Kostenlose Vorlage für einen PCI DSS-Fragebogen für Anbieter (Ausgabe 2023)

Die PCI DSS-Konformität ist für alle Unternehmen, die Karteninhaberdaten verarbeiten, obligatorisch, einschließlich Ihrer Drittanbieter. Sicherheitsberichte bieten einen Einblick in das Informationssicherheitsprogramm eines Anbieters und decken seine Strategie für Sicherheitskontrollen und deren Ausrichtung an Vorschriften wie dem PCI DSS auf. In vielen Fällen entscheiden sich Unternehmen für eine PCI-Zertifizierung, um die Einhaltung der PCI DSS-Anforderungen nachzuweisen.

Die folgende Vorlage gibt Ihnen einen Überblick über den Grad der Einhaltung von PCI DSS durch jeden Anbieter und deckt potenzielle Compliance-Lücken auf, die einer tieferen Untersuchung bedürfen.

Um den größtmöglichen Nutzen aus diesem Beitrag zu ziehen, laden Sie unbedingt die begleitende bearbeitbare Vorlage herunter.

26 Fragen an Anbieter zur Bewertung der PCI DSS-Konformität im Jahr 2023

Diese Fragen helfen Ihnen bei der Bewertung, wie sich das Risikoprofil der einzelnen Anbieter auf Ihre Ausrichtung an den PCI DSS-Standards auswirkt. Um zu erfahren, wie sich diese Fragen auf die Anforderungen der neuesten Version von PCI DSS (Version 4) beziehen, lesen Sie diesen Leitfaden zur Einhaltung von PCI DSS 4.0.

Qualifizierende Frage: Geben Sie die Kategorie des von Ihnen angebotenen Zahlungsdienstes an.

Anbieter, um eine Option aus der Liste unten auszuwählen.

• Anbieter von Zahlungsanwendungen - Bietet Unterstützung für Anwendungen an, die Daten im Zusammenhang mit Karteninhabern verwalten, verarbeiten oder übertragen.
• Anbieter von Zahlungsterminals/Anbieter von Zahlungslösungen - Bieten Sie Unterstützung für Geräte oder Lösungen an, wie z. B. Zahlungsterminals oder Verschlüsselungslösungen, die für die Annahme von Kartenzahlungen verwendet werden.
• Zahlungsabwickler/E-Commerce-Zahlungsdienstleister/Zahlungsgateways/Contact Center - Verarbeiten, verwalten oder übertragen Sie Karteninhaberdaten in Ihrem Namen.
• E-Commerce-Hosting-Anbieter - Bieten Sie Hosting- und Verwaltungsdienste für Ihren E-Commerce-Server/Ihre Website an und entwickeln und unterstützen Sie Ihre Website.
• Anbieter von Software-as-a-Service/Cloud-basierter Hosting-Anbieter - Bieten Dienstleistungen zum Entwickeln, Hosten und/oder Verwalten Ihrer Webanwendung oder Zahlungsanwendung (z. B. Online-Ticketing- oder Buchungsanwendung) in der Cloud an.
• Integratoren/Reseller - Einrichten und Konfigurieren von Zahlungssystemen für Händler.

Erfahren Sie, wie Sie eine Software zur Automatisierung von Sicherheitsfragebögen auswählen >

Hinweis: Der PCI Data Security Standard gilt nur für die vier hintersten Kategoriepunkte in dieser Liste. Anbieter von Zahlungsanwendungen müssen den Payment Application Data Security Standard (PA-DSS) einhalten. Die Standards PIN Transaction Security (PTS) und PCI Point-to-Point Encryption gelten für Anbieter von Zahlungsterminals/Zahlungslösungen.

Frage 1: Sammelt und überträgt die von Ihnen angebotene Lösung/das von Ihnen angebotene Produkt sicher Zahlungskarteninformationen?

• Ja
• Nein
• Anbieter, um seine Antwort mit weiteren Details zu unterstützen.

PDF-> herunterladen

Interne Anmerkung:

Bei Anbietern ohne vorhandene Karte, einschließlich E-Commerce- und Telefonbestellanbietern, können Sie überprüfen, ob die folgenden Kreditkartenmarken sie in ihre Liste der konformen Dienstanbieter aufnehmen.

• Mastercard.
• Visa Global.
• Visum Europa.

Frage 2: Speichern Sie Zahlungskarteninformationen in meinen Systemen, z. B. in meinen physischen Geschäften/Filialen, in der Webanwendung oder auf der E-Commerce-Website?

• Ja
• Nein
• Anbieter, um seine Antwort mit weiteren Details zu unterstützen.

Frage 3: Wenn Sie Frage 2 mit "Ja" beantwortet haben, erläutern Sie, wie Ihr Produkt/Ihre Dienstleistung diese Daten schützt.

• Anbieter, um eine detaillierte Antwort zu geben.

Frage 4: Verwendet Ihr Produkt/Ihre Dienstleistung eine robuste Verschlüsselung, um die Sicherheit der Zahlungskartendaten während der Übertragung zu gewährleisten?

• Ja
• Nein
• Anbieter, um seine Antwort mit weiteren Details zu unterstützen.

Interne Anmerkung:

• Für Zahlungsterminals und integrierte Zahlungsterminals - Sie können überprüfen, ob der Anbieter für die Verwendung einer Punkt-zu-Punkt-Verschlüsselungslösung bekannt ist, indem Sie auf dieses Verzeichnis verweisen.

Erfahren Sie, wie Sie sich auf ein PCI DSS-Audit vorbereiten >

Frage 5: Verwenden Sie eine sichere Version von Transport Layer Security (TLS), um die Sicherheit der übertragenen Zahlungskartendaten zu gewährleisten?

• Ja
• Nein
• Anbieter, um seine Antwort mit weiteren Details zu unterstützen.

Interne Anmerkung:

Diese Frage gilt nur für gehostete E-Commerce-Websites, Webanwendungen oder Zahlungsanwendungen.

Frage 6: Muss Ihre Lösung in eines meiner anderen Systeme oder Rechenzentren integriert werden?

• Ja
• Nein
• Anbieter, um seine Antwort mit weiteren Details zu unterstützen.

Interne Anmerkung:

Einige Beispiele für relevante Informationssysteme/-sektoren, in die die Drittanbieterlösung möglicherweise integriert werden muss, sind:

• Zahlungsterminals.
• Forderungen.
• Alle Systeme/Konten mit Zugriff auf Karteninhaberdaten.

Im Idealfall ist die Anbieterlösung eigenständig oder erfordert nur wenige Verbindungen mit anderen internen Systemen. Solche segmentierten Lösungen sind einfacher zu sichern und vor Kompromittierungen zu schützen, wenn ein Netzwerk verletzt wird.

Wenn der Anbieter Integrationen mit Ihren anderen Systemen verlangt, müssen Sie prüfen, ob diese einen größeren Mehrwert bieten als die Auswirkungen ihrer Sicherheitsrisiken auf Ihre Sicherheitslage. Dies gelingt am besten, indem Sie ihre Risikoexposition mit Ihrer Risikobereitschaft vergleichen.

Erfahren Sie, wie Sie Ihre Risikobereitschaft berechnen >

Frage 7: Müssen Sie eine Zahlungsanwendung oder ein Zahlungssystem in meiner IT-Umgebung installieren?

• Ja
• Nein (springen Sie zu Frage 11)
• Anbieter, um seine Antwort mit weiteren Details zu unterstützen.

Frage 8: Wenn eine Installation erforderlich ist, führen Sie die Installation durch?

• Ja

• Nein
• Anbieter, um seine Antwort mit weiteren Details zu unterstützen.

Frage 9: Wenn Sie Frage 7 mit "Ja" beantwortet haben, sind Sie ein PCI Qualified Integrator oder Reseller?

• Ja
• Nein
• Anbieter, um seine Antwort mit weiteren Details zu unterstützen.

Finden Sie heraus, ob Sie einen Fachmann beauftragen müssen, um PCI DSS-konform zu werden>

Frage 10: Wenn Sie Frage 7 mit "Nein" beantwortet haben, wird von meinem Sicherheitsteam erwartet, dass es installiert wird?

• Ja
• Nein
• Anbieter, um seine Antwort mit weiteren Details zu unterstützen.

Interne Anmerkung:

Der Prozess der Installation von Zahlungsabwicklungsanwendungen von Drittanbietern in Ihren Systemen sollte nicht nur auf Ihren Schultern liegen. Wenn die Anwendung(en) des Anbieters nicht korrekt installiert sind, besteht aufgrund einer Fehlkonfiguration ein erhöhtes Risiko einer PCI DSS-Verletzung oder einer Datenschutzverletzung.

Im Idealfall sollte der Anbieter die Anwendung selbst konform installieren, indem er sein Fachwissen als PCI Qualified Integrator (QIR) ausübt. Abgesehen davon sollte der Anbieter Ihren Sicherheitsteams einen Implementierungsleitfaden zur Verfügung stellen, der mindestens die folgenden Anforderungen erfüllt. Diese Punkte werden in den Fragen 10 bis 15 abgefragt.

• Details zum Ersetzen von Standard-Systemkennwörtern durch komplexe.
• Details zum Verwalten von Sicherheitspatches und -updates.
• Eine Beschreibung aller Fernzugriffssoftware, die für den Zugriff auf Ihr Unternehmen verwendet wird.
• Informationen über Ihre Rolle bei solchen Remoteverbindungen.

Frage 11: Bieten Sie Unterstützung bei der Installation oder Einrichtung des Produkts/der Lösung an, um alle Standardpasswörter zu ändern?

• Ja
• Nein
• Anbieter, um seine Antwort mit weiteren Details zu unterstützen.

Frage 12: Welche Unterstützung und Anleitung bieten Sie meinem Unternehmen während des Patching-/Aktualisierungsprozesses an?

• Anbieter, um eine detaillierte Antwort zu geben.

Frage 13: Werden Patches und Updates automatisch bereitgestellt und installiert?

• Ja
• Nein
• Anbieter, um seine Antwort mit weiteren Details zu unterstützen.

Frage 14: Bin ich verpflichtet, diese Patches/Updates selbst zu erwerben und zu installieren?

• Ja
• Nein
• Anbieter, um seine Antwort mit weiteren Details zu unterstützen.

Frage 15: Wie werden Sie benachrichtigt, wenn Patches/Updates verfügbar sind oder automatisch implementiert wurden?

• Ja
• Nein
• Anbieter, um weitere Details anzugeben.

Interne Anmerkung:

Ohne ein System zur regelmäßigen Überprüfung und Implementierung von Sicherheitspatches ist die Drittanbieterlösung anfällig für Datenschutzverletzungen, was das Risiko erhöht, einen kostspieligen Verstoß gegen die PCI DSS-Konformität zu erleiden. Im Idealfall sollte der Drittanbieter Ihre Sicherheitsteams benachrichtigen, wenn ein neuer Sicherheitspatch verfügbar ist, und eine Anleitung für den Installationsprozess anbieten.

Um sicherzustellen, dass der Verkäufer sich Ihrer Erwartungen an die Sorgfaltspflicht voll bewusst ist, sollten Sie Einzelheiten zu Ihren Benachrichtigungserwartungen in seinen Vertrag aufnehmen.

Frage 16: Übernehmen Sie die Verantwortung für das Patchen/Aktualisieren Ihrer Lösung?

• Ja
• Nein
• Anbieter, um seine Antwort mit weiteren Details zu unterstützen.

Interne Anmerkung:

Diese Frage ist vor allem für gehostete E-Commerce-Websites, Webanwendungen oder Zahlungsanwendungen relevant.

Frage 17: Werden Sie jederzeit einen Fernzugriff auf das Unternehmen benötigen, um Support für Ihr Produkt/Ihre Dienstleistung anbieten zu können?

• Ja
• Nein
• Anbieter, um seine Antwort mit weiteren Details zu unterstützen.

Interne Anmerkung:

Jede Form von Remote-Verbindung eines Drittanbieters ist ein potenzieller Angriffsvektor, der, wenn er ausgenutzt wird, zu einer Datenschutzverletzung führen kann. Daher sollten diese Ereignisse als kritische Cybersicherheitsrisiken angesehen werden, die bei den Überwachungsbemühungen Vorrang haben.

Im Idealfall sollten alle Remoteverbindungen von Drittanbietern abgelehnt werden. Das Risiko eines böswilligen Abfangens ist viel zu groß. Wenn jedoch ein Remotezugriff für den Produktsupport erforderlich ist, können diese Sitzungen auf eine Weise stattfinden, die sowohl PCI-konform als auch weniger anfällig für Ausnutzung ist, wenn die folgenden PCI DSS-Anforderungen erfüllt sind:

• Remote-Sitzungen sind auf den kürzesten Zeitraum beschränkt, der zum Abschließen einer Support-Aufgabe erforderlich ist.
• Der Fernzugriff ist vollständig deaktiviert, wenn er nicht verwendet wird.
• Die Multi-Faktor-Authentifizierung wird verwendet, um die Identitäten aller Benutzer des Drittanbieters zu überprüfen, die versuchen, eine Remoteverbindung herzustellen.
• Aktualisieren Sie regelmäßig Benutzernamen und Kennwörter für Remoteverbindungssitzungen.

Frage 18: Wird Ihr Produkt auf Ihren Systemen ausgeführt, die Ihrem Unternehmen gehören und von diesem gewartet werden?

• Ja
• Nein
• Anbieter, um seine Antwort mit weiteren Details zu unterstützen.

Interne Anmerkung:

Diese Frage stellt sich, wenn es sich bei dem Drittanbieter um einen Dienstleister handelt.

Frage 19: Wenn Sie Frage 15 mit "Ja" beantwortet haben, ist Ihre Umgebung PCI DSS-konform?

• Ja
• Nein
• Anbieter, um seine Antwort mit weiteren Details zu unterstützen.

Interne Notiz

Diese Frage stellt sich, wenn es sich bei dem Drittanbieter um einen Dienstleister handelt.

Frage 20: Wenn Sie Frage 15 mit "Ja" beantwortet haben, decken Ihre PCI DSS-Bewertungen alle Dienstleistungen ab, die Sie mir anbieten?

• Ja
• Nein
• Anbieter, um seine Antwort mit weiteren Details zu unterstützen.

Interne Notiz

Diese Frage stellt sich, wenn es sich bei dem Drittanbieter um einen Dienstleister handelt. Wenn Sie Vertrauen in die Qualität der PCI DSS-Bewertung haben möchten, die dieser Anbieter verwendet, sollten Sie die Verwendung einer Vendor Risk Management-Lösung mit einem integrierten Bewertungsmodul eines Drittanbieters, wie z. B. UpGuard, in Betracht ziehen.

Erfahren Sie mehr über die Sicherheitsfragebogen-Lösung von UpGuard >

Frage 21: Welche Überwachungslösungen gibt es, um verdächtige Aktivitäten vor einer Datenschutzverletzung zu erkennen?

• Anbieter, um eine detaillierte Antwort zu geben.

Frage 22: Wie lange ist der voraussichtliche Zeitrahmen, um mich zu benachrichtigen, wenn Ihr Produkt/Ihre Lösung durch eine Datenschutzverletzung kompromittiert wird?

• Anbieter, um eine detaillierte Antwort zu geben.

Frage 23: Sollte mein Unternehmen aufgrund Ihres Produkts/Ihrer Dienstleistung eine Strafe wegen PCI DSS-Verstoßes erhalten, bieten Sie Support/Schutz an?

• Ja
• Nein
• Anbieter, um seine Antwort mit weiteren Details zu unterstützen.

Frage 24: Haben Sie eine Cyber-Versicherung, die Verstöße im Zusammenhang mit Ihrem Produkt/Ihrer Dienstleistung abdeckt?

• Ja
• Nein
• Anbieter, um seine Antwort mit weiteren Details zu unterstützen.

Interne Notiz

Eine Versicherungspolice für Datenschutzverletzungen zeigt, dass der Drittanbieter seine Cybersicherheit sehr ernst nimmt. Wenn der Anbieter über eine Versicherung gegen Datenschutzverletzungen verfügt, bitten Sie ihn, Einzelheiten zum Umfang der Deckung anzugeben.

Erfahren Sie mehr über Cyber-Versicherungen >

Frage 25: Wenn ich eine Sicherheitsverletzung erleide, weil Ihr Produkt/Ihre Dienstleistung als Angriffsvektor fungiert, helfen Sie mir bei der Benachrichtigung aller betroffenen Kunden?

• Ja
• Nein
• Anbieter, um seine Antwort mit weiteren Details zu unterstützen.

Interne Notiz

Wenn der Anbieter nicht vorhat, Unterstützung bei der Benachrichtigung anzubieten, sollte Ihr Sicherheitsteam mit ihm zusammenarbeiten, um ein Kundenbenachrichtigungsprotokoll für den Fall zu entwerfen, dass die Daten des Karteninhabers kompromittiert werden. Dieses Protokoll sollte zu Ihrem Incident Response Plan hinzugefügt werden.

Erfahren Sie, wie Sie einen Incident Response Plan erstellen >

Frage 26: Wenn Sie Frage 21 mit "Ja" beantwortet haben, bieten Sie dann eine Kreditüberwachung für alle betroffenen Kunden an?

• Ja
• Nein
• Anbieter, um seine Antwort mit weiteren Details zu unterstützen.

Die UpGuard-Plattform enthält einen PCI DSS-Compliance-Fragebogen, der Compliance-Lücken auf der Grundlage von Lieferantenantworten identifiziert.

Mit dieser Lösung zur Risikobewertung von Anbietern im Rahmen eines Vendor Risk Management-Programms können Sicherheitsteams alle identifizierten Risiken über einen vollständigen VRM-Lebenszyklus weitergeben und so die Sicherheitslage von Drittanbietern gegen Versuche von Datenschutzverletzungen und PCI DSS-Verstößen widerstandsfähig halten.