmäßig auf Schwachstellen testen, um sicherzustellen, dass die Übertragungsmechanismen trotz eines effizienten Programms zur Verwaltung von Sicherheitspatches nicht abgefangen werden können.

In dieser Kurzanleitung erfahren Sie, ob Ihre Lösung für das Sicherheitspatch-Management die Sicherheitsupdateziele von PCI DSS Version 4 erfüllt:

• Tragen Sie sich in eine E-Mail-Liste für Sicherheits-Patch-Releases für Anbieter ein, die diesen Service anbieten.
• Stellen Sie sicher, dass neue Patches innerhalb von 24 Stunden nach ihrer Veröffentlichung implementiert werden.
• Erstellen Sie einen Plan zur Implementierung von Sicherheitspatches.
• Führen Sie regelmäßige Penetrationstests durch, um auf Netzwerkschwachstellen zu testen.
• Führen Sie regelmäßige Schwachstellen-Scans durch, um Systemschwachstellen und -risiken zu entdecken, und scannen Sie Systeme nach der Bereitstellung von Patches erneut, um die Einhaltung der Vorschriften zu überprüfen.

• Einrichten einer Kontrollrichtlinie in Übereinstimmung mit branchenüblichen Best Practices (z. B. IEEE 802.11i)
• Entwerfen Sie einen Sanierungsplan, der kritische Risiken priorisiert, die bei Schwachstellenscans entdeckt werden.
• Testen Sie Patches vor der Implementierung und führen Sie Penetrationstests auf Systemen durch, die mit den neuesten Sicherheitspatches aktualisiert wurden.
• Stellen Sie sicher, dass Sicherheitsupdates über die aktuellsten Signaturen verfügen
• Nur Onboarding-Lösungen, die den branchenüblichen Best Practices entsprechen
• Implementieren Sie den Punkt-zu-Punkt-Verschlüsselungsstandard (P2PE) für die Verarbeitung von Karteninhaberdaten bei Transaktionen - über offene und öffentliche Netzwerke hinweg.
• Lassen Sie die Sicherheit Ihrer Infrastruktur von einem Qualified Security Assessor (QSA) zur Compliance-Validierung bewerten.
• Stellen Sie sicher, dass Firewalls, die Kreditkartendatenressourcen schützen, sicher konfiguriert sind.

Die UpGuard-Plattform enthält eine Funktion zum Scannen von Schwachstellen, die Angriffsvektoren erkennt, die den Zugriff auf Kreditkartenressourcen erleichtern können. UpGuard vergibt außerdem automatisch eine Kritikalitätsbewertung für erkannte Risiken, sodass Sicherheitsteams verstehen, wo sie ihre Bemühungen priorisieren müssen, um die effizientesten Abhilfepläne zu erreichen.

Durch die Erkennung übersehener Risiken, die häufig mit nicht gewarteten digitalen Assets verbunden sind, erweitert die UpGuard-Plattform ihre Funktionen zur Erkennung von Schwachstellen zu einem vollständigen Framework für das Management der Angriffsfläche, eine wesentliche Maßnahme zur Minderung von Datenschutzverletzungen, die jedes Unternehmen implementieren muss.

Sehen Sie sich dieses Video an, um mehr über die Funktionen von UpGuard zur Verwaltung der Angriffsfläche zu erfahren.