So erfüllen Sie PCI DSS 4.0 (Leitfaden 2023)

Wenn Sie Kreditkartendaten verarbeiten, haben Sie nur bis zum 1. April 2024 Zeit, um vollständig PCI DSS 4.0 konform zu werden. Die Nichteinhaltung dieser Frist kann zu monatlichen Geldstrafen führen, bis die vollständige Einhaltung endgültig erreicht ist.

Dieser Beitrag hilft Ihnen, sich mit den Compliance-Anforderungen der neuesten Version des Datensicherheitsstandards vertraut zu machen und soll Ihnen helfen, die Einhaltung aller Anforderungen des Standards so effizient wie möglich zu erreichen.

Erfahren Sie, wie UpGuard das Vendor Risk Management > optimiert

Was ist neu in PCI DSS 4.0?

Bevor Sie in Panik geraten, sollten Sie sich darüber im Klaren sein, dass Version 4 keine vollständige Gesamtheit der bisherigen PCI DSS-Konformität darstellt. Diese neue Version ist eine Anpassung an die Fortschritte in der Zahlungstechnologie, die seit Version 3.2.1 stattgefunden haben - die Tech-Landschaft hat sich seit der Veröffentlichung dieser Version im Jahr 2018 erheblich verändert!

Die Änderungen in Version 4 (geordnet nach der Bedeutung der Entfettung) sind unten aufgeführt.

1. Maßgeschneiderter Ansatz für die Implementierung

Die vielleicht dramatischste Veränderung in Version 4 besteht darin, dass Unternehmen jetzt selbst entscheiden können, wie sie Technologie implementieren möchten, um Compliance zu erreichen. Eine maßgeschneiderte Implementierung bedeutet, dass Unternehmen jetzt die Freiheit haben, ihre individuelle Kontrollstrategie zu erneuern, um ihren eigenen individuellen Beschwerdepfad zu erreichen. Diese neue Anforderung bietet eine größere Flexibilität bei der Einhaltung der strengen Cybersicherheitsstandards von PCI DSS.

Benutzerdefinierte Kontrollen sollten nicht mit kompensierenden Kontrollen verwechselt werden - unterstützende Sicherheitsmaßnahmen, die eingeführt werden, wenn ein Unternehmen aus akzeptablen Gründen keine Compliance erreichen kann.

Dieser neue, maßgeschneiderte Ansatz für die PCI DSS-Compliance ist besonders vorteilhaft für große Unternehmen mit gut entwickelten internen Compliance-Strategien. Mit dem maßgeschneiderten Ansatz können Sie weiterhin die Konformität nachweisen, ohne sich vorschreibend an die PCI DSS-Standards anpassen zu müssen.

Der maßgeschneiderte Ansatz ermöglicht es Unternehmen, die Sicherheitskontrollen zu bestimmen, die verwendet werden, um ein in PCI DSS angegebenes Ziel zu erreichen.

2. Verstärkter Fokus auf Schwachstellenmanagement

PCI DSS Version 4.0 erweitert den Umfang der Sicherheitslücken, die in Version 3.2.1 behoben werden müssen, wobei nur kritische und hochriskante Schwachstellen behoben werden müssen. In Version 4 müssen alle Schwachstellen behoben werden, unabhängig von ihrem Schweregrad, wobei die kritischste Schwachstelle Priorität hat. Dies liegt daran, dass jede Schwachstelle, wenn sie ausgenutzt wird, potenziell eine Datenschutzverletzung begünstigen kann, die sich auf die Daten von Karteninhabern auswirkt.

3. Malware- und Phishing-Kontrollen

Um die Bedrohung durch Ransomware-Angriffe und andere Cyberangriffe im Zusammenhang mit Malware zu verringern und Isolationsstrategien wie Air Gaps zu überwinden, erfordert PCI DSSv4.0, dass alle Wechseldatenträger wie USBs und externe Festplatten mit Malware-Erkennungssoftware gescannt werden - entweder wenn das Gerät angeschlossen ist oder auf einer kontinuierlichen Systemscan-Ebene, während das Gerät angeschlossen ist.

Diese Sicherheitskontrolle ist kein neuer Standard. Sie beschreibt im Wesentlichen den Ablauf einer Endpoint-Protection-Lösung, die bereits Bestandteil Ihres Netzwerksicherheitsprogramms sein sollte.

4. Verbesserte Schulungen zum Thema Cybersicherheit

Version 4 bietet definiertere Spezifikationen für die Mitarbeiterschulung. Das Personal muss jetzt mindestens alle 12 Monate geschult werden, wobei das Schulungsmaterial jährlich überprüft werden muss, um sicherzustellen, dass es die neuesten Entwicklungen in der Bedrohungslandschaft widerspiegelt.

PCI DSS 4.0 ist auch spezifischer in Bezug auf die Themen, zu denen das Personal geschult werden sollte. Dazu gehören Social-Engineering- und Phishing-Angriffe - die häufigsten ersten Angriffsvektoren, die zu Datenschutzverletzungen führen.

Holen Sie sich Ihren kostenlosen Leitfaden zur Prävention von Datenschutzverletzungen >

5. Sicherere Benutzerauthentifizierung

Eine neue Anforderung an die Zugriffskontrolle in PCI DSS v4.0 ist die Implementierung von Multi-Faktor-Authentifizierung (MFA), um den Zugriff auf Cardholder Data Environments (CDE) zu sichern.

Benutzervalidierungsmethoden wie MFA und Zero Trust gehören zu den effektivsten Maßnahmen zum Schutz von Zahlungsdaten.

Diese neue PCI DSS-Anforderung wird auch das Risiko einer Kompromittierung von Kontodaten minimieren und das Ziel der Social-Engineering-Schulungserwartungen der Verordnung unterstützen.

Erfahren Sie mehr über gängige MFA-Umgehungsmethoden >

In PCI DSS v4.0 wurden 60 neue Anforderungen eingeführt. Zusätzlich zu den oben aufgeführten Sicherheitsanforderungen gibt es noch einige weitere neue Sicherheitsanforderungen:

• Führen eines Inventars der gesamten Kryptographie
• Abwehr von E-Commerce-Skimming-Angriffen.
• Automatisierte Überprüfungen von Zugriffsprotokollen

Eine ausführlichere Erläuterung der Änderungen der PCI-Anforderungen in Version 4 finden Sie in diesem Dokument des PCI Security Standards Council (PCI SSC).

Erfahren Sie, wie Sie ein PCI DSS 4.0-Compliance-Produkt auswählen >

Wann tritt PCI DSS 4.0 in Kraft?

Am 31. März 2024 wurde die PCI DSS Version 3.2.1 offiziell eingestellt. Am nächsten Tag, am 1. April 2024, wird die Einhaltung des PCI DSS Version 4.0 verpflichtend.

Es wird jedoch erwartet, dass die Best-Practice-Anforderungen - Normen, die eine spezielle Technologie erfordern, um eine Angleichung zu erreichen - bis zum 31. März 2025 nicht vollständig erfüllt werden. Das Dokument "Summary of Changes" von PCI SSC hebt diese besonderen Anforderungen mit der folgenden Erklärung hervor:

"Diese Anforderung ist eine Best Practice bis zum 31. März 2025, danach wird sie vorgeschrieben und muss bei einer PCI DSS-Bewertung vollständig berücksichtigt werden."

Die Version 4.0 enthält 13 neue Anforderungen, die nun in einer Attestation of Compliance (AOC) gültig und relevant sind, wobei die restlichen 50 voraussichtlich nicht vor dem 31. März 2025 eingehalten werden.

Aber warten Sie nicht. Beginnen Sie noch heute mit Ihrer Compliance-Reise. In dieser neuesten Version von PCI DSS gibt es Hunderte von Unteranforderungen, wobei viele hochkomplexe Aufgaben einen erheblichen Zeitrahmen für die Implementierung erfordern.

PCI DSS 4.0 ist heute in Kraft. Die Einhaltung der Vorschriften wird jedoch erst ab dem 1. April 2024 offiziell vorgeschrieben

Um Unternehmen bei der Beschleunigung der Compliance mit PCI DSS Version 4.0 zu unterstützen, bietet UpGuard Risikobewertungen und Vorlagen für Sicherheitsfragebögen an, die den Standards von PCI DSS entsprechen und Ihnen helfen, die Compliance intern und für jeden Dienstanbieter zu verfolgen.

Fordern Sie eine kostenlose Testversion von UpGuard > an

Sehen Sie sich dieses Video an, um einen Überblick über die Compliance-Tracking-Funktionen von UpGuard zu erhalten:

4 Compliance-Tipps: PCI DSS Version 4.0

Die Strategien tragen dazu bei, die Einhaltung der Datensicherheitsstandards der Zahlungskartenindustrie zu optimieren und sicherzustellen, dass Sie alle Sicherheitsanforderungen der vierten Version für alle Systemkomponenten erfüllen, die mit Kartendaten interagieren.

1. Definieren Sie Ihren PCI DSS-Geltungsbereich

Eine neue Anforderung im Rahmen des PCI DSS 4.0 (12.5.2) Scoping umfasst die Identifizierung aller Systemkomponenten und Personen, die an den Übertragungs-, Speicher- und Verarbeitungsphasen von Karteninhaberdaten beteiligt sind.

Das Scoping unterscheidet sich von einer Gap-Analyse. Das übergeordnete Ziel des Scopings besteht darin, Möglichkeiten zur Reduzierung der Implementierungskosten zu entdecken, sowohl im Vorfeld als auch im laufenden Betrieb. Mit PCI DSS 4.0, das einen maßgeschneiderten Compliance-Ansatz genehmigt, sollte es jetzt mehr Möglichkeiten geben, Ihren PCI DSS-Umfang zu komprimieren und die Compliance-Kosten zu senken.

Die PCI DSS-Anforderungen 12.5.2 verlangen, dass dieser Scoping-Prozess dokumentiert wird, wobei die Einhaltung durch einen Qualified Security Assessor (QSA) bestätigt wird. Um den Scoping-Prozess zu vereinfachen, teilen Sie den Aufwand in die Zuordnung von Karteninhaberdatenflüssen und das Scoping von Cloud-Dienstanbietern auf. Drittanbieter mit Zugriff auf Datenumgebungen für Karteninhaber wirken sich direkt auf Ihre PCI DSS-Compliance aus, daher sollten ihre Sicherheitskontrollen in den Scoping-Prozess einbezogen werden.

Scoping des Lebenszyklus Ihrer Karteninhaberdaten

Verwenden Sie diese Fragen und Maßnahmen, um den Lebenszyklus Ihrer Karteninhaberdaten zu begrenzen.

• Welche Arten von Kreditkartendaten werden gesammelt (Ablaufdatum, CVV, PAN usw.)
• Welche Zahlungskartenmarken werden akzeptiert (Mastercard, Visa, American Express usw.)?
• Ab wann werden Karteninhaberdaten erfasst und welche Systeme erfassen diese Daten?
• Wo werden die Daten der Karteninhaber gespeichert und unmittelbar nach der Abholung übermittelt?
• Welche Geschäftsfunktionen sind für die Kontinuität auf den Zugriff auf Karteninhaberdaten angewiesen?
• Listen Sie geltende Vorschriften auf, die sich auf die Standards zur Speicherung von Daten Ihres Karteninhabers auswirken (HIPAA, DSGVO usw.).
• Listen Sie alle Anwendungen, Systeme und Dienste auf, die an der Datenübertragung von Kreditkartendaten beteiligt sind.
• Listen Sie alle Personen auf, die in jeder Phase der Reise Zugriff auf die Daten des Karteninhabers haben.
• Listen Sie alle Sicherheitskontrollen zum Schutz von Karteninhaberdaten in jeder Phase des Datenflusses auf. (einschließlich Informationssicherheit und physische Zugangskontrollen).
• Wie lange werden die Daten des Karteninhabers gespeichert?
• Wie stellen Sie sicher, dass die Daten der Karteninhaber sicher entsorgt werden?

Festlegen des Umfangs Ihrer Dienstanbieter

Verwenden Sie diese Fragen und Maßnahmen, um die Sicherheitskontrollen aller Dienstanbieter, die Karteninhaberdaten verarbeiten, zu bestimmen.

• Welche Sicherheitskontrollen haben Sie eingerichtet, um die Integrität und Sicherheit der Daten von Karteninhabern zu gewährleisten?
• Beschreiben Sie Ihren Prozess für die Verwaltung von Sicherheitspatches. Wie stellen Sie sicher, dass die Datenumgebungen für Karteninhaber umgehend gepatcht werden?
• Beschreiben Sie Ihren Entwicklungsprozess für den Software-Lebenszyklus. Entspricht es einem branchenüblichen Cybersicherheits-Framework? Wenn ja, welche?
• Beschreiben Sie Ihre Cyber-Risikoanalyseprozesse zur Erkennung von Sicherheitsrisiken in Datenumgebungen für Karteninhaber.
• Führen Sie Schwachstellen-Scans durch, um neue Schwachstellen bei Karteninhaberdaten zu erkennen?
• Verfügen Sie über Benutzerauthentifizierungsprotokolle, um Konten zu schützen, die auf Datenumgebungen von Karteninhabern zugreifen?

Wichtig: Das Scoping ist kein Prozess, bei dem man alles einmal vergisst. Scoping-Dokumente sollten regelmäßig überprüft und aktualisiert werden, wenn wesentliche Änderungen auftreten.

PCI DSS 4.0 erwartet, dass Scoping-Dokumente mindestens alle 12 Monate überprüft werden, um ihre Richtigkeit sicherzustellen, insbesondere wenn sie für die Umgebung im Geltungsbereich von Bedeutung sind.

Die folgenden Aktivitäten stellen eine "signifikante Änderung" dar und sollten daher eine Scoping-Überprüfung auslösen:

• Upgrades für Datenumgebungen für Karteninhaber
• Neue Hardware-Ergänzungen oder -Ersetzungen in Datenumgebungen für Karteninhaber
• Netzwerkänderungen in Datenumgebungen für Karteninhaber
• Änderungen an der kontinuierlichen Prozessüberwachung in Datenumgebungen für Karteninhaber
• Änderungen des Benutzerzugriffs in den Datenumgebungen für Karteninhaber
• Änderungen am Datenfluss von Karteninhabern
• Änderungen an Diensten von Drittanbietern, die Datenumgebungen für Karteninhaber unterstützen

2. Identifizieren Sie Möglichkeiten zur Reduzierung des Umfangs

Suchen Sie nach Möglichkeiten, Ihren PCI DSS-Umfang und damit die Implementierungskosten zu reduzieren. Dazu könnten gehören:

• Maskierung oder Tokenisierung von Karteninhaberdaten.

• Strategien zum Schutz von Daten und Datenverlusten in allen drei Datenzuständen von Karteninhabern - im Ruhezustand, während der Verwendung und während der Übertragung.
• Sichereres Firewall-Konfigurationsmanagement
• Verbesserung der Informationssicherheitsrichtlinien
• Vermeidung der Datenübertragung von Karteninhabern über öffentliche Netzwerke
• Anfordern von Patch-Verifizierungen von Dienstanbietern.

3. Führen Sie eine Gap-Analyse durch

Führen Sie innerhalb der in Ihrem Scoping-Dokument festgelegten Compliancegrenzen eine Lückenanalyse durch, um den Aufwand zu ermitteln, der erforderlich ist, um die Diskrepanz zwischen Ihrer aktuellen Compliance-Baseline und der vollständigen Übereinstimmung mit dem Standard von PCI DSS 4.0 zu ermitteln.

Um Ihren Compliance-Pfad so effizient wie möglich zu gestalten, sollten die Anforderungen in PCI DSS 4.0, die bis zum 1. April 2024 eingehalten werden müssen, Vorrang vor denen haben, die erst ein Jahr später verpflichtend werden. Hierfür sollten zwei separate Gap-Analysen durchgeführt werden:

• Eins für die Liste der Anforderungen, die bis zum 1. April 2024 erfüllt werden müssen.
• Ein weiterer für die Liste der Anforderungen, die bis zum 1. April 2025 erfüllt werden müssen.

Das Einreichen von Compliance-Lücken, die in Ihrer ersten Analyse identifiziert wurden, sollte ein relativ einfacher Prozess sein, der hauptsächlich aus kleineren Sicherheitsprozessen und Richtlinienänderungen besteht. Die Schließung der in der zweiten Bewertung identifizierten Lücken wird am längsten dauern, da sie große Veränderungen in Ihrer Technologielandschaft mit sich bringen. Wenn Sie frühzeitig eine Lückenanalyse für diese Änderungen durchführen, können Sie frühzeitig mit der Planung für signifikante Änderungen beginnen, um Störungen zu minimieren, die Scoping-Überarbeitungen auslösen können.

Beispiele für Anforderungen, die vor dem 1. April 2024 umgesetzt werden sollten, sind:

• Dokumentation des PCI DSS-Geltungsbereichs
• Definition der PCI DSS-Rollen und -Verantwortlichkeiten
• Dokumentation der Anforderungen und Sicherheitsstandards, die von Drittanbietern erwartet werden
• Implementieren Sie Sicherheitsmaßnahmen für Dateien, die eine Netzwerkarchitektur einrichten, wie z. B. Terraform-Skripte, PowerShell-Skripte, Juniper Config Files usw.

Beispiele für Anforderungen, die nicht bis zum 1. April 2025 implementiert werden müssen, sind:

• MFA-Protokolle für alle Konten, die auf Karteninhaberumgebungen zugreifen
• Automatisierte Überprüfung des Benutzerzugriffsprotokolls
• Interne Schwachstellen-Scans und -Management
• Regelmäßige Überprüfung von Systemen und Anwendungskonten, um unbefugten Zugriff zu verhindern (möglicherweise ist die Implementierung einer Privileged Access Management-Lösung erforderlich).
• Überprüfung des Hardware- und Softwareinventars

4. Planen Sie Ihren Schwachstellen-Scan-Prozess

Obwohl dies bis zum 1. April 2025 nicht zwingend erforderlich ist, sollten Sie frühzeitig mit der Planung Ihres Schwachstellenmanagementprogramms beginnen, da die Festlegung einer optimierten Strategie einen erheblichen Aufwand erfordern kann, insbesondere wenn Sie ein großes Unternehmen sind.

Die Details zum Vulnerability Scanning von PCI DSS 4.0 sind unter Anforderung 11.3.1.2 aufgeführt:

• Systeme, die keine Anmeldeinformationen für authentifizierte Scans akzeptieren können, werden dokumentiert.

• Ausreichende Berechtigungen werden für die Systeme verwendet, die Anmeldeinformationen für die Überprüfung akzeptieren.

• Wenn Konten, die für authentifizierte Scans verwendet werden, für die interaktive Anmeldung verwendet werden können, werden sie gemäß Anforderung 8.2.2 verwaltet.

- PCI DSS 4.0 (Anforderung 11.3.1.2)

Authentifiziertes vs. nicht authentifiziertes Scannen

Authentifizierte Scans melden sich mit Benutzeranmeldeinformationen bei einem Zielsystem an, um Schwachstellenscans innerhalb eines Systems durchzuführen. Dies unterscheidet sich von nicht authentifizierten Scans, die von außen nach Sicherheitslücken suchen, ohne sich anzumelden.

Beide Scan-Methoden haben Vor- und Nachteile.

Der Vorteil von Authentifizierungsscans besteht darin, dass sie aufdringlicher sind und so detailliertere Einblicke in Schwachstellen über ein Zielsystem sammeln können, wie z. B.:

• Offene Ports
• System-Patches
• Konfigurationen von Registrierungsschlüsseln
• Nicht laufende Kernel
• Firewall-Konfigurationen
• Antivirus-Versionen

Und vieles mehr.

Der Hauptnachteil authentifizierter Scans besteht darin, dass sie Ressourcen verbrauchen und länger dauern.

Der Vorteil von nicht authentifizierten Scans besteht darin, dass sie viel schneller sind und deutlich weniger Ressourcenbandbreite benötigen. Der Nachteil von nicht authentifizierten (oder nicht authentifizierten) Scans besteht darin, dass ihre Erkenntnisse nicht so detailliert sind wie bei authentifizierten Scans.

Die größere Tiefe der Informationen über Schwachstellen von Karteninhaberdaten, die authentifizierte Scans erzeugen, ist wahrscheinlich der Grund, warum sie in PCI DSS 4.0 bevorzugt werden. Das bedeutet jedoch nicht, dass nicht authentifizierte Scans ausgeschlossen werden sollten. Durch die Analyse von Sicherheitsmaßnahmen aus der Perspektive eines Außenstehenden sind nicht authentifizierte Scans in gewisser Weise besser geeignet, um nach außen gerichtete Angriffsvektoren zu entdecken, die ein Hacker ausnutzen würde, wenn er Karteninhaberdaten ins Visier nimmt.

Die Kombination beider Scan-Methoden bietet den umfassendsten Schutz vor Cyberangriffen, die die Integrität der Karteninhaberdaten bedrohen. Um die perfekte Balance zwischen den beiden Methoden zu finden, ist ein gut durchdachter Plan erforderlich, daher sollten Sie so früh wie möglich über Optionen nachdenken.

Um Unternehmen dabei zu unterstützen, die beiden wettbewerbsfähigsten Metriken für die PCI DSS-Compliance einzuhalten - Geschwindigkeit und Einblicktiefe - kombiniert UpGuard eine Sicherheitsbewertungsfunktion mit Point-in-Time-Bewertungen.

Mit seiner Sicherheitsbewertungs-Engine verfolgt UpGuard die Verschlechterung der Sicherheitslage, die auf neu auftretende Sicherheitsrisiken hinweisen könnte. Diese Ereignisse können dann mit den PCI DSS-Sicherheitsfragebögen und Risikobewertungen von UpGuard weiter untersucht werden, um tiefere Einblicke in die spezifischen Schwachstellen zu erhalten, die PCI DSS-Compliance-Lücken verursachen.

Holen Sie sich eine kostenlose Testversion von UpGuard >

Einhaltung der 12 grundlegenden Anforderungen von PCI DSS

Die gute Nachricht ist, dass sich die 12 grundlegenden Anforderungen von PCI DSS in Version 4 nicht geändert haben. Eine aktuelle Regelungsstrategie, die diesen Standards entspricht, muss also nicht komplett überarbeitet werden.

Die 12 betrieblichen und technischen Anforderungen von PCI DSS sind in sechs benachbarte Gruppen unterteilt, die als "Kontrollziele" bezeichnet werden und von Unternehmen Folgendes verlangen:

• Aufbau und Pflege eines sicheren Netzwerks;
• Schutz der Daten von Karteninhabern;
• Pflegen Sie ein Schwachstellenmanagementprogramm;
• Implementieren Sie strenge Zugangskontrollmaßnahmen;
• Regelmäßige Überwachung und Prüfung von Netzwerken;
• Pflegen Sie eine Informationssicherheitsrichtlinie.

Zusätzlich werden die Anforderungen zur besseren Verdeutlichung in drei Segmente unterteilt:

• Anforderungsdeklaration - Die Hauptbeschreibung der Anforderung.
• Testprozesse - Die richtigen Methoden, die der angegebene Prüfer verwendet, um zu bestätigen, dass die Anforderung ordnungsgemäß befolgt und umgesetzt wird.
• Leitfaden - Erläutert ferner das Hauptziel und den Zweck der Anforderung und gibt Kontext, der Unternehmen bei der richtigen Definition der Anforderung unterstützen kann.

Obwohl jede der PCI DSS-Versionen ihr eigenes Modell der sechs Anforderungen und unterschiedlichen Unteranforderungen hat, haben sich die zwölf Anforderungen seit der Implementierung des Standards nicht wesentlich verändert:

1. Implementieren und pflegen Sie Netzwerksicherheitskontrollen

Als ersten Schritt der PCI-Compliance müssen Unternehmen ein starkes und sicheres Netzwerk vorschreiben, um den Datenschutz durch den Einsatz von Firewalls zu verbessern und die Netzwerksicherheitskontrollen zu verbessern, um unbefugten Zugriff zu verhindern.

2. Implementieren Sie eine sichere Konfiguration

Unternehmen müssen über eine sichere Konfiguration für alle ihre Systemkomponenten verfügen.

Produkte von Drittanbietern wie Modems, Router und POS-Systeme (Point of Sale) haben in der Regel sehr anfällige, vorhersehbare Passwörter und schwache Sicherheitsmaßnahmen.

Anstatt die Standardpasswörter und Sicherheitsparameter des Anbieters zu verwenden, müssen Unternehmen über einzigartig zugeschnittene und angepasste Sicherheitsmaßnahmen verfügen.

Die Bestandsverwaltung und das regelmäßige Ändern von Passwörtern als zusätzliche Sicherheitsmaßnahmen sind ebenso wichtig.

3. Schützen Sie gespeicherte Konto- und Karteninhaberdaten

Dies ist die wichtigste Anforderung des PCI DSS-Geltungsbereichs.

PCI DSS Requirement 3 stellt sicher, dass Karteninhaberdaten vor Sicherheitsverletzungen geschützt sind, indem Unternehmen verpflichtet werden, einen zweifachen Schutz der Karteninhaberdaten zu implementieren und die Speichermethoden zu verbessern.

Um die PCI-Konformität zu gewährleisten, müssen Unternehmen Karteninhaberdaten wie PANs (primäre Kontonummern) auf zwei Arten schützen:

• Verschlüsselung gespeicherter Karteninhaberdaten mit starken Algorithmen, die mit Verschlüsselungsschlüsseln eingerichtet werden,
• Sie regelmäßig zu scannen, um mögliche unverschlüsselte Daten zu verhindern.

Unternehmen können eine starke PAN-Verschlüsselung sicherstellen, indem sie Kürzungs- und Schwärzungsmethoden sowie Einweg-Hashing verwenden, wodurch PAN bei der Speicherung nicht gelesen werden kann.

PCI-Compliance-Anforderung #3 umfasst auch Richtlinien zur Datenaufbewahrung und -speicherung, die von Unternehmen verlangen, die Dauer und Häufigkeit der Speicherung von Karteninhaberdaten zu verringern.

Während alle gespeicherten Karteninhaberdaten verschlüsselt werden müssen, reicht die Verschlüsselung nicht aus, um die Anforderung #3 von PCI DSS zu erfüllen. Unternehmen müssen auch Kartenverifizierungscodes (CVCs; nicht zu verwechseln mit CVSs) und persönliche Identifikationsnummern (PINs) verbergen, sobald der Autorisierungscode vollständig ist.

4. Verbesserte Kryptographie bei der Übertragung von Karteninhaberdaten

Diese Anforderung ermöglicht es Unternehmen, Kartendaten im Ruhezustand (Speicher) und bei der Übertragung (während der Übertragung) über offene, öffentliche Netzwerke zu schützen.

Die Daten der Karteninhaber werden über mehrere Kanäle wie Zahlungsabwickler und Privathaushalte übertragen und müssen angemessen verschlüsselt werden, während Kontonummern niemals weitergegeben werden dürfen.

5. Verbessern und pflegen Sie den Schutz vor Malware

Hacker können viele Arten von Malware und andere bösartige Methoden verwenden, um an geschützte Daten zu gelangen.

Unternehmen müssen ständig wachsam sein, indem sie ihre Antivirensoftware auf allen PAN-Geräten verbessern, aktualisieren und warten.

Viele POS-Anbieter verfügen über Anti-Malware- und Antivirensoftware, die direkte Installationen für weiteren Schutz verhindern kann.

6. Aktualisieren und Warten von Systemen und Apps

Unternehmen müssen ihre Firewalls, Antivirensoftware und andere Software immer aktualisieren. Die neuesten Patches schützen vor kürzlich entdeckten Schwachstellen und Virendatenbanken.

7. Beschränkung des digitalen Zugriffs auf Karteninhaberdaten

Unternehmen müssen den Zugriff auf Karteninhaberdaten beschränken und diese ausschließlich nach dem Need-to-know-Prinzip zur Verfügung stellen. Dies ist einer der wichtigsten Schritte, um eine hohe Sicherheit für Finanzdaten und -aufzeichnungen zu gewährleisten.

Unternehmen und Mitarbeiter ohne priorisierten Zugriff auf diese Informationen dürfen keinen Zugriff haben. Wenn sie keinen Zugriff auf sensible Daten benötigen, dürfen und sollten sie diese nicht haben.

Darüber hinaus sollten Fälle, in denen Mitarbeiter und Unternehmen mit autorisiertem Zugriff die Daten verwenden und darauf zugreifen, gut überwacht und aufgezeichnet werden.

8. Beschränkung des physischen Zugriffs auf Karteninhaberdaten

Hacker sind nicht der einzige Grund für Datendiebstahl - sie können auch "offline" gestohlen werden. "Daher müssen alle Arten von Karteninhaberdaten angemessen aufbewahrt und an einem geschützten Ort aufbewahrt werden. Damit sind sowohl physische als auch digitale Daten gemeint.

Um diese Kontrolle einzuhalten, sollten Unternehmen geeignete Sicherheitsmaßnahmen einsetzen, wie z. B. CCTV-geschützte Perimeter und Sicherheitspersonal.

9. Weisen Sie jedem authentifizierten Benutzer eine eindeutige ID zu

Personen, die Zugriff auf Karteninhaberdaten und Systemkomponenten haben, sollten über Zugangsdaten und eine authentifizierte Identifizierung, d. h. eine eindeutige ID, verfügen.

Autorisierte Benutzer müssen über eigene Zugangs-IDs verfügen. Auf keinen Fall sollte ein einziger Login von verschiedenen Mitarbeitern verwendet werden. Auf diese Weise können Sicherheitssysteme autorisierte Benutzer ordnungsgemäß identifizieren und überwachen und den Schutz vor unbefugtem Zugriff verbessern.

Dies kann auch bei der Forensik helfen, festzustellen, ob der Benutzer Daten falsch gehandhabt oder kompromittiert hat.

10. Überwachen und melden Sie, wenn auf Netzwerkressourcen und Karteninhaberdaten zugegriffen wird

Als übersehene und ständig verletzte Anforderung müssen Unternehmen den Prozess der Protokollierung und Überwachung von Netzwerkressourcen und Karteninhaberdaten ernsthaft in Betracht ziehen.

Unternehmen müssen jedes Mal, wenn auf Karteninhaberdaten zugegriffen wird, Protokolle erstellen und pflegen, zusammen mit Protokolleinträgen aus PAN-Aktivitäten.

Für eine bessere Organisation, einen besseren Schutz und eine bessere Übersicht sollten alle Daten innerhalb eines Unternehmens genau dokumentiert werden - wie und warum mit ihnen umgegangen wird, wo sie gespeichert werden und wohin sie sich bewegen.

11. Führen Sie häufige Tests für Sicherheitssysteme, Prozesse, Netzwerke und Geräte durch

Unternehmen müssen regelmäßig Scans und Schwachstellentests für Netzwerke, Prozesse und Sicherheitssysteme durchführen, um Fehlfunktionen, Datenmissbrauch, Fehler am Arbeitsplatz und Fehlverhalten von Mitarbeitern zu vermeiden.

12. Erstellen, Implementieren und Pflegen von Informationssicherheitsrichtlinien für die Informationssicherheit

Unternehmen müssen die Informationssicherheit einrichten, unterstützen, verbreiten und jährlich aufrechterhalten, die durch Unternehmensrichtlinien und -programme berücksichtigt wird. Dies ist entsprechend dem sich ändernden Risikoumfeld zu erfolgen.

Eine umfassende Informationssicherheitsrichtlinie sollte Folgendes umfassen:

1. Zweck
2. Publikum
3. Ziele der Informationssicherheit
4. Berechtigungs- und Zugriffskontrollrichtlinie
5. Klassifizierung von Daten
6. Datensupport und -betrieb
7. Schulung zum Sicherheitsbewusstsein
8. Verantwortlichkeiten und Pflichten der Mitarbeiter

Erfahren Sie, wie Sie eine effektive Informationssicherheitsrichtlinie erstellen.

PCI DSS-Compliance-Stufen (Händler-Ebenen)

Bevor sie ihre Compliance einrichten, müssen Unternehmen zunächst ihre Händlerstufen ermitteln.

Kreditkartenunternehmen halten sich an ihre eigenen Validierungsstufen der PCI-Konformität. Die Stufen basieren darauf, wie viele Kartentransaktionen und Zahlungen das Unternehmen jährlich verarbeitet.

Sie sind in vier Händlerebenen unterteilt:

• Händlerstufe 1: Verarbeitung von über 6 Millionen Transaktionen
• Händlerstufe 2: Verarbeitung von 1-6 Millionen Transaktionen
• Händlerstufe 3: Verarbeitung von 20.000 bis 1 Million Transaktionen
• Händlerstufe 4: Verarbeitung von weniger als 20.000 Transaktionen

Um eine geeignete Liste von 12 PCI-Anforderungen und PCI-Fragebögen zu finden, müssen Unternehmen zunächst in Compliance-Stufen eingeteilt werden.

Im Allgemeinen basieren die angewandten Kriterien auf den Kriterien von Visa und Mastercard, den vorherrschenden Zahlungskartenmarken.

Die aktuellen PCI DSS-Dokumente finden Sie auf der Website des PCI Security Standards Council.

Weitere Informationen zur PCI-Compliance und zu den Anforderungen und Fragebögen, die für Ihr Unternehmen geeignet sind, finden Sie auf der Website von PCI Council Merchants, im Getting Started Guide und im Quick Reference Guide.

PCI DSS-Compliance-Prüfung

Jedes der fünf großen Kreditkartenmitglieder des PCI SSC hat seine eigenen Datensicherheitsstandards. Um die PCI DSS-Konformität zu erreichen, müssen Unternehmen auch ein CDE-Audit (Cardholder Data Environment) durchführen.

Eine Karteninhaberdatenumgebung ist das Segment eines Unternehmens, das mit Karteninhaberdaten umgeht. Durch die Prüfung ihrer CDEs können Unternehmen ihren PCI-Sicherheitsstandard und die Einhaltung der 12 Compliance-Anforderungen nachweisen.

Die CDE-Auditierung kann erfolgen über:

SAQ (Fragebogen zur Selbsteinschätzung)

Unternehmen müssen einen SAQ oder einen Fragebogen zur Selbsteinschätzung bei ihrer Zahlungsmarke oder ihrem Acquirer (Händlerbank) einreichen.

Diese Fragebögen dienen als Checkliste für die PCI-Compliance und helfen dabei, Schwachstellen und Inkonsistenzen in der Kreditkarteninfrastruktur des Unternehmens sowie Anforderungen, die noch nicht erfüllt sind, aufzudecken.

Es gibt sie in neun einzigartig zugeschnittenen Typen. Zum Beispiel ist "Fragebogen Typ A " für Unternehmen, die Transaktionen ausschließlich über Dritte abwickeln, während "Fragebogen Typ B" für eigenständige Online-Zahlungsterminals gedacht ist.

Händler sollten sich mit ihrer Bank oder Zahlungsmarke in Verbindung setzen, um festzustellen, ob sie zum Ausfüllen verpflichtet oder berechtigt sind.

Unternehmen können entweder einen eigenen Self-Assessment Questionnaire (SAQ) ausfüllen oder diesen über einen zertifizierten QSA (Quality Security Assessor) einreichen.

Die Auswahl eines geeigneten Fragebogens für das Unternehmen hängt vom Geschäftsumfeld und dem Niveau des Händlers ab.

Externer Schwachstellen-Scan

Unternehmen müssen alle 90 Tage einen externen, nicht-intrusiven Schwachstellen-Scan durchlaufen, der von einem ASV (Approved Scanning Vendor) durchgeführt wird.

Schwachstellen-Scans werden verwendet, um die Netzwerke und Webanwendungen von Unternehmen zu überprüfen. Es überprüft auch die Geräte- und Softwarekonfiguration auf Schwachstellen über IP-Adressen, Ports, Dienste, GUI-Schnittstellen und Open-Source-Technologien.

RoC (Bericht über Compliance)

Alle Visa Händler der Stufe 1 (und einige Händler der Stufe 2), die sich einem PCI-Audit unterziehen, müssen ein RoC ausfüllen oder einen Bericht über die Einhaltung der Vorschriften erstellen, um die Einhaltung der Vorschriften zu überprüfen.

Der Bericht kann von einem QSA (Qualified Security Assessor) oder von einem ISA (Internal Security Assessor) ausgefüllt werden.

Nach einem ausgefüllten Fragebogen, einem Schwachstellen-Scan mit einem PCI SSC Approved Scanning Vendor (ASV) und einer eingereichten AOC (Attestation of Compliance) an seinen Acquirer erhält der Händler schließlich ein PCI-Compliance-Zertifikat, das Geschäftspartnern und Kunden vorgelegt werden kann.

PCI-Compliance-Scoring und CVSS

Unternehmen können anhand der Bewertungen eines vom Council zertifizierten ASV (Approved Scanning Vendors) sehen, wie sie die Anforderungen erfüllen und die PCI-Konformität aufrechterhalten. Dieser Datensicherheitsdienst kann Unternehmen vierteljährlich auf Schwachstellen scannen.

Das Scanning basiert auf einem CVSS (Common Vulnerability Scoring System), einem offenen Industriestandard, als primäres Bewertungskriterium. Dabei handelt es sich um eine Berechnung von Basismetriken, die das Netzwerksicherheitsrisiko einer Schwachstelle berechnet.

Ein CVSS bewertet Schwachstellen auf einer Skala von 0 bis 10. Je höher die Punktzahl, desto größer das Risiko. Ein Händler gilt als PCI-konform, wenn seine Netzwerksicherheitskomponenten Schwachstellen mit einem CVSS-Basiswert von weniger als 4,0 aufweisen.

Durch die Aufrechterhaltung eines guten PCI-Compliance-Scores können sich Unternehmen auf andere Cybersicherheitsvorschriften, -strategien und -richtlinien vorbereiten oder diese erfüllen.

Häufig gestellte Fragen zur PCI DSS-Konformität

Die prägnanten Antworten auf diese FAQs werden alle verbleibenden Wissenslücken über die PCI DSS-Konformität schließen.

Was ist der PCI DSS?

Der PCI DSS (Payment Card Industry Data Security Standards) ist eine Reihe von Informationssicherheitsstandards und -anforderungen für Unternehmen/Händler, die Karteninhaberdaten von vertrauenswürdigen Kartensystemen verarbeiten, speichern oder übertragen.

PCI DSS stellt sicher, dass Unternehmen Kreditkartenbetrug verhindern und Kreditkarteninhaber vor dem Diebstahl persönlicher Daten schützen.

Unternehmen halten sich an den PCI DSS, um die empfohlenen Mindestsicherheitsanforderungen für Kartenzahlungen zu erfüllen. Dies hilft ihnen, die Sicherheit ihrer Kartentransaktionen zu erhöhen und potenzielle Datenschutzverletzungen und Strafen für die Nichteinhaltung von Vorschriften zu vermeiden.

Der PCI DSS wurde 2006 vom PCI SSC gegründet. Diese unabhängige Organisation wurde von den fünf größten Kreditkartenmarken und -anbietern gegründet: MasterCard, Visa, Discover, American Express und JCB International.

Während die Kartenmarken die Anforderungen des PCI-Standards vorschreiben, werden sie vom PCI SSC (PCI Security Standards Council) verwaltet.

Ist PCI-Compliance gesetzlich vorgeschrieben?

Im Gegensatz zu zwingenden Cybersicherheitsvorschriften wie dem HIPAA Act für das Gesundheitswesen ist die PCI-Konformität nicht ausschließlich gesetzlich vorgeschrieben.

Zur Klarstellung: Einige US-Bundesstaaten (Nevada, Minnesota und Washington haben PCI DSS bereits in ihre Gesetze aufgenommen) schreiben vor, dass Unternehmen entsprechende Bestimmungen für PCI treffen sollten.

Obwohl Gesetze, die die PCI-Konformität durchsetzen, nicht weit verbreitet sind, gelten sie als obligatorischer Sicherheitsstandard, da es für Unternehmen aufgrund ihrer Vorteile dringend empfohlen wird, sich daran zu halten. Mit der ersten Iteration von v1.0 wurde die PCI DSS-Konformität im Dezember 2004 obligatorisch.

Die Einhaltung der Vorschriften wird durch die Verträge vorgeschrieben, die von den Unternehmen unterzeichnet werden. Unternehmen, die sich nicht an die Vorschriften halten, verstoßen nicht per se gegen das Gesetz - ungeachtet der Staaten, in denen die Einhaltung gesetzlich durchgesetzt wird -, aber sie würden wahrscheinlich gegen den Vertrag verstoßen, weshalb sie mit rechtlichen Schritten rechnen müssen.

Das Geschäft kann letztendlich von den Kartenmarken und dem Unternehmen, das ihre Zahlungsabwicklung abwickelt, sanktioniert werden. Das bedeutet "verpflichtend" in diesem Zusammenhang.

Welche Unternehmen sollten PCI einhalten?

Die PCI-Konformität gilt für jede Organisation oder jeden Händler (einschließlich internationaler Händler/Organisationen), der Karteninhaberdaten akzeptiert, überträgt oder speichert, unabhängig von der Größe oder Anzahl der Transaktionen.

Unternehmen müssen die PCI-Standards einhalten, wenn:

• Sie verarbeiten drei oder mehr Transaktionen pro Monat;
• Zahlungsabwicklung von Drittanbietern zu nutzen;
• Wenn Kreditkartendaten über ihre Server laufen, obwohl diese Kreditkartendaten nicht gespeichert sind.

Selbst Unternehmen, die Kartentransaktionen über das Telefon abwickeln, müssen PCI einhalten, da sie in die Kategorie der Unternehmen fallen, die Daten von Zahlungskarteninhabern speichern, verarbeiten oder übertragen.

Welche Strafen drohen bei Nichteinhaltung von PCI?

Technisch gesehen wird ein Händler nicht direkt für die Nichteinhaltung einer Geldstrafe belegt, aber seine Zahlungsabwickler und/oder Kartenmarken wie Visa und MasterCard sind es, wenn sie mit einem nicht konformen Händler zusammenarbeiten. In den meisten Fällen leitet der Zahlungsabwickler die Bußgelder automatisch an den Händler weiter, der gegen die Vorschriften verstößt.

Die Bußgelder für PCI-Compliance-Verstöße, die von Zahlungsmarken (nach eigenem Ermessen) an eine erwerbende Bank durchgesetzt werden, können jeden Monat, in dem das Unternehmen die Vorschriften noch nicht erreicht hat, zwischen 5.000 und 100.000 US-Dollar variieren.

Darüber hinaus können dem Geschäft Kosten von 50 bis 90 US-Dollar pro Kunde auferlegt werden, der von der Datenschutzverletzung betroffen ist. Für Großbanken sind solche Geldstrafen verkraftbar, aber für kleine Unternehmen könnten sie den Bankrott bedeuten.

Kleine Unternehmen können verpflichtet werden, eine Compliance-Bewertung (gegen Gebühr) durchzuführen, um nachzuweisen, dass sich ihre Kartensicherheit seitdem verbessert hat.

Große Unternehmen können verpflichtet sein, PCI-Bewertungen durch Dritte durchzuführen, obwohl sie keinen Sicherheitsvorfall erlitten haben.

Warum ist PCI DSS-Konformität wichtig?

Hacker suchen aktiv nach Sicherheitslücken in Systemen, die mit Kundeninformationen umgehen, und nutzen diese aus, um Zugang zu wertvollen Finanzdaten zu erhalten. Unternehmen müssen Cybersicherheitsschwachstellen in Systemen, Geräten und Netzwerken mit Zugriff auf Kreditkarten- und Kundeninformationen schnell identifizieren und beheben, um das Risiko einer kostspieligen Datenschutzverletzung zu verringern.

Daten können aus vielen Bereichen gestohlen werden, einschließlich, aber nicht beschränkt auf:

• Kartenleser;
• Datenbanken für Zahlungsverkehrssysteme (Kassensysteme);
• Drahtlose Netzwerke in Einzelhandelsgeschäften und Zugangsroutern;
• Physische Zahlungskartendaten und papierbasierte Aufzeichnungen;

• Online-Warenkörbe und Zahlungsanwendungen.

Ein Bericht von Verizon Payment Security aus dem Jahr 2018 besagt, dass 52,5 % der Unternehmen und Organisationen 100 % PCI-Konformität haben, während nur 39,7 % dieser Unternehmen aus Amerika stammen.

Die gute Nachricht ist, dass die PCI-Compliance in Unternehmen im Laufe der Jahre zugenommen hat, wobei Verizon einen Anstieg von 11,1 % im Jahr 2012 und einen Anstieg von 55,4 % im Jahr 2016 meldete. Im Jahr 2018 bestanden jedoch nur 36,7 % der Organisationen die Zwischenprüfung.

Die PCI-Konformität stellt nur einen allgemeinen Überblick über die Sicherheitsvorschriften für Kreditkartenzahlungen dar und ist kein grundlegendes Cybersicherheits-Framework, das einen vollständigen Schutz vor Cybervorfällen garantiert. Die PCI-Compliance kann sehr komplex sein und hängt von mehreren Faktoren ab, wie z. B. der Größe des Unternehmens und den angebotenen Dienstleisterplänen.

Die PCI DSS-Konformität ist jedoch für kleine und große Unternehmen nach wie vor von entscheidender Bedeutung. Auch wenn es für einige Unternehmen schwierig zu implementieren und zu warten ist, hat es seine Vorteile, nämlich:

• Vermeidung von Strafen bei Nichteinhaltung,
• Identifizierung von Sicherheitslücken und Schwachstellen in Bezug auf Kreditkarteninformationen,
• Wahrung ihres Rufs und des Vertrauens ihrer Kunden.

Erfahren Sie, wie Sie die PCI DSS-Compliance mit Ihren Anbietern verfolgen können >

Welche verschiedenen Versionen gibt es von PCI DSS?

Der PCS DSS-Standard hat sich im Laufe der Jahre weiterentwickelt, da Cyberangreifer ständig neue Wege finden, um in die Informationssysteme von Unternehmen einzudringen und Karteninformationen zu stehlen.

Der PCI Council veröffentlicht als Reaktion auf diese immer ausgefeilteren Cyberbedrohungen fortlaufende Überarbeitungen des Standards.

PCI DSS v1.0

Die erste Version 1.0 des PCI DSS war eine gemeinsame Anstrengung der fünf Kartenhersteller, die im Dezember 2004 eingeführt und 2006 überarbeitet und implementiert wurde. Die Unternehmen hatten separate Informationssicherheitsprogramme mit ähnlichen Merkmalen, aber einem klaren Ziel für die Kreditkartensicherheit.

Die erste Version sollte eine einzige Schutzschicht für Kartenaussteller vereinheitlichen, um sicherzustellen, dass Unternehmen das empfohlene Sicherheitsniveau für den Umgang mit Karteninhaberdaten und sensiblen Authentifizierungsdaten erfüllen.

PCI DSS v2.0

Die zweite Version, PCI DSS 2.0, wurde 2011 veröffentlicht und enthielt ein verstärktes Scoping vor der Bewertung, die Implementierung eines Protokollmanagements, verbesserte Validierungsanforderungen für die Bewertung von Schwachstellen und mehrere kleinere Sprachanpassungen, um die 12 PCI DSS-Anforderungen für die Kreditkartensicherheit zu verdeutlichen.

PCI DSS v3.0

Der PCI DSS v3.0 kam mit neuen Updates, wobei die größte und wichtigste Anforderung die Verbesserung der Penetrationstests war, die die früheren Anforderungen an Penetrationstests änderten. Händler müssen strengere "branchenweit anerkannte Pen-Testing-Methoden" sowie neuere Anforderungen an die Verifizierung von Methoden zur Segmentierung der Karteninhaberdatenumgebung (CDE) von anderen IT-Infrastrukturen verwenden.

Zu den weiteren wichtigen Updates in PCI DSS 3.0 gehören:

• Führung eines Inventars von Hardware- und Softwarekomponenten in der CDE, die in den Geltungsbereich von PCI DSS fallen,
• Standards für die Erkennung und Behebung von Antischadsoftware
• Maßnahmen zur Zugangskontrolle
• PCI-Anforderungen von Drittanbietern
• Schutz der Datenerfassungstechnologie von Zahlungsmethoden, unter anderem.

PCI DSS v3.2

Der PCI DSS v3.2 wurde 2016 als ausgereifter Standard veröffentlicht, der nur geringfügige Änderungen in Übereinstimmung mit neuen Kreditkartenzahlungsmethoden und der sich verändernden Cyber-Bedrohungslandschaft erfordert.

Es wurden neue und aktualisierte Klarstellungen zu den 12 Anforderungen in Bezug auf Richtlinien für Anbieter, Aktualisierungen zum Schutz vor Karten-Exploits und die Implementierung besserer Sicherheitskontrollen für neue Migrationsfristen im Zusammenhang mit der Entfernung von SSL/TLS eingeführt.

Erfahren Sie mehr über die Anforderungen von Drittanbietern für PCI DSS.

PCI DSS v4.0

Während PCI DSS v3.2 bis 2016 die neueste Iteration des PCI-Standards war, wurde PCI DSS 4.0 entwickelt, von der Industrie überarbeitet und im April 2022 mit den folgenden Änderungen finalisiert:

• Aktualisierte, klarere und erweiterte Firewall-Terminologien in Bezug auf NSCs (Network Security Controls) für die Durchführung ordnungsgemäßer Analysen und Richtlinien auf Sitzungsbasis;
• Vorschrift der Verwendung von MFA (Multi-Faktor-Authentifizierung) für den geschützten Zugriff auf die CDE, anstatt nur eine eindeutige ID (Benutzername und Passwort) für Personen mit Computerzugriffsrechten zu verlangen;
• Verbesserung der Flexibilität eines Unternehmens, damit es besser veranschaulichen kann, wie es Sicherheitsstandards und -ziele für die PCI-Compliance umreißt;
• Unternehmen in die Lage zu versetzen, gezielte Risikoanalysen durchzuführen, die es ihnen erleichtern, zu entscheiden, wie regelmäßig sie Aufgaben ausführen. Dies wiederum ermöglicht es Unternehmen, ihre Sicherheitslage an ihren Geschäftsanforderungen auszurichten.