SRC GEAR

SRC wird Teil des GEAR (Global Executive Assessor Roundtable)!

PCI SSC und SRC

Das Payment Card Industry Security Standards Council (PCI SSC) ist ein globales Forum, welches Infor­ma­ti­ons­si­cher­heits­stan­dards für sichere Zahlungen entwi­ckelt und deren Anwendung voran­treibt. Es ist verant­wortlich für 15 weltweit anerkannte und verbreitete Standards zur Absicherung von elektro­ni­schen Zahlver­fahren – von der Zahlkar­ten­pro­duktion und ‑herausgabe über die Zahlung am Point of Interest oder in Web & App bis hin zur Abwicklung der Zahlungen im Hinter­grund. SRC prüft die Nutzung der Infor­ma­ti­ons­si­cher­heits­stan­dards seit Gründung des PCI SSC im Rahmen entspre­chender Audits und Produktprüfungen.

Das PCI SSC legt Wert auf den Austausch zwischen verschie­denen Stake­holdern und nutzt dafür verschiedene Gremien und Aktivi­täten. SRC hat sich bisher im Rahmen von Special Interest Groups und Task Forces sowie durch die Teilnahme an Community Meetings und Request for Comment-Phasen beteiligt.

Global Executive Assessor Roundtable

Das PCI SSC gibt seit 2018 im Global Executive Assessor Round­table (GEAR) erfah­renen Audit-Unter­nehmen die Möglichkeit, seine obere Führungs­ebene zu beraten.

Wir freuen uns, dass unser Unter­nehmen dieses Jahr mit ausge­wählt wurde, im Rahmen dieser verant­wor­tungs­vollen Mitglied­schaft eine der Schnitt­stellen zwischen der Führung des PCI SSC selbst und der Führung der Auditie­rungs­ge­sell­schaften zu bekleiden. Hierdurch können wir unsere jahre­lange Erfahrung zukünftig auf direktem Wege einbringen.

Die Ernennung gilt für die kommenden zwei Jahre und gibt uns die Möglichkeit, an der Weiter­ent­wicklung von Vorgaben für Audit-Verfahren, neue Schulungs­pro­gramme und Quali­fi­ka­ti­ons­an­for­de­rungen zukünf­tiger Auditie­render einfluss­gebend mitzu­wirken. Weitere Aufga­ben­be­reiche der GEAR sind unter anderem, Möglich­keiten zu finden, das Engagement von Auditie­renden in aufstre­benden und neuen Märkten zu fördern, und die Fähig­keiten und Fertig­keiten von Auditie­renden im Sinne eines Mehrwerts für Zahlungs­ver­kehrs-Unter­nehmen zu optimieren.

Wir sind stolz, in diesen Kreis aufge­nommen worden zu sein, und sehen darin eine Anerkennung unserer bishe­rigen Leistung und Relevanz auf dem Markt der Zahlungs­ver­kehrs­si­cherheit. Zugleich sind wir uns unserer Verant­wortung bewusst, die Stell­ver­tretung für eine große Gemein­schaft an Auditie­rungs­ge­sell­schaften wahrzu­nehmen, und nehmen dies als zusätz­lichen Ansporn für die Zukunft.

Link zum GEAR: https://www.pcisecuritystandards.org/about_us/global_executive_assessor_roundtable/

8‑stellige BINs und PCI DSS

Am 1. April 2022 werden die Karten­or­ga­ni­sa­tionen Visa und Mastercard die BIN (Bank Identi­fi­cation Number) ihrer Karten weltweit von 6 auf 8 Stellen ausdehnen. Von einer 16-stelligen Kredit­kar­ten­nummer (Primary Account Number, PAN) dienen dann in Zukunft die ersten 8 Stellen zur Identi­fi­kation des Karten­her­aus­gebers. Die BIN wird an vielen Stellen genutzt, wo die Verwendung der vollstän­digen PAN nicht nötig ist – z.B. für das Routing von Trans­ak­tionen oder für Reportings.

BINs und PCI DSS 

Überall dort, wo eine vollständige PAN genutzt wird, müssen die Systeme, Umgebungen, Prozesse und Personen die Anfor­de­rungen des Daten­si­cher­heits­stan­dards PCI DSS (Payment Card Industry Data Security Standard) erfüllen. So sinnvoll der Schutz der PAN durch den PCI DSS ist – für die BIN ist er nicht notwendig.

Im PCI DSS ist daher beschrieben, unter welchen Bedin­gungen für Teile der PAN nicht der gleiche Schutz wie für die volle PAN notwendig ist. Wird nicht die volle PAN gespei­chert, verar­beitet oder übertragen, sondern nur einige Stellen davon, spricht man im PCI DSS von „Trunkierung“. Ist zwar die volle PAN im Hinter­grund gespei­chert, aber in einer Appli­kation werden nicht alle Stellen angezeigt, spricht man im PCI DSS bei der Anzeige von „Maskierung“. Im Alltag wird für beide unter­schied­lichen Maßnahmen auch der Begriff „ausgeixt“ verwendet; aus Sicht des PCI DSS muss man diese aber unterscheiden.

Für Trunkierung und Maskierung galten bisher folgende Regeln:

  • Maskierung: PCI DSS-Anfor­derung 3.3 besagt, dass maximal die ersten sechs und letzten vier Stellen („first 6, last 4“) der PAN angezeigt werden dürfen, solange es keinen Business Need für die Einsicht in die volle PAN gibt.
  • Trunkierung: In PCI DSS-Anfor­derung 3.4 wird Trunkierung als Beispiel für die Unkennt­lich­ma­chung von PANs benannt, aber nicht genauer definiert. Die erlaubten Formate werden jeweils von den inter­na­tio­nalen Zahlkarten-Organi­sa­tionen festgelegt und vom PCI SSC im FAQ-Eintrag #1091 zusam­men­ge­fasst. Die meisten Zahlkarten-Organi­sa­tionen hatten sich dabei auf die Regel „first 6, any other 4“ geeinigt, die viele Jahre Bestand hatte.

Änderung der Regeln für Trunkierung und Maskierung 

Aufgrund der Umstellung auf 8‑stellige BINs und der Notwen­digkeit vieler Unter­nehmen, diese zu verar­beiten, haben die Zahlkarten-Organi­sa­tionen ihre Vorgaben nun aber geändert. In der aktuellen Zusam­men­fassung im FAQ-Eintrag des PCI SSC ist nun definiert, dass für 16-stellige PANs bei der Trunkierung „first 8, any other 4“ zulässig ist.
Die (Test)Kartennummer 4012888888881881 dürfte dann in Zukunft z.B. in der Form 40128888xxxx1881 gespei­chert und verar­beitet werden – es reicht aus, wenn beliebige vier Stellen hinter der BIN ausgeixt sind.
Lediglich für kürzere PANs bleibt es bei den bestehenden Regeln „first 6, any other 4“ (Discover) bzw. „first 6, last 4“ (American Express).  Bei der Maskierung wird eine entspre­chende Anpassung der PCI DSS-Anfor­derung mit der Umstellung auf PCI DSS v4.0 erwartet.

Aus Sicher­heits­sicht ist das Ausixen so weniger Stellen keine Verbes­serung – aus der Business-Perspektive ist die Änderung aber wohl notwendig. Es bleibt zu hoffen, dass dies in der Gesamt­sicht durch andere Sicher­heits­maß­nahmen ausge­glichen wird.
Auf jeden Fall stehen in Zukunft die Anfor­de­rungen des PCI DSS der Verwendung einer 8‑stelligen BIN nicht im Wege.

Vorsicht bei der Kombi­nation verschie­dener Formate 

Händler und Dienst­leister, die mit trunkierten Karten­daten arbeiten, sollten – unabhängig von der Länge der BIN – darauf achten, den Schutz der Karten­daten nicht durch die Vermi­schung verschie­dener Formate zu schwächen.

  • Es muss darauf geachtet werden, dass die erwei­terten Trunkie­rungs­formate nur für 16-stellige PANs gelten. Die Länge der PAN muss also für die Trunkierung bei der Speicherung berück­sichtigt werden.
  • Trunkie­rungs­formate wie „first 6, any other 4“ erlauben theore­tisch das Vorliegen unter­schied­licher trunkierter Versionen der gleichen PAN. Die oben angeführte Karten­nummer könnte in einem System als 40128888xxxx1881 gespei­chert sein, in einem anderen als 401288888888xxxx. Das ist nicht verboten – es muss jedoch darauf geachtet werden, dass keiner ohne entspre­chenden Business Need die beiden Versionen zusam­men­führen kann und somit weitere Stellen der PAN – bis hin zur vollstän­digen Karten­nummer – rekon­stru­ieren kann.
    Dies gilt genauso, wenn für Maskierung und Trunkierung unter­schied­liche Formate verwendet werden.
  • Werden in einer Umgebung sowohl trunkierte PANs als auch die Hash-Werte von PANs gespei­chert, so sind die beiden Werte an sich erst einmal unkri­tisch. Lassen sich die trunkierten PANs und ihre Hash-Werte jedoch in Verbindung bringen, lässt sich über Rainbow Tables leicht die ursprüng­liche volle PAN rekon­stru­ieren. Auch in diesem Fall muss also über zusätz­liche Maßnahmen die Möglichkeit der Zusam­men­führung der beiden Versionen verhindert werden.

 

 

PCI DSS v4.0 kommt – Ein Überblick

Der PCI DSS (Payment Card Industry Data Security Standard) ist als umfas­sender Daten­si­cher­heits­standard für Zahlkar­ten­daten der inter­na­tio­nalen Zahlsysteme bekannt. Das Payment Card Industry Security Standards Council (PCI SSC) entwi­ckelt den Standard im Laufe der Zeit weiter, damit er mit fortschrei­tenden Risiken und Bedro­hungen, der sich ständig verän­dernden IT- und Zahlungs­ver­kehrs­land­schaft und geänderten Sicher­heits­an­for­de­rungen Schritt hält.

Das PCI SSC arbeitet seit langem an der neuen, grund­legend überar­bei­teten Version 4.0 des Standards. Nach drei RFC-Phasen in den zurück­lie­genden Jahren wird die neue Version nun im März 2022 offiziell auf der PCI SSC-Website veröffentlicht.
Einige Änderungen wurden bereits angekündigt und werden im Folgenden vorgestellt.

Neue Validie­rungs­op­tionen

Das PCI SSC plant, den Standard flexibler zu gestalten. Tradi­tionell besteht der vorge­sehene Weg zur Erfüllung einer PCI DSS-Anfor­derung darin, ihr Wort für Wort zu folgen. Jetzt plant das PCI SSC, eine Wahlmög­lichkeit anzubieten: Für fast jede Anfor­derung kann ein Unter­nehmen entweder die tradi­tio­nelle Variante wählen, sie Wort für Wort zu erfüllen, oder sie kann eine indivi­duelle, „custo­mized“ Validierung nutzen.

Zu jeder Anfor­derung im Standard wird das Ziel angegeben, das mit der Anfor­derung erreicht werden soll. Wenn ein Unter­nehmen der Meinung ist, dass sie dieses Ziel auf andere Weise erreichen möchte, als durch wortwört­liche Befolgung der Anfor­derung, kann sie ihren Weg dahin dokumen­tieren. Hierzu gehört auch eine Risiko­be­wertung, um die Angemes­senheit des gewählten „custo­mized“ Weges zu überprüfen. Diese Dokumen­tation, inklusive der Risiko­be­wertung, wird dann dem Assessor zur Verfügung gestellt. Der Assessor identi­fi­ziert auf dieser Grundlage geeignete Testver­fahren zur Überprüfung der Umsetzung der „custo­mized“ Maßnahmen.

Änderungen an Anforderungen 

Um sicher­zu­stellen, dass die PCI DSS-Konfor­mität das ganze Jahr über aufrecht­erhalten wird, wurden zusätz­liche Anfor­de­rungen vom PCI SSC angekündigt, z.B. die Notwen­digkeit für

  • Die Definition von Rollen und Verant­wort­lich­keiten für alle PCI-DSS-relevanten Themen, und für
  • Regel­mäßige Überprü­fungen des PCI-DSS-Anwen­dungs­be­reichs (Scope).

Darüber hinaus werden bestehende Anfor­de­rungen an verän­derte Bedro­hungs­lagen und Sicher­heits­an­for­de­rungen angepasst. Unter anderem zu den folgenden Themen wurden Änderungen angekündigt:

  • Anfor­de­rungen an die Authentifizierung,
  • Erken­nungs­me­cha­nismen und Sensi­bi­li­sie­rungs­maß­nahmen für aktuelle Bedro­hungen, sowie
  • Risiko­be­wer­tungen.

Auch die Verwendung von 8‑stelligen BINs wird berück­sichtigt werden müssen (vgl. unseren Blog-Eintrag).
Die genauen Details zu Änderungen stehen natürlich erst nach der endgül­tigen Veröf­fent­li­chung fest.

Übergangs­prozess

Das PCI SSC hat eine Übergangs­frist von zwei Jahren angekündigt, plus eine zusätz­liche Übergangszeit für grund­legend neue Anfor­de­rungen. Nehmen Sie sich also nach der Veröf­fent­li­chung im März 2022 die Zeit, die neue PCI-DSS-Version zu lesen, die Änderungen zu identi­fi­zieren und die Auswir­kungen auf Ihre Umgebung zu verstehen. Nutzen Sie dieses Jahr, um die Umstellung auf PCI DSS v4.0 zu planen und zu entscheiden, wann der richtige Zeitpunkt für Ihr Unter­nehmen ist, von Version 3.2.1 auf 4.0 umzusteigen.

Ihr PCI DSS-Berater oder ‑Auditor kann Ihnen helfen, die Intention hinter den Änderungen, Ihren Anpas­sungs­bedarf und die Validie­rungs­an­for­de­rungen zu verstehen. Bitte zögern Sie nicht, sie zu kontak­tieren. Wenn Sie noch keinen Ansprech­partner zu PCI DSS haben, wenden Sie sich gerne an SRCs Themen­ver­ant­wort­liche.

Um sich einen ersten Überblick über die Änderungen des Standards zu verschaffen, können Sie auch an unserem kosten­losen PCI DSS v4.0‑Webinar am 21./22. April teilnehmen: Hier gehts zur Anmeldung.

 

PCI DSS v4.0-Veröffentlichung verzögert sich

PCI DSS v4.0‑Veröffentlichung verzögert sich

Seit 2019 ist die Veröf­fent­li­chung einer neuen, grund­legend überar­bei­teten Version des Zahlungs­ver­kehrs­stan­dards PCI DSS angekündigt. Wir warten gespannt auf die Änderungen, die die neue Version mit sich bringen wird.

Nachdem der PCI DSS v4.0 in 2019 und 2020 bereits zwei RFC-Phasen durch­laufen hat, hat sich das PCI Security Standards Council nun entschieden, auch die mitgel­tenden Dokumente, insbesondere

  • die Vorlage für den Report on Compliance (ROC)
  • die Vorlage für die Attestation of Compliance (AOC), und
  • die Self-Assessment Questi­on­n­aires (SAQs)

im Juni 2021 einer RFC-Phase zu unter­ziehen. Damit wird sich aber auch die Veröf­fent­li­chung des PCI DSS v4.0 weiter verzögern.

Statt des angekün­digten Veröf­fent­li­chungs-Zeitraums Q2 2021 wird nun angestrebt, die Version in Q4 2021 fertig zu stellen. Wann sie endgültig veröf­fent­licht wird, ist noch nicht genauer festgelegt.

Wir müssen uns daher noch etwas gedulden, bis wir die Migration angehen können. Mit der Verzö­gerung der Veröf­fent­li­chung verschieben sich ebenso die geplanten Übergangs­fristen von PCI DSS v3.2.1 auf v4.0. Auch unsere PCI DSS v4.0‑Webinare verschieben wir daher auf 2022.

SRC-Expertin Ehlers: Standards der Payment Card Industry (PCI)

SRC-Expertin Ehlers: Standards der Payment Card Industry (PCI)

„PCI-Konfor­mität erfordert Know-How und Ressourcen.“ SRC-Expertin Jana Ehlers erläutert im gerade auf der Fach-Plattform „All About Security“ erschie­nenen Artikel die verschie­denen PCI-Sicherheitsstandards.

Angesichts der in Pandemie-Zeiten steigenden Anzahl an Karten­zah­lungen ist der Schutz von Zahlkar­ten­daten ein sehr aktuelles Thema.

Alle PCI Standards zielen auf den Schutz von Zahlkar­ten­daten der inter­na­tio­nalen Zahlungs­systeme ab. Allein beim bekann­testen Standard, dem PCI DSS, gibt es rund 250 Einzel­an­for­de­rungen. Werden diese bereits beim Aufbau von Netzwerken und Struk­turen berück­sichtigt, spart man sich häufig aufwändige und teure Nachrüs­tungen. Aber auch die dauer­hafte Aufrecht­erhaltung der PCI DSS-Konfor­mität stellt Firmen vor Herausforderungen.

SRC prüft und berät zu PCI-Standards seit deren Entstehung im Jahr 2006. Diese Erfahrung kann genutzt werden, um die Inten­tionen der PCI-Standards richtig zu verstehen und zu berück­sich­tigen. SRC begleitet durch den gesamten Prozess. Damit ist nicht nur PCI-Konfor­mität auf verständ­lichem Weg erreichbar, sondern auch ein großes Stück mehr Sicherheit für die schüt­zens­werten Zahlkar­ten­daten der Kunden.

SRC durch das PCI SSC als SPoC/CPoC Lab anerkannt

SRC durch das PCI SSC als SPoC und CPoC Security Lab anerkannt

Das weltweit agierende PCI Security Standards Council hat SRC heute als viertes Labor für die Durch­führung von Sicher­heits­un­ter­su­chungen von SPoC und CPoC Lösungen anerkannt.

Mit SPoC Lösungen (Secure PIN Entry on Commercial-off-the-Shelf devices) kann ein Händler Zahlungen mit handels­üb­lichen mobilen Endge­räten entgegen nehmen.

Während das SPoC Programm Lösungen mit PIN-Eingabe beschreibt, zielt das CPoC Programm auf ausschließlich kontaktlose Lösungen, die keine PIN-Eingabe erfordern.

Eine SPoC Lösung besteht aus vier Kern-Komponenten:

  • einem Secure Card Reader for PIN (SCRP), einem externen und PCI PTS zugelas­senen Kartenleser,
  • einer geprüften PIN CVM App für die sichere PIN-Eingabe auf dem handels­üb­lichen mobilen Endgerät des Händlers,
  • dem mobilen Endgerät des Händlers (COTS device) wie z.B. einem Smart­phone oder einem Tablet, sowie
  • einem Hinter­grund­system, das maßgeblich mittels Attes­tierung, Monitoring und Processing zur Sicherheit des Gesamt­systems beiträgt.

Mit CPoC hat das PCI SSC Anfor­de­rungen an Lösungen für die Verar­beitung von kontakt­losen Zahlungen ohne PIN-Eingabe („Tap and Go“) auf handels­üb­lichen mobilen Endge­räten (commercial off-the-shelf, COTS), wie z.B. Smart­phones oder anderen mobilen commercial off-the-shelf (COTS) Geräten mit NFC-Schnitt­stelle entwickelt.

Mit den Programmen SPoC und CPoC bedient das PCI SSC die zuneh­mende Nachfrage nach neuen und sicheren Akzep­tanz­lö­sungen und sorgt für die Sicherheit bei der Akzeptanz von Zahlungen mittels Mobil­te­le­fonen und Tablets. Die dazuge­hö­rigen Prüfungen werden nun auch von SRC durchgeführt.

Die Anerkennung von SRC als Lab für die Programme SPoC und CPoC ist ein wichtiges Signal an den Markt. Auch Kunden aus diesem innova­tiven Umfeld können jetzt die Expertise von SRC für die Entwicklung von sicheren Bezahl­lö­sungen in Anspruch nehmen.

PCI DSS-Orientierungshilfe für große Organisationen

PCI DSS-Orien­tie­rungs­hilfe für große Organi­sa­tionen veröffentlicht

SRC Security Research & Consulting GmbH hat an der aktuellen Special Interest Group (SIG) des PCI (Payment Card Industry) Security Standards Council mitge­wirkt. Die aus der SIG entstandene PCI DSS-Orien­tie­rungs­hilfe für große Organi­sa­tionen wurde jetzt veröffentlicht.

Komplexe Organi­sa­tionen, Konzerne und Unter­nehmen stehen oft vor spezi­fi­schen Heraus­for­de­rungen bei der Umsetzung von Anfor­de­rungen des PCI DSS (Payment Card Industry Data Security Standards): der Hetero­ge­nität ihrer Infra­struk­turen und Prozesse, der ständigen Verän­derung von Unter­neh­mens­struk­turen, dem Umgang mit vielfäl­tigen Anfor­de­rungen, Verant­wort­lich­keiten und Verwaltungsaufgaben.
In der neuen Orien­tie­rungs­hilfe wird erläutert, wie große und/oder komplexe Unter­nehmen ihre PCI-DSS-Aktivi­täten unter­neh­mensweit koordi­nieren und verwalten können.

  • PCI DSS-Orien­tie­rungs­hilfe für große Organi­sa­tionen // zum Dokument.