So reduzieren Sie Ihre Angriffsfläche mit PCI DSS-Konformität

Während die PCI-Compliance einen Branchenmaßstab in Bezug auf Cybersicherheit für den Finanzsektor setzt, sollten sich Unternehmen nicht darauf verlassen, um sich vor Datenschutzverletzungen zu schützen.

Die harte Wahrheit ist, dass Cyberkriminelle jede Schwachstelle in der IT-Infrastruktur eines Unternehmens ausnutzen, um unbefugten Zugriff auf sensible Daten zu erhalten, nicht nur auf solche, die unter die PCI DSS-Compliance-Anforderungen fallen. Anstatt PCI DSS als Checkliste für die Sicherung von Kundendaten zu betrachten, sollten Unternehmen einen ganzheitlicheren Compliance-Ansatz verfolgen.

Die Transparenz über die gesamte Angriffsfläche ist entscheidend, um eine vollständige Netzwerk- und Datensicherheit gegen Cyberangriffe zu gewährleisten. Unternehmen sollten ihre PCI-Compliance mit Strategien zum Management von Angriffsflächen in Einklang bringen, um ihre Sicherheitslage zu stärken und den besten Schutz vor Datenschutzverletzungen zu bieten. Lesen Sie weiter, um zu erfahren, wie das geht.

Was ist PCI DSS?

Die Payment Card Industry Data Security Standards (PCI DSS) wurden entwickelt, um Kreditkartenbetrug zu verhindern und Kreditkarteninhaber vor dem Diebstahl persönlicher Daten zu schützen. Die PCI DSS-Kontrollen decken die Verarbeitung, Speicherung und Übertragung von Kreditkartendaten ab.

PCI DSS stützt sich auf die Leitlinien vieler internationaler Cybersicherheitsgremien, wie z. B. des Center for Internet Security (CIS), der Cloud Security Alliance (CSA) und des Open Web Application Security Project (OWASP).

Wer muss PCI DSS einhalten?

Jedes Unternehmen, das Kreditkarteninformationen von Kunden verarbeitet, muss PCI DSS einhalten, einschließlich Händler und Anbieter von Zahlungslösungen.

Diese Checkliste hilft Ihnen, Ihre PCI DSS-Compliance-Bemühungen zu verfolgen. Verwenden Sie diese kostenlose Vorlage, um die Compliance mit jedem Ihrer Anbieter zu bewerten.

Erfahren Sie, wie Sie PCI DSS 4.0 > einhalten

Warum ist PCI DSS-Konformität wichtig?

Die Finanzbranche hat es mit großen Mengen an personenbezogenen Daten (PII) von Kunden zu tun. Cyberkriminelle sind sich des hohen Wertes bewusst, den diese sensiblen Daten im Dark Web haben, wo sie als Mittel zur Begehung von Identitätsdiebstahl, Versicherungsbetrug und anderen lukrativen Straftaten verkauft werden können.

Erfahren Sie mehr über die größten Datenschutzverletzungen in der Finanzbranche >

In der heutigen Bedrohungslandschaft zielen Hacker auf die unzureichenden Datensicherheitsmaßnahmen von Finanzinstituten ab, um Zugang zu diesen wertvollen Informationen zu erhalten. Regierungen und Aufsichtsbehörden haben darauf reagiert, indem sie strengere Anforderungen eingeführt und hohe Geldstrafen gegen Organisationen verhängt haben, die sich nicht an die Vorschriften halten. Finanzinstitute, die sich nicht an PCI DSS halten, müssen mit Geldstrafen zwischen 5.000 und 100.000 US-Dollar für jeden Monat der Nichteinhaltung und anderen möglichen rechtlichen Konsequenzen rechnen.

Datenschutzverletzungen stellen auch einen Reputationsverlust für Unternehmen dar und verlieren letztendlich das Vertrauen und die Loyalität der Kunden, wenn ihre persönlichen Daten nicht geschützt werden.

Erfahren Sie, wie Sie ein PCI DSS 4.0-Compliance-Produkt auswählen >

So unterstützen Sie die PCI DSS-Compliance mit Attack Surface Management

Im Folgenden finden Sie die 12 PCI DSS-Anforderungen in Kombination mit den vorgeschriebenen Best Practices für die Sicherheit und Strategien zur Verwaltung der Angriffsfläche.

Anforderung 1: Installieren und Verwalten von Netzwerksicherheitskontrollen (NSCs)

Der PCI DSS Council definiert Network Security Controls (NSCs) als "Firewalls und andere Netzwerksicherheitstechnologien innerhalb der eigenen Netzwerke eines Unternehmens ... [die] die Ressourcen des Unternehmens vor der Gefährdung durch nicht vertrauenswürdige Netzwerke schützen. " Nicht vertrauenswürdige Netzwerke stellen ein Sicherheitsrisiko für die Cardholder Data Environment (CDE) dar, da sie sensible Systeme ungeschützten Pfaden aussetzen können, die zu unbefugtem Zugriff führen. Unternehmen sollten auch eine Netzwerksegmentierung implementieren, um die CDE vor eingehenden Bedrohungen zu schützen.

Der Rat nennt die folgenden Beispiele als gängige Beispiele für nicht vertrauenswürdige Netze:

• Das Internet;
• B2B-Kommunikationskanäle;
• Drahtlose Netzwerke;
• Carrier-Netzwerke, wie z. B. Mobilfunknetze;
• Netzwerke von Drittanbietern;
• Jede andere Quelle, die außerhalb der Kontrolle des Unternehmens liegt, einschließlich Unternehmensnetzwerke, die nicht in den Geltungsbereich von PCI DSS fallen.

NSCs wie Web Application Firewalls (WAFs) und Virtual Private Networks (VPNs) bieten zwar die erste Verteidigungslinie gegen Cyberangriffe, aber es müssen Kontrollen zur Risikominderung vorhanden sein, um unsichere Dienste, Protokolle und Ports zu identifizieren.

Erfahren Sie mehr über die Gefahren offener Ports >

UpGuard ermöglicht es Unternehmen, zu überprüfen, ob die Konfigurationseinstellungen ihrer NSCs nur genehmigte Dienste, Protokolle und Ports zulassen. Über die Datenumgebung des Karteninhabers hinaus führt UpGuard Open-Port-Scans über die gesamte Angriffsfläche durch, einschließlich der von Drittanbietern.

Anforderung 2: Aufbau und Wartung eines sicheren Netzwerks und sicherer Systeme

Standardpasswörter und Anbietereinstellungen sind durch Open-Source-Intelligence-Methoden leicht zu erhalten. Bedrohungsakteure nutzen diese öffentlichen Informationen häufig aus, um sich unbefugten Zugriff auf interne Systeme zu verschaffen.

Zu den vom PCI-Rat vorgegebenen Aktionspunkten gehören:

• Ändern von Standardpasswörtern

• Entfernen nicht benötigter Software, Funktionen und Konten

• Deaktivieren oder Entfernen nicht benötigter Dienste

Unternehmen müssen sichere Konfigurationen anwenden, um diese Angriffsvektoren zu eliminieren. Durch die Verhinderung oder Einschränkung der Verwendung unnötiger Software und Dienste wird die gesamte Angriffsfläche eines Unternehmens reduziert.

Wie UpGuard UpGuard hilft

, alle mit dem Internet verbundenen Assets zu erkennen, einschließlich nicht autorisierter oder ungenutzter SaaS-Anwendungen, einschließlich Schatten-IT. Die Engine zur Erkennung von Datenlecks von UpGuard scannt alle Schichten des Webs, um kompromittierte Anmeldeinformationen und falsch konfigurierte Cloud-Einstellungen in Echtzeit zu identifizieren, sodass Unternehmen alle offengelegten Daten sofort sichern können.

Anforderung 3: Schützen gespeicherter Kontodaten

Unternehmen müssen starke Verschlüsselungs-, Kürzungs-, Maskierungs- und Hashing-Funktionen implementieren, um die Daten der Karteninhaber effektiv zu schützen. Diese Maßnahmen fügen eine weitere Sicherheitsebene hinzu, indem sie die Daten im Falle eines unbefugten Zugriffs unentzifferbar machen. Die Anwendung ähnlicher Datensicherheitsstandards für alle sensiblen Daten gewährleistet einen vollständigen Schutz der Angriffsfläche.

Erfahren Sie mehr über Verschlüsselung >

Anforderung 4: Schützen Sie Karteninhaberdaten mit starker Kryptografie während der Übertragung über offene, öffentliche Netzwerke

Schlecht gesicherte drahtlose Netzwerke und unzureichende Verschlüsselungs- und Authentifizierungsprotokolle sind häufig gezielte Schwachstellen. Der Rat gibt an, dass Unternehmen primäre Kontonummern (PANs) über nicht vertrauenswürdige und öffentliche Netzwerke mithilfe von Kryptographie verschlüsseln müssen, um die Sicherstellung, Integrität und Nichtabstreitbarkeit der Daten zu gewährleisten. Unternehmen sollten diese Anforderung erweitern, indem sie alle Daten verschlüsseln, die über nicht vertrauenswürdige Netzwerke und öffentliche Netzwerke übertragen werden, um die Fähigkeiten zur Verhinderung von Datenschutzverletzungen zu stärken.

• Erfahren Sie mehr über Kryptografie

• Erfahren Sie mehr über die Nichtabstreitbarkeit

Wie UpGuard hilft

UpGuard kann ungesicherte Netzwerke und Schwachstellen, die durch Legacy-Protokolle verursacht werden, sofort über die gesamte Angriffsfläche hinweg erkennen.

Anforderung 5: Schützen Sie alle Systeme und Netzwerke vor bösartiger Software

Malware oder bösartige Software ist jedes Programm oder jede Datei, die zu schädlichen Zwecken auf einem Computer oder System installiert wird. Häufige Beispiele für Malware sind:

• Computerviren
• Computerwürmer
• Ransomware
• Trojanische Pferde
• Spionagesoftware
• Adware
• Rootkits

Erfahren Sie, wie Sie 22 verschiedene Arten von Malware erkennen >

Cyberkriminelle schleusen Malware über Angriffsvektoren ein, wie z. B.:

• Phishing-E-Mails
• E-Mail-Spoofing
• Typosquatting
• Tastatureingabeprotokollierung
• Ausnutzung von Netzwerkschwachstellen

Einmal eingeschleust, kann sich Malware schnell im gesamten Netzwerk ausbreiten. Selbst wenn die Cardholder Data Environment (CDE) zunächst nicht von einem Malware-Eindringen betroffen ist, ist es nur eine Frage der Zeit, bis sie kompromittiert wird. Unternehmen müssen eine Antiviren-Softwarelösung bereitstellen, um Endpunktschutz vor Malware zu erreichen. Für eine vollständige Abwehr der Angriffsfläche müssen sie die Angriffsvektoren identifizieren, über die sich Malware verbreitet.

Wie UpGuard UpGuard hilft

, Schwachstellen sofort zu erkennen, die das Eindringen von Malware erleichtern könnten. Die UpGuard-Plattform kann auch E-Mail-Sicherheitsprobleme, Phishing und Malware sowie Typosquatting in Echtzeit identifizieren.

Anforderung 6: Entwickeln und pflegen Sie sichere Systeme und Software.

Nicht gepatchte Schwachstellen in Software von Drittanbietern, einschließlich veralteter Betriebssysteme, können schwerwiegende Folgen haben. Cyberkriminelle nutzen Zero-Day-Schwachstellen aus, um interne Systeme zu infiltrieren. Sichere Codierungspraktiken und Software Lifecycle (SLC)-Prozesse können dazu beitragen, Zero-Day-Prozesse zu vermeiden, aber die Anbieter müssen schnell handeln, um diese Sicherheitslücken zu schließen, oder sie riskieren groß angelegte Datenschutzverletzungen.

Die schnelle Erkennung von Schwachstellen und sichere Codierungspraktiken beschleunigen den Patching-Prozess, indem sie die Fehlerquelle lokalisieren.

Erfahren Sie mehr über Zero-Day-Schwachstellen >

Wie UpGuard UpGuard dabei hilft

, Schwachstellen auf der internen Angriffsfläche und von Drittanbietern sofort zu erkennen. UpGuard scannt Code-Repositorys, einschließlich S3-Buckets, öffentliche GitHub-Repositorys und ungesicherte RSync- und FTP-Server, auf Fehlkonfigurationen, die Datenlecks verursachen.

Anforderung 7: Netzwerke regelmäßig überwachen und testen

Übermäßige Berechtigungen sind eine Fehlkonfiguration in der Cloud, bei der nicht autorisierten Benutzern Zugriffsrechte/Privilegien gewährt werden, die über ihre Anforderungen hinausgehen. Dieser häufige Fehler kann schnell Insider-Bedrohungen und Datenlecks von Drittanbietern begünstigen, die schließlich zu Sicherheitsverletzungen führen können.

Organisationen müssen das Prinzip der geringsten Rechte implementieren, um Benutzerberechtigungen auf das absolute Minimum zu beschränken. Der PCI Council weitet diese Anforderungen auf alle Dritten aus.

• Erfahren Sie, wie Sie häufige Fehlkonfigurationen in der Cloud beheben können

• Erfahren Sie, wie Sie das Prinzip der geringsten Privilegien implementieren

Wie UpGuard UpGuard dabei hilft

, die gesamte Angriffsfläche kontinuierlich zu überwachen, um Fehlkonfigurationen in der Cloud zu identifizieren, bevor sie Datenschutzverletzungen verursachen.

Anforderung: 8: Identifizieren von Benutzern und Authentifizieren des Zugriffs auf Systemkomponenten

Eindringlinge können sich in privilegierte Systeme einschleichen und sensible Daten exfiltrieren, wenn keine starken Zugriffskontrollmechanismen vorhanden sind. Unternehmen sollten effektive Authentifizierungstools wie 2FA oder MFA als Teil eines umfassenderen Identity Access Management (IAM)-Systems implementieren, das sich über die gesamte Angriffsfläche erstreckt.

Erfahren Sie mehr über 2FA und MFA >

Anforderung 9: Beschränken Sie den physischen Zugriff auf Karteninhaberdaten

Der PCI Council erklärt, dass der physische Zugang zu Systemen, die Karteninhaberdaten speichern, verarbeiten oder übertragen, "angemessen eingeschränkt werden sollte. " Diese Anforderung ist nur wirksam, wenn alle Systeme, auf denen irgendeine Form von sensiblen Daten gespeichert ist, in ähnlicher Weise geschützt sind, einschließlich der Systeme der Anbieter.

Unternehmen sollten eine Clean Desk Policy (CDP) implementieren, um sicherzustellen, dass Ausdrucke mit vertraulichen Informationen sicher aufbewahrt und vernichtet werden, sobald sie nicht mehr benötigt werden. Sie müssen auch sicherstellen, dass ihre Lieferanten das Gleiche tun.

Anforderung 10: Protokollieren und Überwachen aller Zugriffe auf Systemkomponenten und Karteninhaberdaten

Protokollierungsmechanismen ermöglichen es Unternehmen, die Auswirkungen von Sicherheitsvorfällen, die zu einer Kompromittierung von Daten führen, zu verhindern, zu erkennen oder zu minimieren. Der PCI Council schreibt vor, dass "Protokolle auf allen Systemkomponenten und in der Karteninhaberdatenumgebung (CDE) vorhanden sind, um eine gründliche Verfolgung, Warnung und Analyse zu ermöglichen, wenn etwas schief geht. " Diese Anforderung erstreckt sich auch auf Dritte.

Unternehmen sollten sicherstellen, dass Protokollierungsmechanismen auf allen Systemen, einschließlich der Systeme der Anbieter, vorhanden sind, um im Falle eines Sicherheitsvorfalls Systemaktivitätsprotokolle bereitzustellen. Die detaillierte Protokollierung ermöglicht es Sicherheitsteams, eine Ursachenanalyse durchzuführen, die es Sicherheitsteams ermöglicht, Präventionsmaßnahmen gegen ähnliche Ereignisse in der Zukunft zu entwickeln.

Anforderung 11: Sicherheit von Systemen und Netzwerken regelmäßig testen

Täglich tauchen neue Schwachstellen auf, die Cyberkriminelle schnell entdecken. Der PCI Council schreibt vor, dass Unternehmen die folgenden Sicherheitskontrollen häufig testen müssen, um ein ausreichendes Schwachstellenmanagement zu erreichen:

• Systemkomponenten
• Systemprozesse
• Maßgeschneiderte Software
• Kundenspezifische Software

Unternehmen sollten regelmäßige Penetrationstests durchführen, um System- und Netzwerkschwachstellen zu identifizieren, und ein Intrusion Detection and Prevention System (IDS) einsetzen, um verdächtigen Netzwerkverkehr zu identifizieren und abzufangen. Die kontinuierliche Überwachung der gesamten Angriffsfläche ermöglicht es Unternehmen, Schwachstellen sofort zu erkennen und zu beheben.

• Erfahren Sie mehr über Penetrationstests

• Erfahren Sie mehr über die Bedeutung einer kontinuierlichen Sicherheitsüberwachung

Die kontinuierlichen Überwachungsfunktionen von UpGuard zur Überwachung der Angriffsfläche erkennen aktive CVEs (Common Vulnerabilities and Exposures), die Sie und Ihre Anbieter betreffen, und ermöglichen so eine schnellere Behebung.

Anforderung 12: Unterstützung der Informationssicherheit mit Unternehmensrichtlinien und -programmen

Eine Informationssicherheitsrichtlinie (Information Security Policy, ISP) definiert Regeln, Richtlinien und Verfahren, die sicherstellen, dass alle Endbenutzer und Netzwerke innerhalb eines Unternehmens die Mindestanforderungen an die IT-Sicherheit und den Datenschutz erfüllen. Der PCI Council stellt fest, dass alle Mitarbeiter ein Sicherheitsbewusstsein für die Sensibilität von Karteninhaberdaten und ihre Verantwortung für deren Schutz haben.

Ein effektiver ISP sollte sich mit allen Daten, Programmen, Systemen, Einrichtungen, Infrastrukturen, autorisierten Benutzern, Dritten und vierten Parteien eines Unternehmens befassen, einschließlich eines Incident-Response-Plans, um die Angriffsfläche effektiv zu verwalten.

Erfahren Sie, wie Sie einen effektiven ISP-> erstellen

Sehen Sie sich dies unten an, um mehr über einige der Compliance-Berichtsfunktionen von UpGuard zu erfahren.