Maintain PCI compliance with comprehensive visibility into your attack surface
Wenn Ihr Unternehmen Kredit- oder Debitkarten verarbeitet, liegen Angreifer wahrscheinlich bereits auf der Lauer und hoffen darauf, sich Zugriff auf diese wertvollen Daten zu verschaffen. Schützen Sie die Informationen Ihrer Kunden und gewährleisten Sie PCI-Compliance mit Tenable One.
Tenable Connect-Community: Ihre zentrale Anlaufstelle in Sachen PCI
Sie haben Fragen zu PCI-Compliance und -Sicherheit? Treten Sie der Tenable Connect-Community bei, um sich mit anderen auszutauschen, die ähnliche Interessen haben. In der Community können Sie sich näher über wichtige PCI-Themen wie ASV-Scanning, PCI-Validierung, PCI-Audits und vieles mehr informieren.
PCI internal scan or PCI-DSS compliance audit file
Wir haben die Vorlage für einen internen PCI-Scan verwendet und sind wie erwartet auf einige Schwachstellen gestoßen, wie z. B. nicht gepatchte... Meine Frage lautet: Muss ich für unsere vierteljährlichen internen Scans die PCI DSS-Audit-Datei ausführen?
PCI DSS version for external scans
Welche PCI DSS-Version nutzt Tenable.io für externe Scans der PCI-Compliance?
Tenable.io PCI ASV - background and review process
Zugelassene Scanning-Anbieter (Approved Scanning Vendor, ASV) sind Unternehmen, die die Einhaltung der PCI-Anforderungen durch Schwachstellen-Scans von Umgebungen validieren, die mit dem Internet verbunden sind.
Frequently asked questions about PCI
PCI-Sicherheit und -Compliance sind für Sie noch neu? Do you have questions but not sure where to start?
Hier finden Sie einige häufig gestellte Fragen zum Thema PCI vertraut.
-
Wofür steht PCI?
-
PCI ist die Kurzform von „Payment Card Industry“. PCI represents organizations that process, transmit and store cardholder data including debit, credit, prepaid, point-of-sale, ATM and e-wallet cards.
-
Was ist PCI?
-
Bei PCI handelt es sich um eine Reihe von Sicherheitsstandards, mit denen Ihr Unternehmen Zahlungskartendaten verarbeiten, übertragen und speichern kann und gleichzeitig sicherstellt, dass Sie Best Practices zum Schutz und zur Absicherung von Zahlungskartendaten verfolgen.
-
Was ist das PCI Security Standards Council (PCI SSC) und welche Aufgaben hat es?
-
Das PCI Security Standards Council (PCI SSC) ist eine Organisation, die mit dem Ziel ins Leben gerufen wurde, die PCI Data Security Standards (PCI DSS) zu verwalten und weiterzuentwickeln. Ihre Zielsetzung besteht darin, sicherzustellen, dass Unternehmen die notwendigen Maßnahmen zum Schutz von Karteninhaberdaten ergreifen.
-
Warum ist PCI wichtig?
-
PCI ist wichtig, weil die Sicherheitsstandards sensible Karteninhaberdaten selbst während der Speicherung schützen und absichern. Wenn Ihr Unternehmen Debit-, Kredit- und Point-of-Sale-Karten akzeptiert, sollte PCI-Konformität bestehen. Dies ist mehr als nur eine Vorgabe – mithilfe der Standards kann auch sichergestellt werden, dass die richtigen Sicherheitskontrollen vorhanden sind, um Zahlungsdaten Ihrer Kunden stets zu schützen.
-
Ist PCI-Compliance gesetzlich vorgeschrieben?
-
Nein. PCI-Compliance ist nicht gesetzlich vorgeschrieben. Dennoch können Gesetze auf bundesstaatlicher Ebene und Branchenanforderungen PCI-bezogene Vorschriften zum Schutz von Karteninhaberdaten bei Zahlungstransaktionen enthalten.
-
Was macht PCI-Konformität aus?
-
PCI-Konformität setzt voraus, dass Ihr Unternehmen nachweisen kann, PCI DSS-Anforderungen zur Absicherung von Karteninhaberdaten zu erfüllen. Einige PCI-Kontrollmechanismen betreffen Datenverschlüsselung, Schwachstellen-Management sowie laufende Risikobewertungen und ein entsprechendes Risikomanagement. Zum Nachweis der Compliance sollte ein qualifizierter Sicherheitsgutachter Ihr Unternehmen jedes Jahr einer Bewertung unterziehen.
-
Was ist PCI DSS?
-
PCI DSS ist die Kurzform von „Payment Card Industry Data Security Standards“. Hierbei handelt es sich um eine Reihe von Sicherheitsstandards, mit denen Ihr Unternehmen Zahlungskartendaten bei der Verarbeitung, Übertragung und Speicherung schützen und absichern kann.
-
Worin besteht der Zweck von PCI DSS?
-
Der Zweck von PCI DSS besteht darin, Unternehmen feste Standards vorzugeben, die gewährleisten, dass sie sichere Umgebungen für Zahlungsdaten aufrechterhalten. Dies soll die Wahrscheinlichkeit senken, dass es zu einem erfolgreichen Angriff kommt.
-
Wie lauten die 12 primären PCI-Compliance-Anforderungen?
-
Es gibt 12 primäre Anforderungen für PCI-Compliance:
- Installation und Pflege einer Firewall-Konfiguration zum Schutz von Karteninhaberdaten
- Keine vom Anbieter bereitgestellten Standardeinstellungen für Systempasswörter und andere Sicherheitsparameter verwenden
- Schutz gespeicherter Karteninhaberdaten
- Verschlüsselung bei der Übertragung von Karteninhaberdaten über offene, öffentliche Netze
- Nutzung und regelmäßige Aktualisierung von Antivirus-Software oder -Programmen
- Entwicklung und Wartung sicherer Systeme und Anwendungen
- Beschränkung des Zugriffs auf Karteninhaberdaten nach geschäftlichem Bedarf
- Zuweisung einer eindeutigen ID für jede Person mit Computerzugriff
- Beschränkung des physischen Zugriffs auf Karteninhaberdaten
- Verfolgung und Überwachung des gesamten Zugriffs auf Netzwerkressourcen und Karteninhaberdaten
- Regelmäßiges Testen der Sicherheitssysteme und -prozesse
- Pflege einer Richtlinie, die die Informationssicherheit für alle Mitarbeiter regelt
-
Wer sollte PCI-konform sein?
-
Wenn Ihr Unternehmen Kreditkartendaten annimmt, verarbeitet, speichert oder überträgt, sollte unabhängig von der Branche oder Größe Ihres Unternehmens PCI DSS-Konformität bestehen.
-
Welche Vorteile hat PCI-Compliance?
-
PCI-Compliance bietet zahlreiche Vorteile. Hier einige Beispiele:
- Sicherheit der Karteninhaberdaten von Kunden
- Geringeres Risiko von Datenpannen und anderen Sicherheitsvorfällen
- Aufbau von Reputation und Vertrauen unter Kunden
- Schutz Ihres Unternehmens/Ihrer Marke
- Keine Geldbußen oder Strafen bei Nichtkonformität
- Wettbewerbsvorteile
-
Was passiert, wenn ich nicht PCI-konform bin?
-
Wenn Sie nicht PCI-konform sind, könnte Ihr Unternehmen das Recht verlieren, Zahlungskarten als Zahlungsmittel zu akzeptieren. Außerdem könnten Ihnen Geldbußen, Strafen und möglicherweise strafrechtliche oder zivilrechtliche Konsequenzen drohen. Bei Nichtkonformität könnten Sie unter Umständen höhere Verarbeitungsgebühren entrichten müssen und außerdem Gefahr laufen, von einem Sicherheitsvorfall betroffen zu sein.
-
Welche PCI-Compliance-Stufen gibt es?
-
Es gibt vier PCI-Compliance-Stufen – je nachdem, wie viele Transaktionen Sie innerhalb von 12 Monaten verarbeiten. Diese sind wie folgt unterteilt: Stufe 1: mehr als 6 Millionen Kredit- oder Debitkartentransaktionen pro Jahr; Stufe 2: 1 bis 6 Millionen Transaktionen jährlich; Stufe 3: 20.000 bis 1 Million jährliche Transaktionen; und Stufe 4: weniger als 20.000 jährliche Transaktionen sowie alle weiteren Händler, die jedes Jahr bis zu 1 Million Transaktionen verarbeiten.
-
Was fällt nach PCI DSS unter Karteninhaberdaten?
-
Nach PCI DSS sind Karteninhaberdaten (Cardholder Data, CHD) sämtliche Informationen, die Ihr Unternehmen zur Identifizierung eines Karteninhabers oder Kontos verwendet. Dies kann den Namen und die Anschrift des Karteninhabers sowie die Kartennummer, das Ablaufdatum und den CVV-Code umfassen.
-
Was fällt unter sensible Authentifizierungsdaten?
-
Nach PCI DSS sind sensible Authentifizierungsdaten sämtliche Daten, die zur Authentifizierung eines Karteninhabers verwendet werden könnten. Zum Beispiel:PIN-Nummern, PIN-Sperren und mit dem Magnetstreifen auf der Rückseite der Karte verbundene Daten.
-
Was ist eine PCI DSS-Karteninhaberdaten-Umgebung?
-
Eine PCI DSS-Karteninhaberdaten-Umgebung (Cardholder Data Environment, CDE) umfasst sämtliche Netzwerke, Systeme oder Anwendungen, die Karteninhaberdaten speichern, verarbeiten oder übertragen, darunter auch Authentifizierungsdaten.
-
Was ist das PCI Software Security Framework (SSF)?
-
Das PCI Software Security Framework (SSF) besteht aus einer Reihe von Standards, die Ihr Unternehmen verwenden kann, um sichere Software im Rahmen der PCI DSS-Compliance zu entwickeln und entsprechend zu warten.
-
Was sind PCI SSC Software Standards?
-
PCI SSC Software Standards sind Anforderungen für Softwareprodukte, die in PCI DSS-konformen Umgebungen eingesetzt werden. Zu diesen Anforderungen zählen z. B. Verschlüsselung, Passwortverwaltung, Schwachstellen-Management und sichere Softwareentwicklung.
-
Was gilt als nach PCI SSC Software Standards validierte Software?
-
Nach den PCI SSC Software Standards validierte Software wurde von Drittanbietern unabhängig getestet und validiert, um nachzuweisen, dass sie den PCI SSC Software Standards entspricht.
-
Was ist ein nach den PCI SSC Software Standards validierter Softwareanbieter?
-
Nach den PCI SSC Software Standards validierte Softwareanbieter haben ihre Software von einem unabhängigen Gutachter prüfen lassen und im Anschluss an die Testphase Konformität mit spezifischen PCI SSC Software Standards nachgewiesen.
-
Was ist PA-DSS?
-
PA-DSS ist die Kurzform von „Payment Application Data Security Standard“. Das PCI Security Standards Council hat PA-DSS ins Leben gerufen, um Softwareanbieter und Händler bei der Entwicklung und Aufrechterhaltung von Sicherheitsstandards für Zahlungsanwendungen zu unterstützen, die Karteninhaberdaten im Rahmen von Transaktionen speichern, verarbeiten oder übertragen.
-
Was sind vom PCI SSC zugelassene Scanning-Anbieter (Approved Scanning Vendor, ASV)?
-
Vom PCI SSC zugelassene Scanning-Anbieter (Approved Scanning Vendor, ASV) sind Unternehmen, die vom Payment Card Industry Security Standards Council (PCI SSC) die Zulassung erhalten haben, externe Schwachstellen-Scanning-Services für Unternehmen zu erbringen, die Zahlungskartendaten verarbeiten.
-
Ist Tenable ein zertifizierter ASV?
-
Ja, Tenable ist ein zertifizierter ASV für PCI DSS-Compliance. Als zertifizierter ASV hat das PCI SSC Tenable die Zulassung erteilt, Schwachstellen-Scans von Unternehmenssystemen durchzuführen, um sicherzustellen, dass diese den PCI DSS-Anforderungen entsprechen. Große Kreditkartenunternehmen akzeptieren Tenable-Scans als Nachweis für PCI DSS-Compliance.
-
Ist Schwachstellen-Scanning Bestandteil von PCI-Konformität?
-
Ja, Schwachstellen-Scanning zählt zu den Voraussetzungen für PCI-Konformität. Schwachstellen-Scans sind Tests bestimmter Art, die Ihr Unternehmen oder ein Drittanbieter durchführen kann, um potenzielle Fehlkonfigurationen und andere Sicherheitsprobleme zu erkennen, bevor Bedrohungsakteure sie ausnutzen können.
-
Wie häufig sind Schwachstellen-Scans nach PCI durchzuführen?
-
PCI sieht vor, Schwachstellen-Scans zumindest in vierteljährlichen Abständen durchzuführen. Dennoch empfiehlt sich eine häufigere Durchführung – insbesondere wenn sich Ihr Unternehmen oder Ihre Umgebung verändert.
-
Was sind häufige PCI-Verstöße?
-
Beispiele für häufige PCI-Verstöße sind: Gerätebildschirme zu verlassen, auf denen Karteninhaberdaten für die Öffentlichkeit einsehbar sind; Aufzeichnungen von Karteninhaberdaten in Papierform nicht in verschlossenen Schränken oder Schubladen aufzubewahren; Default-Passwörter zu verwenden oder Passwörter nicht regelmäßig zu ändern; sensible Karteninhaberdaten nicht zu verschlüsseln; fehlende sichere Netzwerkkonfigurationen; keine Implementierung von starken Zugriffskontrollmaßnahmen.
-
Was ist eine PCI ASV-Schwachstelle?
-
Eine PCI ASV-Schwachstelle ist eine Schwachstelle, die ein ASV im Rahmen eines PCI-konformen Schwachstellen-Scans identifiziert.
-
Wie viel Zeit sollte ein PCI ASV-Scan in Anspruch nehmen?
-
Der Zeitaufwand für einen PCI ASV-Scan variiert basierend auf einer Vielzahl von Faktoren, wie z. B. der Größe und Komplexität des Netzwerks. In vielen Fällen dauert ein PCI ASV-Scan mehrere Stunden.
-
Was sind die zentralen Schritte im PCI-Scan-Prozess?
-
Bei Nutzung von Tenable besteht der PCI-Scan-Prozess aus den folgenden zentralen Schritten:
Create a scan with a template.
Launch the scan.
Submit the scan to your PCI ASV dashboard.
Create an attestation request draft.
Die Scan-Bescheinigung zur ASV-Prüfung vorlegen, nachdem sämtliche Mängel beseitigt wurden
-
Welche Systeme sollten beim PCI ASV-Scanning berücksichtigt werden?
-
Jedes extern zugängliche System, das ein potenzielles Einfallstor in die Karteninhaberdaten-Umgebung (CDE) darstellt, sollte beim PCI ASV-Scanning berücksichtigt werden.
-
Ist ein zugelassener Scanning-Anbieter dasselbe wie ein qualifizierter Sicherheitsgutachter?
-
Nein. Zwischen einem zugelassenen Scanning-Anbieter (Approved Scanning Vendor, ASV) und einem qualifizierten Sicherheitsgutachter (Qualified Security Assessor, QSA) bestehen Unterschiede. Das PCI SSC zertifiziert QSAs, damit diese Bewertungen der PCI-Compliance vor Ort durchführen. ASVs hingegen sind zugelassen, externe Schwachstellen-Scans für PCI-Compliance-Tests durchzuführen.
-
Gibt es Best Practices zur Implementierung von PCI DSS?
-
Es gibt mehrere Best Practices, die es bei der Implementierung von PCI DSS zu berücksichtigen gilt. Das PCI SSC empfiehlt Unternehmen, PCI DSS als Security-Baseline zu implementieren. Hierbei handelt es sich um ein Framework, das Unternehmen aller Größen bei der Entwicklung von Datensicherheitsprozessen zum Schutz von Karteninhaberdaten unterstützt, darunter Kontrollen zur Prävention, Erkennung und adäquaten Reaktion auf Sicherheitsvorfälle.
Understanding PCI DSS merchant levels
Unternehmen werden je nach Anzahl der Zahlungskartentransaktionen über einen Zeitraum von 12 Monaten in eine von insgesamt vier Compliance-Stufen eingeordnet. Dies umfasst Kredit-, Debit-, Prepaid-, Geschenk-, Chip- und Guthabenkarten, die mit einem Logo eines teilnehmenden PCI SSC-Zahlungsdienstleisters (PCI SSC Participating Payment Brand) versehen sind. Hierbei kann es sich um ein PCI SSC-Mitglied oder ein verbundenes Unternehmen handeln.
Jede Kreditkartenmarke kann basierend auf einer Vielzahl von Faktoren eigene Kriterien für Händlerstufen festlegen. Daher ist es wichtig, sich auf direktem Wege bei Ihrer sogenannten „erwerbenden Bank“ (Acquiring Bank) bzw. Kreditkartenmarke nach Ihrer entsprechenden Händlerstufe zu erkundigen. Hier ein Beispiel der Händlerstufen von Visa und Mastercard:
Merchant level 1
Mehr als 6 Millionen Kredit- oder Debitkartentransaktionen pro Jahr.
Anforderung:Durchführung eines jährlichen internen Audits sowie eines vierteljährlichen PCI-Scans durch einen zugelassenen Scan-Anbieter (ASV)
Merchant level 2
1 bis 6 Millionen Transaktionen jährlich.
Anforderung:Bearbeitung eines jährlichen Selbstbewertungsfragebogens (SAQ); gegebenenfalls ein vierteljährlicher ASV PCI-Scan.
Merchant level 3
20.000 bis 1 Million jährliche Transaktionen.
Anforderung:Durchführung einer jährlichen Selbstbewertung; gegebenenfalls vierteljährliche ASV PCI-Scans.
Merchant level 4
weniger als 20.000 jährliche Transaktionen sowie alle weiteren Händler, die jedes Jahr bis zu 1 Million Transaktionen verarbeiten.
Anforderung:Bearbeitung eines jährlichen Selbstbewertungsfragebogens (SAQ); unter Umständen vierteljährliche ASV PCI-Scans.
Laut PCI SSC gibt es drei weitere Zahlungsdienstleister: JCB, Discover und AMEX. Diese haben eigene Händlerstufen und Anforderungen, doch in vielen Fällen sind bei Erfüllung der oben genannten Kriterien im Allgemeinen auch deren Standards erfüllt. Erkundigen Sie sich bei Ihrem Zahlungsdienstleister dennoch nach den spezifischen Details.
Understanding PCI DSS requirements
Im Anschluss an drei separate Runden mit Aufforderungen zur Stellungnahme (Request for Comments, RFC), mehr als 6.000 Rückmeldungen sowie Eingaben von mehr als 200 Unternehmen veröffentlichte die PCS SSC im März 2022 PCI DSS v4.0. Auch wenn PCI DSS v3.2.1 bis Ende des ersten Quartals 2024 in Kraft bleibt, sollten Unternehmen bereits Maßnahmen zur Implementierung der 4.0-Standards ergreifen. Die neuen Anforderungen treten zum 31. März 2025 in Kraft.
Laut PCI SSC gibt es bei den neuen Standards vier primäre Ziele:
1. Den Sicherheitsanforderungen der Zahlungsverkehrsbranche Rechnung tragen
Beispiele:Erweiterte Multi-Faktor-Authentifizierung, aktualisierte Passwörter und neue E-Commerce- und Phishing-Anforderungen
2. Sicherheit als kontinuierlichen Prozess vorantreiben
Beispiele:Klar zugewiesene Rollen und Zuständigkeiten für jede Anforderung und umfangreichere Empfehlungen zur Implementierung und Aufrechterhaltung von Sicherheit
3. Zusätzliche Flexibilität im Hinblick auf unterschiedliche Methoden
Beispiele:Zulassung von Gruppen-, gemeinsamen und generischen Konten sowie gezielten Risikoanalysen
4. Validierungsmethoden erweitern
Beispiele:Bessere Abstimmung zwischen den Informationen in Berichten und Bescheinigungen
Understanding PCI DSS requirements
Um Unternehmen, die Zahlungskartendaten annehmen, speichern, verarbeiten oder übertragen, zu helfen, sensible Kundendaten auf sichere und vertrauliche Weise zu schützen, sind nach PCI DSS v4.0 insgesamt 12 Hauptanforderungen vorgesehen.
Diese lauten wie folgt:
Build and maintain a secure network and systems
Installation und Wartung von Netzsicherheitskontrollen
Anwendung von sicheren Konfigurationen auf alle Systemkomponenten
Protect account data
Schutz von gespeicherten Kontodaten
Schutz von Karteninhaberdaten mit starker Kryptografie während der Übertragung über offene, öffentliche Netzwerke
Maintain a vulnerability management program
Schutz aller Systeme und Netzwerke vor bösartiger Software
Entwicklung und Wartung sicherer Systeme und Software
Implement strong access control measures
Beschränkung des Zugriffs auf Systemkomponenten und Karteninhaberdaten nach geschäftlichem Bedarf
Identifizierung von Benutzern und Authentisierung von Zugriff auf Systemkomponenten
Beschränkung des physischen Zugriffs auf Karteninhaberdaten
Regularly monitor and test networks
Protokollierung und Überwachung aller Zugriffe auf Systemkomponenten und Karteninhaberdaten
Regelmäßige Prüfung der Sicherheit von Systemen und Netzwerken
Maintain and information security policy
Unterstützung der Informationssicherheit durch organisatorische Richtlinien und Programme
Diese Anforderungen gelten für:
- Karteninhaberdaten-Umgebungen (Cardholder Data Environment, CDE)
- Systemkomponenten, Personen und Prozesse, die Karteninhaberdaten und/oder sensible Authentifizierungsdaten speichern, verarbeiten und übertragen
- Systemkomponenten, die unter Umständen keine CHD/SAD speichern, verarbeiten oder übertragen, aber uneingeschränkt mit Systemkomponenten verbunden sind, die CHD/SAD speichern, verarbeiten oder übertragen
- Systemkomponenten, Personen und Prozesse, die die Sicherheit der Karteninhaberdaten-Umgebung (CDE) beeinträchtigen könnten
In einigen Fällen können PCI DSS-Anforderungen auch für Unternehmen gelten, die keine Karteninhaberdaten speichern, verarbeiten oder übertragen. Hierzu zählen beispielsweise Unternehmen, die Karteninhaberdaten-Umgebungen (CDE) verwalten, oder Einrichtungen, die ihre Zahlungsverarbeitung an Drittanbieter auslagern. Wenn Ihr Unternehmen solche Drittanbieter beauftragt, sind Sie weiterhin für den Schutz der Karteninhaberdaten verantwortlich, indem Sie sicherstellen, dass der jeweilige Drittanbieter die PCI DSS-Standards erfüllt.
Ensuring PCI DSS compliance
Möglicherweise fragen Sie sich, ob Sie die Anforderungen von PCI DSS v3.2.1 oder PCI DSS v4.0 erfüllen müssen.
Wenn Ihr Unternehmen noch nicht PCI DSS-konform ist, sollten Sie sich auf Ihrem Weg zu PCI DSS-Compliance auf die Anforderungen der Version 4.0 fokussieren. PCI DSS v4.0 tritt zum 31. März 2025 in Kraft.
Wenn Ihr Unternehmen Konformität nach Version 3.2.1 erreicht hat, ist es jetzt an der Zeit, sich auf die Erfüllung der in Version 4 festgelegten Standards zu konzentrieren.
Der erste Schritt auf dem Weg zu PCI-Compliance sollte damit beginnen, Ihre Händlerstufe zu ermitteln. Wie bereits erwähnt beruht die Händlerstufe auf der Anzahl der Zahlungskartentransaktionen während eines Zeitraums von 12 Monaten – und jede Kreditkartenmarke kann eigene Kriterien für die jeweiligen Stufen und die entsprechenden Anforderungen festlegen.
Was die Validierung Ihrer PCI DSS-Compliance angeht, so könnte Ihr Unternehmen je nach Transaktionsvolumen einen Selbstbewertungsfragebogen (Self-Assessment Questionnaire, SAQ) ausfüllen, einen Bericht der Konformität (Report on Compliance, ROC) erstellen oder zur Zusammenarbeit mit einem unabhängigen qualifizierten Sicherheitsgutachter (QSA) verpflichtet sein. Um eine PCI-Zertifizierung zu erhalten, muss Ihr Unternehmen mit einem QSA zusammenarbeiten. Ein QSA ist vom PCI SSC zugelassen. Er darf zertifizieren, dass Ihr Unternehmen die PCI DSS-Standards erfüllt, und kann Ihnen eine Konformitätsbescheinigung (Attestation of Compliance, AOC) ausstellen, wenn Sie sämtliche Anforderungen im Zuge Ihrer Bewertung erfüllen.
Erkundigen Sie sich bei Ihrer Kreditkartenmarke oder Ihrem Acquirer, ob Sie für eine Selbstbewertung infrage kommen oder mit einem QSA zusammenarbeiten müssen.
Wenn Sie eine Selbstbewertung durchführen können, muss beachtet werden, dass je nach Art der Umgebung unterschiedliche Arten von Selbstbewertungsfragebögen anzuwenden sind. Laut PCI SSC weist jeder Fragebogen einen einleitenden Abschnitt auf („Before You Begin“), in dem die Umgebung behandelt wird, auf den sich der jeweilige Fragebogen bezieht – einschließlich der entsprechenden Qualifikationskriterien.
Nach Auswahl des zutreffenden Fragebogens und Bestätigung Ihrer Umgebungskriterien sollten Sie alle Abschnitte des SAQ vollständig bearbeiten, darunter auch die in jedem SAQ enthaltene AOC. AOCs sind auch als eigenständige Dokumente verfügbar.
Wenn Ihr Unternehmen externe Schwachstellen-Scans durchführen muss, können Sie Ihre Schwachstellen-Management-Verfahren in Zusammenarbeit mit einem ASV bewerten und sicherstellen, dass Ihre Scanning-Prozesse den PCI DSS-Standards entsprechen. Der zugelassene Anbieter kann Ihnen Scan-Berichte zur Verfügung stellen.
Sobald Selbstbewertungsfragebogen (Self-Assessment Questionnaire, SAQ), Konformitätsbescheinigung (Attestation of Compliance, AOC) und Scans fertiggestellt bzw. abgeschlossen sind, ist die gesamte erforderliche Dokumentation Ihrem Zahlungsdienstleister bzw. Acquirer vorzulegen.
Nochmals: Die einzelnen Zahlungsdienstleister bestimmen letztlich, wie ein Unternehmen eingestuft wird bzw. welches Risiko es aufweist. Doch im Allgemeinen gibt es laut PCI SSC sechs wichtige Schritte auf dem Weg zu PCI-Compliance. Im Wesentlichen kann eine PCI DSS-Bewertung Folgendes umfassen:
Anwendungsbereich
Bringen Sie in Erfahrung, welche Systemkomponenten und Netzwerke in den Anwendungsbereich von PCI DSS fallen.
Bewerten
Prüfen Sie die Konformität der Systemkomponenten im Anwendungsbereich, nachdem Sie die Verfahren für jede PCI DSS-Anforderung geprüft haben.
Berichte erstellen
Gutachter und/oder Einrichtung stellen die erforderliche Dokumentation fertig – z. B. Selbstbewertungsfragebogen (SAQ) oder Bericht der Konformität (ROC), einschließlich der Dokumentation für alle kompensierenden Kontrollen.
Bescheinigen
Stellen Sie die entsprechende Konformitätsbescheinigung (AOC) fertig.
Übermitteln
Übermitteln Sie SAQ, ROC, AOC und weitere ergänzende Dokumentation wie z. B. ASV-Scan-Berichte an Acquirer (für Händler) bzw. Zahlungsdienstleister/anfordernde Stellen (für Dienstleister).
Korrigieren
Führen Sie bei Bedarf Korrekturen durch, um nicht erfüllten Anforderungen nachzukommen, und legen Sie dann einen aktualisierten Bericht vor.
Proactively monitor and maintain your PCI compliance
Mit der breiten Abdeckung und kontinuierlichen Überwachung von Tenable One können Sie all Ihre PCI DSS-Kontrollen effektiv managen – dank umgehend verfügbarer und leicht verständlicher Erkenntnisse zu der Frage, wie gut Sie Ihre PCI-Compliance-Ziele erreichen.
PCI blog bytes
Everybody does good VM when s#*t hits the fan
Um PCI DSS-Konformität zu erreichen, benötigt Ihr Unternehmen Erkenntnisse zu den derzeit in Ihrer Umgebung vorhandenen kritischen Schwachstellen sowie zu der Frage, was Sie zu deren Behebung unternehmen und wie Sie diesen Schwachstellen künftig Rechnung tragen. In diesem Blog-Beitrag erfahren Sie mehr darüber, wie Sie ein Schwachstellen-Management-Programm aufrechterhalten, um PCI-Standards zu erfüllen.
Cloud-Sicherheit:5 key takeaways from the SANS DevSecOps survey
Unabhängig von der Größe Ihres Unternehmens wird es wahrscheinlich bereits mehrere Sicherheits- und Compliance-Frameworks verwalten, wie beispielsweise PCI. Doch wie finden Sie heraus, ob dabei Best Practices zum Einsatz kommen? Dieser Blog-Beitrag wirft einen genaueren Blick auf die Ergebnisse der SANS-Umfrage 2022 zum Thema DevSecOps und zeigt u. a. auf, wie Vertrauen in Ihre Verfahren für PCI-Compliance aufgebaut werden kann.
Cyber Hygiene: 5 advanced tactics to maximize your risk reduction
Die meisten modernen Unternehmen akzeptieren heutzutage gewisse Formen von Kredit- oder Debitkartenzahlungen. Wenn dies auch für Ihr Unternehmen gilt, führt an PCI DSS-Konformität wahrscheinlich kein Weg vorbei. Bleiben diese Zahlungsdaten ungeschützt, setzen Sie Kunden – und Ihr Unternehmen – Risiken aus. Dieser Blog-Beitrag ist Teil einer Reihe zum Thema Cyberhygiene und bietet einen Überblick über Methoden, mit denen Sie sicherstellen können, dass umfassender Einblick in Ihre Netzwerke besteht.
Tenable One
Ensure your cloud environments meet PCI DSS standards
Da immer mehr Unternehmen Systeme und Anwendungen in die Cloud verlagern, hat das PCI Security Standards Council (PCI SSC) Cloud-Computing-Kontrollen und entsprechende Überlegungen in seine PCI DSS-Leitlinien aufgenommen. Unabhängig davon, ob Sie in Private, Community, Public oder Hybrid Cloud-Umgebungen arbeiten: Tenable One kann Ihnen die notwendige umfassende Sichtbarkeit bieten, um sicherzustellen, dass Sie die Zahlungskartendaten Ihrer Kunden schützen und zugleich die Compliance-Standards nach PCI DSS erfüllen.
Assess scope
Im Rahmen der PCI DSS-Konformität muss Ihr Unternehmen den jeweiligen Anwendungsbereich von Systemen und Netzwerken nachvollziehen können. Viele Unternehmen tun sich damit schwer, weil sie keinen Einblick in alle ihre Assets haben. Mit Tenable One können Sie sämtliche Assets im Anwendungsbereich erfassen, wie etwa Server, Webanwendungen, Netzwerkgeräte und Datenbanken.
Document with confidence
Das Fertigstellen und Vorlegen der entsprechenden Dokumentation ist ein Bestandteil von PCI DSS-Konformität. Wenn Sie diese Daten weiterhin manuell in Spreadsheets oder anderen GRC-Tools verfolgen, ist dies zeitaufwendig und wichtige Informationen können übersehen werden. Tenable One vereinfacht die Dokumentation mit einsatzfertigen Vorlagen für Berichte und Scans.
Discover and prioritize vulnerabilities
Um die Sicherheit von Zahlungskartendaten zu gewährleisten, müssen Sie nicht nur wissen, wo Schwachstellen vorhanden sind. Sie benötigen außerdem Einblick in die potenziellen Compliance-Auswirkungen, sodass Sie stets wissen, welche Schwachstellen zuerst behoben werden müssen. Tenable One ermöglicht Risikobewertungen, sodass Sie Sicherheitsprobleme erkennen, priorisieren und beseitigen können – On-Prem wie auch in der Cloud.
Tenable One
Demo anfordern
Die weltweit führende KI-gestützte Plattform für Exposure Management
Vielen Dank
Vielen Dank für Ihr Interesse an Tenable One.
Ein Vertriebsmitarbeiter wird sich in Kürze mit Ihnen in Verbindung setzen.
Form ID: 7469
Form Name: one-eval
Form Class: c-form form-panel__global-form c-form--mkto js-mkto-no-css js-form-hanging-label c-form--hide-comments
Form Wrapper ID: one-eval-form-wrapper
Confirmation Class: one-eval-confirmform-modal
Simulate Success