Mythbusters: PCI Edition - Sind Sie einer dieser PCI-Mythen schuldig?

PCI DSS steht für Payment Card Industry Data Security Standard. Dabei handelt es sich um eine Reihe von Sicherheitsstandards, die dafür sorgen sollen, dass alle Unternehmen, die Kreditkarteninformationen verarbeiten, speichern oder übertragen, eine sichere Umgebung aufrechterhalten.

Wir hören oft von Unternehmern, die uns alle möglichen Gründe nennen, warum sie nicht PCI-konform sein müssen, oder uns sogar erklären, dass sie PCI-konform sind, ohne zu wissen, dass dies nicht der Fall ist.

Wir verstehen, dass es eine Menge Arbeit ist, sich um ein Unternehmen zu kümmern, und das Erlernen der PCI-Compliance kann eine ganz andere Vollzeitbeschäftigung sein. PCI ist ein kontinuierliches Bestreben, konform zu sein und zu bleiben und gleichzeitig den Überblick über seine Aktualisierungen zu behalten. Sehen Sie sich die neuesten PCI DSS-Updates an.

Tatsächlich gilt PCI für jedes Unternehmen jeder Größe, das Kreditkartenzahlungen akzeptiert. Wenn Ihr Unternehmen Kreditkartenzahlungen akzeptiert, diese speichert, verarbeitet und Karteninhaberdaten übermittelt, müssen Sie diese Daten bei einem PCI-konformen Anbieter sichern lassen.

PCI-Compliance kann verwirrend sein, aber das bedeutet nicht, dass es schwierig sein muss. Um PCI zu verstehen, müssen Sie die Definitionen der verwendeten Terminologie wie Compliance, Validierung und Bewertungen verstehen.

Wir haben die häufigsten Kommentare zusammengestellt, die wir von Geschäftsinhabern hören. Und heute möchten wir mit diesen Mythen aufräumen! Auf geht's!

• Mythos: Mein Unternehmen ist zu klein und ich habe nur wenige Kreditkartentransaktionen. Ich muss nicht PCI-konform sein.

  Diesen Kommentar haben wir von vielen Unternehmern gehört. Gemäß den PCI-Sicherheitsstandards müssen Sie PCI-konform sein, wenn Sie mindestens EINE Kreditkartentransaktion durchführen.

  Ihr kleines Unternehmen ist ein ebenso großes Ziel für Hacker wie die großen Konzerne.

• Mythos: Ich habe noch nie einen Vertrag von meiner Bank oder meinem POS-Unternehmen unterzeichnet, der besagt, dass ich die Vorschriften einhalten muss. Es darf also nicht benötigt werden.

  Erinnern Sie sich noch an die Eröffnung Ihres Geschäftskontos? Dabei gelten die VISA-Bestimmungen, die Sie beachten müssen.

  Wenn Sie Kreditkartendaten speichern, verarbeiten oder übermitteln, sind Sie (nicht die Bank oder das POS-Unternehmen) für die PCI-Konformität verantwortlich. Im Falle eines Verstoßes gegen Ihr Unternehmen und der Nichteinhaltung der PCI-Vorgaben wirken sich die Bußgelder und Entschädigungsforderungen der Bank negativ auf den Gewinn Ihres Unternehmens aus.

• Mythos: Ich beantworte einfach alle Kriterien des Fragebogens zur Selbsteinschätzung (SAQ) mit „Ja“ und bin PCI-konform.

  Die Self-Assessment Questionnaires (SAQ) sind Validierungstools, die Händlern und Dienstleistern dabei helfen sollen, die Ergebnisse ihrer PCI-Selbstbewertung zu melden. Sie müssen mit diesen Antworten ehrlich sein, da sie für die Validierung Ihrer PCI-Konformität von entscheidender Bedeutung sind.

  Wenn Sie unrichtig „Ja“ sagen, setzen Sie Ihr Unternehmen einem enormen Risiko einer Verletzung der Zahlungskartendaten aus.

  Und wir wissen beide, dass niemand möchte, dass der Ruf seiner Marke geschädigt wird.

• Mythos: Mein Unternehmen führt keine Online-Bestellungen durch. Daher benötige ich kein PCI.

  Unabhängig davon, ob Ihre Kunden Ihre Waren und Dienstleistungen online oder im Geschäft kaufen, benötigen Sie PCI. Zahlungsrisiken können sowohl bei Online-Diensten als auch bei POS-Geräten auftreten. Die meisten der größten Datenschutzverletzungen, die Sie in den Nachrichten hören, stammen von POS-Geräten. Hacker werden mit allen Mitteln versuchen, an Zahlungsdaten zu gelangen.

• Mythos: PCI-Konformität und -Validierung sind dasselbe.

  Im Sinne von PCI ist Compliance als fortlaufende Aktivität und nicht nur als Endpunktziel zu verstehen. Das übergeordnete Ziel besteht nicht nur darin, die Anforderungen des PCI DSS einzuhalten, sondern diese auch aufrechtzuerhalten.

  Bei der Validierung hingegen handelt es sich um den Prozess der Überprüfung oder Validierung dieser Konformität (oder ihres Fehlens). Dazu können Audit-Aktivitäten (SAQ) oder technische Validierungen wie Ihr Schwachstellenscan oder Penetrationstests gehören.

• Mythos: Indem ich die Schwachstellenscans durchführe und den SAQ ausführe, werde ich PCI-konform sein.

  Viele Geschäftsinhaber glauben fälschlicherweise, dass sie allein durch die Planung von Schwachstellenscans und die Durchführung des jährlichen SAQ konform sind, obwohl Scans in Wirklichkeit nur einen von sechs Unterabschnitten der Anforderung Nr. 11 im PCI DSS ausmachen.

  Der Standard hat insgesamt 12 Anforderungen, was bedeutet, dass Schwachstellenscans weniger als 8 % der Gesamtanforderungen ausmachen.

Wir hoffen, dass diese Mythen jetzt für Sie ausgeräumt werden. Das Wissen über PCI ist für die Sicherheit Ihres Unternehmens und vor allem Ihrer Kunden von entscheidender Bedeutung!

Wenn Sie daran interessiert sind, Ihre PCI-Ausbildung fortzusetzen und mehr über die verschiedenen Händler- und Validierungsstufen zu erfahren, lesen Sie bitte hier mehr. Und natürlich können Sie sich bei Fragen jederzeit an uns wenden.