Müssen Sie einen Fachmann beauftragen, um PCI-konform zu sein?

Sie brauchen keinen Fachmann, um PCI-konform zu sein, aber professionelles Fachwissen kann die Navigation durch die notorisch komplexen PCI DSS-Anforderungen erleichtern. Ein erfahrenes Cybersicherheitsunternehmen mit qualifiziertem Bewertungspersonal kann die Einhaltung von Vorschriften beschleunigen, die Sicherheitslage eines Unternehmens nach vorrangigen Maßnahmen verbessern und dem Unternehmen helfen, ein hohes Maß an Sicherheit und Seelenfrieden zu erreichen.

Sie müssen jedoch einen Fachmann beauftragen, damit Ihr Unternehmen PCI-zertifiziert ist. Während die PCI-Konformität durch jährliche Selbstbewertungen und Bescheinigungen bestätigt werden kann, erfordert die PCI-Zertifizierung eine strenge, externe, unabhängige Bewertung.

Wenn Sie PCI-konform sind, halten Sie sich an die Karteninhaberdatenstandards von PCI DSS. Wenn Sie PCI-zertifiziert sind, sind Sie nicht nur konform, sondern haben dies auch allen Beteiligten ohne Zweifel bewiesen. Die Befolgung der PCI-Standards und die Erlangung der PCI-Zertifizierung sind zwei getrennte Schritte.

Um Ihnen zu helfen, zu verstehen, ob Sie PCI-konform oder PCI-zertifiziert sein müssen - und ob Sie einen Fachmann beauftragen möchten oder nicht - befasst sich dieser Beitrag genauer mit PCI DSS und den Auswirkungen von PCI-Compliance vs. PCI-Zertifizierung.

Erfahren Sie, wie UpGuard Unternehmen dabei hilft, Compliance-> zu erreichen

Was ist PCI DSS?

PCI DSS steht für Payment Card Industry Data Security Standards. Die Standards wurden 2006 vom PCI Security Standards Council (PCI SSC) entwickelt, der sich aus Interessenvertretern der Zahlungsbranche zusammensetzt, darunter die fünf größten Kreditkartenunternehmen: JCB International, American Express, Discover, Mastercard und Visa.

Das globale Forum des PCI SSC stellt Ressourcen zur Verfügung, um sicherere Zahlungen und Kartenverarbeitungen weltweit zu fördern und zu erleichtern. Ihre sich ständig weiterentwickelnden Standards und Anforderungen gelten für Unternehmen, die Karteninhaberdaten verarbeiten, speichern oder übertragen.

Durch die Einhaltung dieser Standards wissen Unternehmen, dass sie die Mindeststandards für die Sicherung von Kartenzahlungen erfüllen.

PCI-Konformität

PCI DSS gilt für alle Organisationen, die Karteninhaberdaten akzeptieren, speichern, verarbeiten oder übertragen. Alle Händler müssen die PCI DSS-Anforderungen einhalten oder riskieren die Nichteinhaltung.

Die PCI-Konformität ist zwar nicht gesetzlich vorgeschrieben, aber durch die Verträge zwischen Händlern, großen Kartenmarken und Banken vorgeschrieben.

Zahlungsmarken können Banken mit Geldstrafen belegen, wenn sie PCI DSS nicht einhalten. In den meisten Fällen verstößt ein Unternehmen, das sich nicht an DSS hält, nicht gegen das Gesetz. Wahrscheinlicher ist, dass der Zahlungsabwickler oder die Kartenmarke mit einer Geldstrafe belegt wird, wenn er mit einem nicht konformen Händler zusammenarbeitet. Der Zahlungsabwickler oder die Kartenmarke kann die Geldstrafe dann an den Händler weitergeben.

Daher wird der Händler bei Nichteinhaltung nicht direkt mit einer Geldstrafe belegt, aber die Nichteinhaltung birgt immer noch ein echtes Risiko und Kosten.

Nicht konforme Händler und andere Organisationen, die Karteninhaberdaten falsch handhaben, könnten als Verstoß gegen ihren Vertrag mit Zahlungsabwicklern und Banken angesehen werden, was zu rechtlichen Schritten führen könnte.

In einigen US-Bundesstaaten, darunter Minnesota und Washington, müssen Unternehmen Standards einhalten, die dem PCI DSS entsprechen. Dies ist ein Gesetz auf staatlicher Ebene, daher sollten Unternehmen ihre PCI-Compliance-Anforderungen von Bundesstaat zu Bundesstaat prüfen.

Darüber hinaus kann die PCI-Konformität durch eine Selbstbewertung über einen Fragebogen oder eine externe Bewertung nachgewiesen werden, je nach Grad der Konformität, der von 1 bis 4 reicht.

Erfahren Sie, wie Sie PCI DSS 4.0 > einhalten

PCI-Zertifizierung

Im Gegensatz zur Bescheinigung der PCI-Konformität erfordert die PCI-Zertifizierung eine Überprüfung durch einen externen externen Prüfer. Ein Unternehmen, das die PCI-Konformität bescheinigt, hat noch nicht bewiesen, dass es Sicherheitsmaßnahmen implementiert hat. Das Assessment ist ein umfassendes Audit, das von einem Qualified Security Assessor (QSA) durchgeführt wird.

Die QSA ist verantwortlich für die Prüfung aller relevanten Bereiche einer Organisation, um sicherzustellen, dass sie über die erforderlichen Sicherheitskontrollen verfügt, um die Daten der Karteninhaber vor PCI DSS zu schützen. QSAs arbeiten für unabhängige Sicherheitsorganisationen, die vom PCI SSC überprüft wurden, um sicherzustellen, dass sie die strengen Standards einhalten, die PCI DSS erfordert.

QSA-Mitarbeiter und QSA-Organisationen müssen hohe Standards in Bezug auf Professionalität, Genauigkeit, Integrität und Ethik einhalten, um effiziente und effektive PCI DSS-Bewertungen durchführen zu können. Qualifizierte, unabhängige QSA-Gutachter sind notwendig, da sie den externen Nachweis erbringen, dass die Software, Verfahren und Prozesse eines Unternehmens ausreichen, um die Daten der Karteninhaber zu schützen.

Während die betreffenden Daten und Sicherheitsmaßnahmen für die PCI-Compliance oder die PCI-Zertifizierung gleich sind, ist die PCI-Zertifizierung ein weitaus strengerer Prozess und hat mehr Gewicht, wenn es darum geht, das Vertrauen von Geschäftspartnern, Kunden und Auftraggebern zu gewinnen.

Ein Unternehmen mit ausgereifter Cybersicherheit oder einer hohen Sicherheitsbewertung kann feststellen, dass es innerhalb von zwei Wochen nach Beginn des Prozesses die PCI-Konformität erreichen kann. Da die PCI-Zertifizierung jedoch ein strengerer Prozess ist und eine QSA erfordert, kann es bis zu etwa sechs Monate dauern.

Die Vorteile der PCI-Compliance

Die Zunahme von Cyberangriffen bedeutet erhöhte Risiken für alle, die Debit- oder Kreditkartenzahlungen tätigen. Die Einhaltung von PCI DSS schützt solche Finanztransaktionen vor Betrug oder falscher Handhabung.

Darüber hinaus können Unternehmen PCI DSS als Framework nutzen, um ihre Sicherheitslage zu verbessern, indem sie Schwachstellen identifizieren, die behoben werden müssen, und Bedrohungen, die sie mit Sicherheitskontrollen abschwächen oder beheben können.

Die Stärkung der Sicherheit von Kartentransaktionen ist gut für das Geschäft. Eine Datenschutzverletzung oder die Offenlegung von Informationen über Karteninhaber, insbesondere von Finanzdaten, kann für ein Unternehmen verheerend sein und zu Geschäftsunterbrechungen, Umsatzeinbußen, negativer Medienaufmerksamkeit und Vertrauensverlust der Verbraucher führen.

Die Kosten für die Behebung einer Datenschutzverletzung können erheblich sein, ebenso wie die möglichen Geldstrafen, wenn festgestellt wird, dass das Unternehmen den PCI DSS unter Umständen nicht eingehalten hat, in denen dies obligatorisch ist oder in denen bestehende Datenschutzgesetze gelten. Dazu gehören unter anderem der Health Insurance Portability and Accountability Act (HIPAA) und die Datenschutz-Grundverordnung (DSGVO).

Trotz der hohen Kosten von Datenschutzverletzungen kann der Reputationsschaden durch eine Datenschutzverletzung, die die Finanzinformationen der Kunden gefährdet, am schwierigsten wiedergutzumachen sein. Equifax ist eines von vielen Beispielen für ein Unternehmen, das stark unter großen Datenschutzverletzungen gelitten hat, die Finanzinformationen kompromittieren.

Datenschutzverletzungen sind heute eine Tatsache. Was zählt, ist, dass Unternehmen Vorkehrungen treffen, um sie zu verhindern, und dass sie Incident-Response-Pläne unterhalten, die es ihnen ermöglichen, umgehend zu reagieren, die Ursache des Verstoßes zu identifizieren, den Schaden einzudämmen, den Verstoß den zuständigen Behörden, Kunden und/oder den Medien zu melden und den Vorfall transparent zu machen.

Ein Teil der PCI-Compliance besteht darin, einen angemessenen Incident-Response-Plan aufrechtzuerhalten, damit das Unternehmen den Schaden einer versehentlichen Offenlegung oder einer erfolgreichen Datenschutzverletzung begrenzen kann. Die Einhaltung von PCI DSS kann einem Unternehmen auch dabei helfen, Geldstrafen für die Nichteinhaltung zu vermeiden, abhängig von bestimmten Umständen, einschließlich des Staates, in dem das Unternehmen tätig ist.

Vorteile der PCI-Zertifizierung

Möglicherweise möchte ein Unternehmen die Einhaltung von PCI DSS durch einen offiziellen PCI-Zertifizierungsprozess bekannter machen. Die PCI-Konformität schützt Karteninhaber und Unternehmen, die mit diesen Daten umgehen, indem sie widerstandsfähiger gegen Cyberangriffe und Datenoffenlegung gemacht werden. Die PCI-Zertifizierung ist jedoch ein mutiges Statement, das aktiv das Vertrauen der Kunden, insbesondere in kleinen Unternehmen, weckt.

Die PCI-Zertifizierung zeigt Kunden, Klienten und Geschäftspartnern, dass ein Unternehmen Zeit, Geld und Mühe in die Bereitstellung und Priorisierung von Schutzmaßnahmen für Finanztransaktionen investiert hat. Ein PCI-zertifiziertes Unternehmen macht deutlich, dass es wirklich PCI-konform ist und diese Standards einhält, um Dritte zu schützen und die Lieferkette zu sichern.

Daher ist die PCI-Zertifizierung ein Gütesiegel, das bescheinigt, dass das Unternehmen den Schutz von Karteninhaberdaten ernst nimmt, und impliziert, dass es bereit, willens und in der Lage ist, mit den Gesetzesänderungen Schritt zu halten, die sich auf die Finanzdaten der Kunden auswirken.

Neue Strategien zur Betrugsprävention, Änderungen der Zahlungsinfrastruktur, neue staatliche Vorschriften in Bezug auf Daten und strengere Authentifizierungsmaßnahmen sind alles Faktoren, die die Finanz- und Einzelhandelsbranche betreffen. Händler mit PCI-Zertifizierung beweisen, dass sie den Herausforderungen gewachsen sind, Daten vor sich entwickelnden Cyberrisiken zu schützen.

Stufen der PCI-Konformität

Es gibt vier Hauptstufen der PCI-Konformität.

Die Beauftragung eines Fachmanns ist für die Einhaltung von PCI DSS der Stufe 1 erforderlich.

Auf den Stufen 2 bis 4 kann die Einstellung eines Fachmanns den Prozess der Einhaltung der Vorschriften erleichtern, ist aber keine Voraussetzung. Jede Stufe, von 1 bis 4, erfordert jährliche und vierteljährliche Maßnahmen, so dass die PCI-Compliance zu einer fortlaufenden Aktivität und nicht zu einem einmaligen Ereignis wird.

Der Arbeitsaufwand, den ein Unternehmen leisten muss, um die Vorschriften einzuhalten, hängt von seiner Größe, der Anzahl der Kartentransaktionen pro Jahr und seiner Cybersicherheitshistorie ab. Je größer das Unternehmen und je mehr Transaktionen, desto mehr Anforderungen sind für die PCI-Compliance notwendig.

Stufe 1

Stufe 1 ist für Händler auf Unternehmensebene gedacht, die mehr als 6 Millionen Kartentransaktionen pro Jahr über Visa oder Mastercard oder mehr als 2,5 Millionen Transaktionen über American Express abwickeln.

Alternativ kann die Einhaltung der Stufe 1 auch für Organisationen gelten, die von einem Kartenverband wie Visa oder Mastercard als Stufe 1 eingestuft wurden. Unternehmen, die ebenfalls von einer Datenschutzverletzung betroffen sind, benötigen möglicherweise auch die Einhaltung von PCI DSS der Stufe 1.

Um dieses Compliance-Niveau zu erreichen und aufrechtzuerhalten, müssen Unternehmen über Folgendes verfügen:

Eine Vor-Ort-Bewertung der Stufe 1, die jährlich von einem QSA oder unter bestimmten Umständen von einem internen Prüfer durchgeführt wird, wenn die Bewertung von einem leitenden Angestellten des Unternehmens unterzeichnet wird
Ein vierteljährlicher Netzwerkscan, der von einem Approved Scan Vendor (ASV) durchgeführt wird
Eine Konformitätsbescheinigung (AOC) in Bezug auf Vor-Ort-Bewertungen

Stufe 2

Die Einhaltung der Stufe 2 ist für Händler relevant, die jährlich zwischen 1 und 6 Millionen Transaktionen verarbeiten.

Diese Unternehmen müssen Folgendes vorlegen:

Ein ausgefüllter jährlicher PCI DSS Self-Assessment Questionnaire (SAQ), von dem es je nach Art der Zahlungsintegration verschiedene Arten gibt
Vierteljährlicher Netzwerkscan eines ASV
Eine Konformitätsbescheinigung, die dem entsprechenden SAQ entspricht

Stufe 3

Auf Level 3 wickeln Händler jährlich zwischen 20.000 und 1 Million Transaktionen ab. Die Anforderungen für Stufe 3 sind die gleichen wie für Stufe 2.

Stufe 4

Die PCI-Konformität der Stufe 4 gilt für Händler, die jährlich weniger als 20.000 Transaktionen verarbeiten. Die Anforderungen für Stufe 4 sind die gleichen wie für die Stufen 2 und 3.

Drei Komponenten von PCI DSS

Die PCI-Compliance konzentriert sich auf drei Bereiche. Diese drei Bereiche können verwendet werden, um die 12 PCI DSS Security Control Requirement Families mit mehr als 300 Unterkomponenten zu kategorisieren.

Umgang mit Zahlungskartendaten

Organisationen, die direkt mit Kreditkartendaten umgehen, müssen geeignete Sicherheitssoftware und -hardware implementieren und warten, um diese zu schützen.

Für Karteninhaberdaten sind Datenschutzsoftware, -hardware, -richtlinien und -verfahren erforderlich, auch wenn die Datenverarbeitung relativ kurz oder kurzlebig ist. Unabhängig von der Dauer oder dem Ausmaß ist es immer noch einem Risiko durch Hacker, Cyberkriminelle und Insider-Bedrohungsakteure ausgesetzt.

Ein Unternehmen, das seine eigenen Transaktionen durchführt, muss möglicherweise jede der 300+ PCI DSS-Sicherheitskontrollen erfüllen.

Im Gegenteil, Unternehmen, die eine Zahlungslösung eines Drittanbieters verwenden, vermeiden es eher, all diese 300+ Anforderungen erfüllen zu müssen, da die Kartendaten vollständig von den Servern des Drittanbieters verarbeitet werden.

Für viele große Unternehmen ist es nicht möglich, Zahlungssysteme von Drittanbietern zu verwenden. Diejenigen, die dies tun, müssen sich jedoch möglicherweise nur an 22 allgemeine Sicherheitskontrollen halten und bestätigen, dass sie verwendet werden.

Speichern von Daten

Unternehmen, die Karteninhaberdaten speichern, müssen eine Bewertung durchführen, um den Umfang ihrer Karteninhaberdatenumgebung (CDE) zu verstehen und zu definieren, d. h. alles, was mit den Personen, Prozessen und Technologien zu tun hat, mit denen das Unternehmen Kreditkartendaten verarbeitet.

Die Zahlungsumgebung eines Unternehmens muss vom Rest des Netzwerks segmentiert werden, um PCI DSS effizienter und effektiver zu gestalten. Anstatt das gesamte Netzwerk und jeden Endpunkt nach 300+ Sicherheitskontrollen zu sichern, ermöglicht ein segmentiertes Netzwerk dem Sicherheitsteam, sich auf das Zahlungssystem zu konzentrieren.

Validieren von Sicherheitskontrollen

PCI DSS-Konformität und -Zertifizierung erfordern eine jährliche Validierung. Dies geschieht durch Selbsteinschätzung für erstere und externe Bewertung für letztere.

Der Nachweis des Einsatzes angemessener Sicherheitskontrollen kann von Zahlungsvorgängen Dritter und Geschäftspartnern verlangt werden.

12 Anforderungen an die PCI-DSS-Sicherheitskontrolle

Wenn Ihr Unternehmen ein Händlerkonto verwendet, d. h. das Bankkonto, das für die Annahme von Kartenzahlungen erforderlich ist, sind die Bedingungen und Anforderungen in Bezug auf die PCI-Konformität normalerweise in den Allgemeinen Geschäftsbedingungen der Anbieter von Händlerkonten enthalten.

Während der Anbieter von Händlerkonten einige Lasten für den Schutz der Karteninhaberdaten übernehmen wird, muss das Unternehmen seinen Teil dazu beitragen, sichere, private Transaktionen zu gewährleisten.

Für Unternehmen, die einen Zahlungsdienstleister (PSP) wie Stripe oder SumUp nutzen, ist ein Händlerkonto nicht erforderlich, und der Anbieter übernimmt in der Regel eine gewisse Verantwortung für die PCI-Compliance. Die Organisation, die den PSP verwendet, muss jedoch erneut sicherstellen, dass ihre Praktiken mit PCI DSS konform sind.

Die Cybersicherheit bei Finanztransaktionen liegt in der Verantwortung aller an diesen Transaktionen Beteiligten. Darüber hinaus stellt PCI DSS die Nichteinhaltung mit Geldstrafen unter Strafe, ganz zu schweigen von dem möglichen Reputationsverlust, der sich aus der Nichtbeachtung der etablierten Richtlinien zum Schutz von Kunden und Klienten ergibt.

Die 12 Familien von Cybersicherheitskontrollen, die Best Practices für Unternehmen widerspiegeln, die mit Karteninhaberdaten umgehen, lauten wie folgt:

Installieren und Verwalten einer Firewall
Ändern von Standardpasswörtern und -konfiguration
Schützen Sie gespeicherte Karteninhaberdaten
Verschlüsselte übertragene Karteninhaberdaten
Implementierung und Wartung von Antivirus-Lösungen
Entwicklung von Sicherheitssystemen und -prozessen
Zugriffsbeschränkung verwenden
Implementieren eines Authentifizierungssystems
Implementieren Sie physische Sicherheit
Überwachen des Netzwerkzugriffs
Testsysteme und -prozesse
Pflegen von Informationssicherheitsrichtlinien

1. Installieren und Warten einer Firewall

Eine Firewall überwacht und verfolgt alles, was in ein Netzwerk ein- oder ausgeht. Dieses grundlegende Cybersicherheitselement kann die Sicherheitslage eines Unternehmens erheblich verbessern und ist für die Entwicklung eines Cybersicherheitssystems, das Unternehmen beim Umgang mit bekannten und aufkommenden Bedrohungen unterstützen kann, unerlässlich.

Dort, wo sensible Daten gespeichert oder übertragen werden, ist eine Firewall unerlässlich. Die Protokolle einer Firewall helfen nicht nur bei der Abwehr von Cyberangriffen und warnen IT- oder Cybersicherheitspersonal vor verdächtigen Aktivitäten, sondern können auch bei einer Untersuchung nach einer erfolgreichen Datenschutzverletzung von unschätzbarem Wert sein.

Datenforensik-Teams können von einer Firewall profitieren, um die Ursache eines Sicherheitsproblems oder einer Datenschutzverletzung zu identifizieren. Sie können diese Informationen nutzen, um die Sicherheitsverletzung einzudämmen oder die Gefährdung schneller zu beheben, was von entscheidender Bedeutung ist, wenn kompromittierte Daten vertrauliche Informationen wie Kundendaten und Finanzdetails enthalten.

2. Ändern Sie die Standardpasswörter und die Konfiguration

Eine der größten Schwachstellen für Unternehmen ist die Verwendung gängiger Standardpasswörter für den Netzwerkzugriff.

Dies ist ein großes Problem bei der zunehmenden Nutzung von IoT-Geräten, die in der Regel mit einer schwachen Standardsicherheit einhergehen, die unverändert bleibt, bevor sie in Betrieb genommen wird. Hacker können diese Geräte dann auch ohne technisches Know-how leicht ausnutzen, um in ein Netzwerk einzudringen, sich seitlich zu bewegen und Zugriff auf sensible Informationen zu erhalten.

Point-of-Sale-Geräte (PoS) mit Standardpasswörtern bieten Cyberkriminellen die Möglichkeit, sich unbefugten Zugriff auf ein Netzwerk zu verschaffen, Daten zu lesen, zu stehlen und zu ändern, die das System durchlaufen.

Die Verbesserung grundlegender Standardpasswörter durch stärkere Passwörter ist eine einfache Möglichkeit, die Sicherheit drastisch zu erhöhen. Ein sicheres Passwort und eine Multi-Faktor-Authentifizierung können einen großen Beitrag zur Sicherheit eines Systems leisten, das Kartenzahlungsinformationen speichert oder verarbeitet.

Eine Fehlkonfiguration von Servern kann zur Offenlegung von Daten führen. Die Sicherstellung einer ordnungsgemäßen Konfiguration sowie die Aktualisierung und Überwachung der Systemeinstellungen sind für PCC DSS und die Vertraulichkeit, Integrität und Verfügbarkeit der Karteninhaberdaten von entscheidender Bedeutung.

3. Schützen Sie gespeicherte Karteninhaberdaten

Die Daten von Karteninhabern sind ein wichtiges Ziel für Hacker. Mit Finanzinformationen können Cyberkriminelle versuchen, betrügerische Transaktionen durchzuführen. Diese Art von Daten kann auch zu Phishing-Angriffen führen, da sie Cyberkriminellen wichtige Informationen über ihre Ziele liefern, wodurch ihre Angriffe gezielter und authentischer erscheinen.

Cyberkriminelle können auch von kompromittierten Finanzdaten profitieren, indem sie sie verschlüsseln und mit Ransomware oder Ransomware-as-a-Service Lösegeld erpressen, um die Sensibilität dieser Daten zu nutzen, um Geld zu erpressen.

Zu den gängigen und effektiven Methoden zum Sichern gespeicherter Karteninhaberdaten gehören Verschlüsselung, Maskierung und Hashing. Beachten Sie, dass sich der Schutz gespeicherter Daten nicht ausschließlich auf die Verhinderung von Datenschutzverletzungen konzentriert, sondern Methoden zum Schutz von Daten und zur Unbrauchbarkeit von Daten im Falle eines Cyberangriffs in Betracht zieht.

Die Datenbegrenzung ist auch ein wirksames Mittel, um das Risiko kompromittierter Daten zu verringern. Es kann nicht kompromittiert werden, wenn es nicht mehr existiert. Daher werden bei der Datenbegrenzung Möglichkeiten in Betracht gezogen, die Datenmenge, die durch Unternehmen fließt, zu reduzieren, ihre Speicherung zu minimieren und die Dauer des Zugriffs zu begrenzen, bevor sie sicher vernichtet werden.

Gemäß dem PCI DSS-Standard müssen primäre Kontonummern (PANs) an jedem Ort, an dem sie gespeichert sind, unlesbar sein. Dazu gehören tragbare Geräte, Flash-Laufwerke, Backup-Systeme und Überwachungsprotokolle.

4. Übertragene Karteninhaberdaten verschlüsseln

Hacker können Daten abfangen, während sie übertragen werden. Bei einem Man-in-the-Middle-Angriff fangen Hacker Übertragungen ab, um Daten zwischen dem Sender und dem Empfänger zu lesen, zu stehlen und/oder zu ändern, ohne dass einer der beiden weiß, dass eine Störung stattgefunden hat.

Die Verschlüsselung erschwert es Hackern erheblich, solche Angriffe durchzuführen. Selbst wenn sie es schaffen, Daten abzufangen, macht eine starke Kryptographie das Lesen sehr schwierig. Das Entschlüsseln verschlüsselter Daten kann ausgeklügelte Methoden und viel Zeit in Anspruch nehmen, was Ransomware für Unternehmen gefährlich macht und warum Verschlüsselung gegen Hacker wirksam ist.

Wenn Sie Finanzinformationen oder andere sensible Daten online senden oder verarbeiten, sollte dies immer mit zusätzlicher Sicherheit über dem HTTP-Protokoll erfolgen. HTTPS fügt Transport Layer Security (TLS) hinzu, um Diebstahl, Spionage und Manipulation sensibler Daten zu verhindern.

5. Implementieren und warten Sie Antivirus-Lösungen

Ein Antivirenprogramm befindet sich an vorderster Front eines Netzwerks, überwacht und überprüft Dateien im Netzwerk und hält Ausschau nach Bedrohungen, wie aus seiner Datenbank hervorgeht.

Ein hervorragendes Antivirenprogramm reagiert automatisch, wenn eine Bedrohung erkannt wird. Viren können sich schnell selbst vermehren, und Malware kann schnell handeln, daher ist es hilfreich, ein automatisiertes System zu haben, das verdächtige Dateien unter Quarantäne stellen und das IT- oder Cybersicherheitspersonal benachrichtigen kann, wenn verdächtige Aktivitäten festgestellt werden.

Ein Unternehmen, das sich mit Zahlungen von Karteninhabern befasst, muss nicht nur ein Antivirenprogramm implementieren, sondern dieses System auch aufrechterhalten, um weiterhin effektiv zu sein. Das bedeutet, dass das System regelmäßig aktualisiert werden muss, um auf die neuesten Bedrohungsinformationen zurückzugreifen.

6. Entwicklung und Wartung von Sicherheitssystemen, -anwendungen und -prozessen

Die Implementierung grundlegender Cybersicherheit und robuster Sicherheitsmaßnahmen kann einem Unternehmen helfen, seine Sicherheitslage zu verbessern. Die Organisation sollte Sicherheitssysteme und -anwendungen identifizieren, entwickeln und implementieren, die die einzigartigen Schwachstellen und Sicherheitsanforderungen der Organisation erfüllen, die durch einen Risikomanagementprozess identifiziert wurden.

Diese Sicherheitsmaßnahmen müssen auch überwacht und gepatcht werden, um sicherzustellen, dass sie im gesamten Unternehmen immer bestmöglich funktionieren. Das Unternehmen muss seine Angriffsfläche verwalten und seine Endpunkte im Auge behalten, einschließlich PoS-Terminals und Mitarbeitergeräte für Unternehmen, die Bring Your Own Device (BYOD)- oder Remote-Arbeitsrichtlinien anwenden.

Unternehmen müssen angesichts der zunehmenden 5G-Konnektivität und der zunehmenden Nutzung von IoT-Geräten wachsam sein, um Angriffsflächen zu begrenzen und zu sichern.

7. Verwenden Sie Zugriffskontrolle oder -beschränkung

Die Zugriffskontrolle ist eine wichtige Möglichkeit für Unternehmen, das Risiko einer Datenschutzverletzung zu verringern. Es erleichtert auch die Behebung eines Systems nach einer erfolgreichen Datenschutzverletzung.

In der Regel benötigt nicht jeder Zugriff auf vertrauliche Informationen. Mit einem Privileged Access Management (PAM) System können verschiedenen Benutzern die passenden Zugriffsebenen entsprechend ihren Bedürfnissen zugewiesen werden.

Beispielsweise können Besucher, Teilzeit-Auftragnehmer und Cybersicherheitsmitarbeiter unterschiedliche Netzwerkzugriffsebenen haben. Da weniger Personen auf sensible Daten zugreifen können, besteht ein geringeres Risiko, dass Daten offengelegt werden, Angriffe von Insider-Bedrohungsakteuren und kompromittierte Anmeldeinformationen zu Datenschutzverletzungen führen.

Es ist auch wichtig, dass der privilegierte Zugriff in dem Moment widerrufen wird, in dem er nicht mehr benötigt wird. In einigen Fällen haben Mitarbeiter weiterhin alte Anmeldedaten ehemaliger Kollegen verwendet, um auf vertrauliche Daten zuzugreifen, was die Informationssicherheit ernsthaft gefährdet.

Im Falle einer Datenschutzverletzung können Zugriffskontrolle und Aktivitätsüberwachung einem datenforensischen Team dabei helfen, herauszufinden, was wann und wo schief gelaufen ist.

8. Implementieren Sie ein Authentifizierungssystem

Die Authentifizierung ist beim Umgang mit sensiblen Daten von entscheidender Bedeutung, da sie die Überwachung und Verfolgung von Benutzern im Netzwerk ermöglicht, verdächtige Aktivitäten aufzeigt und es einfacher macht, im Falle einer Datenschutzverletzung zu erkennen, was schief gelaufen ist.

Identifizierung bedeutet, dass Geräte und Benutzer über IDs verfügen, die in der Regel alphanumerisch sind und Netzwerkadministratoren und Sicherheitsmitarbeitern bei der Verwaltung des Systems helfen können.

Authentifizierung bedeutet, dass diese Benutzer, Systeme und Prozesse nachweisen müssen, wer oder was sie vorgeben zu sein. Während ein Benutzername ein Beispiel für die Identifizierung ist, ist ein Passwort ein Beispiel für die Authentifizierung.

Die Multi-Faktor-Authentifizierung verbessert die Cybersicherheit erheblich. Obwohl es nicht zu 100 % effektiv ist, gab Microsoft an, dass es bei der Verhinderung von Datenschutzverletzungen zu fast 99 % wirksam sein könnte.

9. Implementieren Sie physische Sicherheit

Physische und umgebungsbezogene Sicherheitskontrollen werden bei digitalen, netzwerkorientierten Lösungen oft übersehen. Die Verbesserung oder Aufrechterhaltung physischer Sicherheitsmaßnahmen ist jedoch entscheidend, um die PCI DSS-Konformität zu erreichen.

Physische Sicherheit bedeutet, einen Perimeter um sensible Daten zu schützen. Der Perimeter kann das Gebäude selbst und sein Gelände, ein Hochsicherheitsraum innerhalb des Gebäudes oder die Oberfläche eines Schranks mit vertraulichen Informationen sein.

Die Sicherung dieser Bereiche kann auf verschiedene Weise erreicht werden, darunter:

Videoüberwachung von Ein- und Ausgängen
Smart Badges für Besucher und Auftragnehmer
Sicherheitskräfte

10. Überwachen Sie den Netzwerkzugriff

Der Einsatz von Kontrollen zur Begrenzung des Netzwerkzugriffs ist für die Cybersicherheit hilfreich, aber moderne Bedrohungen erfordern einen robusteren Ansatz für die Netzwerksicherheit.

Da Cyberkriminelle KI und 5G nutzen, um schnellere, ausgefeiltere und effektivere Cyberangriffe durchzuführen, erfordert die Gewährleistung der Netzwerksicherheit zunehmend eine kontinuierliche Überwachung und kann auch vom Einsatz von KI-Technologie profitieren.

Die kontinuierliche Überwachung hilft dem System, verdächtige Aktivitäten und Abweichungen von normalen Mustern zu erkennen. Überwachungsprotokolle können Datenforensik-Teams auch dabei helfen, die Teile dessen zusammenzusetzen, was während einer Datenschutzverletzung passiert ist.

Mit KI und maschinellem Lernen, einer Teilmenge der KI, kann ein Cybersicherheitssystem beginnen, zu verstehen, wie normale Muster aussehen, und extrem schnell auf Bedrohungen reagieren, auch wenn es ihnen noch nie zuvor begegnet ist.

In einer zunehmend bedrohungsreichen Landschaft mit aufkommenden Bedrohungen, die immer ausgefeilter werden, und fortschrittlichen hartnäckigen Bedrohungen, die nicht nur Unternehmen, sondern auch die Wirtschaft selbst vor Herausforderungen stellen, kann eine kontinuierliche Netzwerküberwachung mit Hilfe von Threat Intelligence, Automatisierung und KI eine robuste Verteidigung gegen unbekannte Bedrohungen bieten.

11. Testsysteme und -prozesse

PCI-Compliance ist kein einmaliges Ereignis, sondern eine fortlaufende Praxis, bei der Unternehmen sicherstellen müssen, dass ihre Systeme und Prozesse einen kontinuierlichen Schutz vor Cyberangriffen bieten.

Um sicherzustellen, dass die implementierten Sicherheitsmaßnahmen funktionieren, sind Testsysteme und -prozesse erforderlich. Veränderungen in Bezug auf Personal, Technologie und die Cyber-Bedrohungslandschaft selbst können sich auf die Sicherheitslage eines Unternehmens auswirken.

Regelmäßige, strenge Tests etablierter Systeme und Prozesse stellen sicher, dass Karteninhaberdaten und andere Finanzinformationen sicher bleiben, unabhängig davon, ob sie gesichert, gespeichert, übertragen oder verarbeitet werden.

12. Pflegen Sie Informationssicherheitsrichtlinien

Ohne dokumentierte Informationssicherheitsrichtlinien ist es wahrscheinlicher, dass Unternehmen in schlechte Cybersicherheit und inkonsistente Cybersicherheitspraktiken verfallen, was zu Herausforderungen bei der Aufrechterhaltung der Informationssicherheit führt.

Mit transparenten, leicht zugänglichen Informationen über Sicherheitsrichtlinien, die im gesamten Unternehmen anwendbar und verfügbar sind, können die Akteure im Bereich Cybersicherheit sicherstellen, dass sie das Notwendige tun, um die für die PCI-DSS-Compliance erforderlichen Mindeststandards einzuhalten.

Ein standardisierter, ganzheitlicher Ansatz für die Cybersicherheit hilft Sicherheitsteams, ihre Systeme auf dem neuesten Stand zu halten und das Risiko von Fehlkonfigurationen, Sicherheitslücken und versehentlichen Offenlegungen zu verringern.