PCI DSS.

Was PCI DSS tatsächlich regelt

PCI DSS ist die Sicherheitsgrundlage, die von den großen Zahlungskartenmarken jeder Organisation auferlegt wird, die Karteninhaberdaten speichert, verarbeitet oder überträgt. Es ist weder ein Gesetz noch eine staatliche Vorschrift. Es ist eine vertragliche Anforderung, durchgesetzt über die Acquiring-Banken und die darüber stehenden Kartenorganisationen. Wenn Sie eine primäre Kontonummer verarbeiten, gilt der Standard für Sie, egal ob Sie ein globaler Einzelhändler oder ein kleiner E-Commerce-Shop mit einer einzigen Checkout-Seite sind.

Der Standard ist um eine Reihe von Kontrollzielen herum aufgebaut, die Menschen, Prozesse und Technologien abdecken, die mit Karteninhaberdaten in Berührung kommen: Aufbau und Pflege eines sicheren Netzwerks, Schutz gespeicherter Kontodaten, Verschlüsselung der Übertragung, Schwachstellenmanagement, Beschränkung des Zugriffs nach dem Need-to-know-Prinzip, Überwachung und Protokollierung sowie die Pflege einer schriftlichen Informationssicherheitsrichtlinie. Jedes Ziel zerfällt in konkrete, prüfbare Anforderungen, weshalb sich PCI DSS eher wie eine Audit-Checkliste liest als wie ein prinzipienbasiertes Rahmenwerk wie ISO 27001.

Der Geltungsbereich ist das A und O

Die wichtigste Entscheidung für den Praktiker ist nicht, wie die Bewertung bestanden wird, sondern wie das zu Bewertende verkleinert wird. Alles, was Karteninhaberdaten speichert, verarbeitet oder überträgt, sowie alles, was damit verbunden ist, fällt in die Karteninhaberdaten-Umgebung (CDE). Je größer die CDE, desto mehr Systeme müssen jede Anforderung erfüllen, und desto mühsamer und teurer wird die Bewertung.

Hier zahlen sich Tokenisierung, Netzwerksegmentierung und Auslagerung an konforme Zahlungsdienstleister aus. Indem Sie Kartennummern durch Token ersetzen, die CDE hinter Firewalls isolieren und die eigentliche Kartenerfassung auf eine gehostete Seite oder einen Drittanbieter-Prozessor verlagern, entfernen Sie Systeme vollständig aus dem Geltungsbereich. Eine gut segmentierte Umgebung kann eine ausufernde Landschaft auf eine Handvoll Komponenten reduzieren, die eine vollständige Validierung benötigen.

Wie die Validierung in der Praxis funktioniert

Wie Sie die Konformität nachweisen, hängt vom Transaktionsvolumen und davon ab, wie Sie Zahlungen annehmen. Kleinere Händler füllen in der Regel einen Self-Assessment Questionnaire (SAQ) aus und wählen die Version, die ihrem Akzeptanzkanal entspricht. Größere Händler und Dienstleister durchlaufen eine formale Bewertung durch einen Qualified Security Assessor (QSA), der einen Report on Compliance erstellt. Netzwerk-Scans durch einen Approved Scanning Vendor und vierteljährliche Nachweise sind über alle Stufen hinweg übliche Verpflichtungen.

Die aktuelle Revision, Version 4.0.1, geht über eine reine Checkliste hinaus. Neben dem präskriptiven „definierten Ansatz“ führt sie einen „angepassten Ansatz“ ein, der es reifen Organisationen erlaubt, ein Kontrollziel mit eigenen gestalteten Kontrollen zu erfüllen, sofern sie dokumentieren und nachweisen können, dass das Ziel erreicht ist. Sie formuliert Konformität zudem als kontinuierlichen Zustand statt als jährliche Momentaufnahme um, wobei mehrere Anforderungen ausdrücklich eine in den laufenden Betrieb integrierte Überwachung verlangen.

Wie es sich neben anderen Standards einordnet

Teams verwechseln PCI DSS häufig mit ISO 27001. Sie überschneiden sich, beantworten aber unterschiedliche Fragen. ISO 27001 bescheinigt, dass Sie ein Informationssicherheits-Managementsystem betreiben; PCI DSS validiert, dass ein spezifischer, vorgeschriebener Satz von Kontrollen Karteninhaberdaten schützt. Das eine ist eine Managementsystem-Zertifizierung, deren Geltungsbereich Sie selbst festlegen; das andere ist ein fester Kontrollsatz, der von einem externen Branchengremium auferlegt wird. Der Betrieb eines ISO-27001-ISMS verschafft Ihnen ein Governance-Gerüst, das die Erstellung von PCI-Nachweisen erleichtert, ersetzt aber nicht die kartendatenspezifischen Anforderungen.