Was ist PCI-DSS?

Um sicher zu sein, ob eine Organisation wirklich alle PCI-DSS-Vorgaben einhält, sollte sie sich zertifizieren lassen. Die Zertifizierung erfordert das Befolgen einiger Best Practices. Kreditkartenfirmen geben die Standards vor und treffen sich regelmäßig, um Best Practices zu prüfen und Vorgaben an die sich stetig verändernde Cybersicherheitslandschaft anzupassen. PCI-DSS gibt Unternehmen ein Framework vor, dem sie bei der Zertifizierung folgen können. Hier sind einige Praktiken, die für die PCI-DSS-Zertifizierung notwendig sind:

Obwohl die meisten anderen Compliance-Vorgaben zahlreiche Änderungen an Infrastruktur und Sicherheitstools erfordern, stellt PCI-DSS nur sehr wenige, dafür aber umso wichtige Anforderungen. Jegliche Fehler oder ein Übersehen von Anforderungen kann saftige Strafen nach sich ziehen, weshalb Organisationen die PCI-DSS-Richtlinien unbedingt genau studieren und die richtigen Kontrollen für ihre Umgebung einsetzen müssen.

Kreditkartenfirmen verlangen von Unternehmen für deren PCI-DSS-Compliance das Befolgen von zwölf Anforderungen. Standards zielen darauf ab, die Daten der Kreditkarteninhaber zu schützen, weshalb es bei vielen der Anforderungen darum geht, mithilfe von Netzwerksicherheitsmaßnahmen Bedrohungen zu verhindern, mit denen Angreifer kritische Informationen stehlen könnten. Jegliche Änderungen an den aktuell geltenden Anforderungen werden vom Sicherheitsrat angekündigt und veröffentlicht, was bedeutet, dass Organisationen diese Änderungen jährlich prüfen müssen, damit sie die Compliance-Anforderungen durchgehend erfüllen.

Die zwölf PCI-DSS-Anforderungen lauten:

1. Installieren Sie Firewalls und konfigurieren Sie diese so, dass sie schädlichen Traffic blockieren. Die meisten Organisationen haben bereits eine Firewall zwischen dem Internet nach außen und der internen Umgebung installiert, aber andere Arten von Firewalls sind für größere Umgebungen notwendig, wie etwa dann, wenn ein öffentliches WLAN angeboten wird. Einzelne Abteilungen müssen voneinander getrennt werden. Organisationen trennen demnach Finanzabteilungen und deren Daten mithilfe einer Firewall von etwa der Vertriebsabteilung, um die Daten von Karteninhabern zu schützen.
2. Vermeiden Sie voreingestellte Passwörter. Jede Netzwerkressource wird mit einem vom Hersteller festgelegten Passwort geliefert, damit Administratoren die Hardware so einstellen können, dass sie mit der Unternehmensinfrastruktur funktioniert. Diese Passwörter sind öffentlich bekannt, was bedeutet, dass Angreifer damit auf Netzwerkressourcen zugreifen können, ohne vorher Zugangsdaten gestohlen zu haben. Nachdem sie eine Komponente mit dem Netzwerk verbunden hat, sollte eine Administratorin sofort das voreingestellte Passwort ändern. Das gewählte Passwort ist idealerweise schwer zu erraten, aber leicht zu merken.
3. Schützen Sie gespeicherte Finanzdaten von Kunden. Diese Anforderung erscheint offensichtlich, aber nicht jedes Unternehmen speichert Kreditkarteninformationen und nicht alle setzen einen Mindeststandard an Sicherheit um. Kreditkarteninformationen, die beispielsweise in einer Datenbank gespeichert sind, müssen verschlüsselt sein und niemand innerhalb des Unternehmens sollte ungehinderten Zugang darauf haben. Jede Zugriffsanfrage muss überwacht werden und braucht einen Audit-Trail für die Incident Response im Falle einer Kompromittierung.
4. Finanzielle Daten müssen beim Transfer durch öffentliche Netzwerke verschlüsselt werden. Daten, die über das Internet gesendet werden, müssen verschlüsselt sein, um ein Abfangen der Daten zu verhindern. Wenn Nutzer ihre Kreditkarteninformationen auf einer E-Commerce-Website eingeben, müssen diese Informationen verschlüsselt werden. Sobald Händler daraufhin diese Kreditkartendaten zu einem Verarbeiter senden, müssen sie auch hier verschlüsselt sein. Manche Organisationen gehen mit ihren Sicherheitsvorkehrungen noch einen Schritt weiter und verschlüsseln auch den Traffic innerhalb des internen Unternehmensnetzwerks.
5. Installieren Sie Antivirensoftware und halten Sie sie auf dem neuesten Stand. Alle Server und Arbeitsplätze in der gesamten Organisation müssen eine Antivirensoftware installiert haben. Um noch eine weitere Sicherheitsstufe drauf zu setzen, sollte auch auf jedem mobilen Gerät, das Kreditkartendaten speichert oder verarbeitet, für eine bessere mobile Sicherheit ein Antivirenprogramm installiert werden. Endpunkt-Sicherheit ist für Unternehmen eine neuere Herausforderung, die erst mit der wachsenden Beliebtheit von Smartphones aufgekommen ist; aber Organisationen, die Zahlungen über mobile Geräte erhalten, sollten sie zu einer Priorität machen.
6. Fügen Sie nur Systeme hinzu, die Datensicherheit bereits mitbringen. Systeme verändern sich stetig und Administratoren werden neue hinzufügen, wenn das Unternehmen wächst. Bei der Integration jedes neuen Systems, das innerhalb einer Unternehmensinfrastruktur installiert wird, sollte Sicherheit von Vornherein berücksichtigt werden. Neue Infrastruktur sollte Sicherheit bereits integriert haben, wenn sie installiert wird, und bei jeglichen Konfigurationen sollte die Sicherheit von Kreditkartendaten im Blick behalten werden.
7. Vergeben Sie so wenige Berechtigungen zum Datenzugriff wie nötig. Nutzer sollten nur dann auf Kreditkartendaten zugreifen können, wenn es zum Erfüllen ihrer Aufgaben absolut notwendig ist. Insider-Bedrohungen riskieren die Offenlegung von Kreditkartendaten, weshalb nur diejenigen Angestellten, die den Zugang für Ihren Job benötigen, Zugriff haben sollten. In manchen Fällen kann ein Teil der Kreditkartennummer verborgen werden, um die Sicherheit zu erhöhen. Beispielsweise können Angestellte im Kundenservice die letzten vier Ziffern, aber nicht die volle Kreditkartennummer einsehen, während die Abrechnungsabteilung die ganze Nummer sieht, um Kunden dabei zu helfen, ihre gespeicherte Kartennummer zu ändern.
8. Loggen Sie die Nutzer-ID aller Zugriffsanfragen, die Kreditkartendaten abrufen. Egal, ob es sich um einen kompromittierten Account oder einen schädlichen Insider handelt – indem Sie die Nutzer-ID aller Zugriffsanfragen speichern, schaffen Sie einen Audit-Trail. Ermittler und Strafverfolgungsbehörden nutzen Audit-Trails, um einen schädlichen Akteur zu identifizieren, und sie helfen Incident-Response-Teams, das Ausmaß des Schadens und die von einer Datenverletzung betroffenen Kunden zu bestimmen.
9. Schränken Sie den physischen Zugang zu Kreditkartendaten ein. Für Server, auf denen Kreditkarteninformationen gespeichert sind, sollten entsprechende physische Sicherheitsmaßnahmen ergriffen werden. Wenn Organisationen Kreditkartendaten in der Cloud speichern, muss der Cloudanbieter PCI-DSS-konforme Richtlinien bereitstellen. Physische Sicherheit umfasst auch das Erfassen von Zugriffsanfragen zur physischen Infrastruktur, um einen Audit-Trail zu erstellen.
10. Loggen und überwachen Sie Zugriffsanfragen auf Netzwerkressourcen, die Kreditkarteninformationen speichern. Den Zugang zu Daten zu überwachen ist eine Anforderung in verschiedenen Compliance-Regelwerken. Logs und Monitoring gehen dabei Hand in Hand beim Schutz von Daten. Logs erfassen alle Ereignisse mit einer Zugriffsanfrage und Monitoring-Tools nutzen diese Ereignisse zum Identifizieren von Anomalien, die Benachrichtigungen an die Administratoren auslösen. Analysten nutzen Monitoring, um schnell auf laufende Vorfälle zu reagieren und diese einzudämmen, um den durch eine Kompromittierung verursachten Schaden zu begrenzen.
11. Testen Sie Sicherheitssysteme und -prozesse häufig. Sicherheitssysteme versagen manchmal, oder sie funktionieren nicht wie vorgesehen, weshalb es wichtig ist, dass Administratoren Sicherheitskontrollen in der gesamten Umgebung regelmäßig testen. Manche Organisationen führen Sicherheits-Events durch, bei denen Mitarbeiter für das Aufspüren von verwundbaren Ressourcen Preise gewinnen können. Zusätzlich zum jährlichen Testen sollten Administratoren die PCI-DSS-Compliance-Dokumentation regelmäßig auf Änderungen prüfen.
12. Dokumentieren Sie Sicherheitsrichtlinien und machen Sie sie Ihren Angestellten zugänglich. Angestellte können Sicherheitsrichtlinien nicht befolgen, wenn sie nicht wissen, an welche Richtlinien sie sich halten sollen. PCI-DSS erfordert, dass Arbeitsgeber Sicherheitsrichtlinien so dokumentieren, dass Angestellte darin nachschlagen können, was sie zu tun haben und den richtigen Umgang mit Kundendaten ableiten können.

Die meisten PCI-DSS-Best-Practices entsprechen einfach den Anforderungen, aber Organisationen können einige zusätzliche Richtlinien umsetzen, um ihre Sicherheit zu verbessern. Hier sind einige zusätzliche Praktiken, die Organisationen in Erwägung ziehen sollten: