Der Point-to-Point Encryption (P2PE) Standard definiert eine PCI DSS konforme Umsetzung für Händler­um­ge­bungen, in denen Card Present Trans­ak­tionen mit Kredit­karten durch­ge­führt werden.

Bei der beschrie­benen Umsetzung werden Zahlungen ausschließlich über PCI PTS zerti­fi­zierte POS Terminals durch­ge­führt. Alle kriti­schen Trans­ak­ti­ons­daten werden direkt im Terminal verschlüsselt und erst in einem spezi­ellen Backend-System wieder entschlüsselt. Die Terminal-Infra­struktur wird dabei von dem sogenannten P2PE Solution Provider bereit­ge­stellt, der auch das PCI DSS validierte Backend-System betreibt. Der Händler selbst hat in diesem Szenario keinen Zugriff auf die kriti­schen Trans­ak­ti­ons­daten. Schließt sich der Händler der Lösung eines validierten P2PE Solution Providers an, so unter­liegt dieser zwar grund­sätzlich auch weiterhin dem PCI DSS, für seine Kassen- und Geschäfts­in­fra­struktur muss dieser aber nicht mehr umgesetzt werden.

Neben einer vollstän­digen Solution Provider Zerti­fi­zierung lässt der PCI P2PE auch eine eigen­ständige Zerti­fi­zierung von Payment Appli­ka­tionen auf dem POS Terminal nach Domain 2 des PCI P2PE sowie eine modulare Zerti­fi­zierung für einzelne Domains zu, die sogenannten P2PE Components. Der P2PE v3 definiert unter anderem folgende P2PE Components, für die jeweils eine separate Validierung durch­ge­führt werden kann, sowie ein offizi­elles Listing durch das PCI Security Standards Council (PCI SSC) vorge­nommen wird:

• Encryption-management services (validiert nach Domains 1 und 5)
• Decryption-management services (validiert nach Domains 4 und 5).
• Key-Injection Facility services (validiert nach Domain 5).
• Certi­fi­cation Authority/Registration Authority services (validiert nach Domain 5).

Leistungen von SRC

SRC bietet Beratung und Know-How bei der Umsetzung des P2PE Standard sowie beim Design, der Imple­men­tierung und der Evalu­ierung von P2PE Appli­ka­tionen, P2PE Solutions und P2PE Components.
Das P2PE-Angebot der SRC umfasst den kompletten P2PE Lebens­zyklus, unter anderem folgende Leistungen:

• Einfüh­rungs­workshop P2PE: Vorstellung der grund­le­genden Ideen, Einführung in die Anfor­de­rungen des P2PE Standards sowie des P2PE Programms, Abgren­zungen zum PCI DSS etc.
• P2PE Scoping-Workshop: Analyse aller Terminal-Appli­ka­tionen nach der Notwen­digkeit einer P2PE Domain 2 Validierung, Abgrenzung zu den verwen­deten Third-Party Service Providern, Dokumen­tation der relevanten P2PE Requi­re­ments etc.
• Erarbeitung einer Zerti­fi­zie­rungs-Strategie für P2PE Solution Provider: Welche Märkte soll die P2PE Solution bedienen? Welche Leistungen sollen Dritten angeboten werden? Welche Teile (P2PE Appli­ca­tions und/oder P2PE Components) müssen dafür separat beim PCI SSC gelistet werden?
• Gap-Analyse Workshops: Vorab Prüfung einzelner Teile einer P2PE Solution oder P2PE Component zur Feststellung von Abwei­chungen zum P2PE. Das Vorgehen zur Erstellung der Gap-Analyse ist identisch zum Vorgehen bei einem realen Audit. Als Ergebnis erhält der Kunde eine detail­lierte Liste der identi­fi­zierten Abwei­chungen zum PCI P2PE Standard.
• Validierung von P2PE Appli­ka­tionen, P2PE Solutions und P2PE Components.
• Prüfung und Unter­stützung bei Changes an einer validierten P2PE Appli­kation, P2PE Solution und P2PE Component. Je nach Art der Änderung müssen diese vom P2PE Assessor nachge­testet und offiziell an das PCI SSC kommu­ni­ziert werden.
• Unter­stützung bei den jährlichen Interim Assess­ments, deren Ergeb­nisse ebenfalls an das PCI SSC gemeldet werden müssen.

SRC ist vom PCI SSC zugelassen als P2PE Assessor Company und verfügt über quali­fi­zierte Mitar­beiter, die sowohl über Erfahrung im Umfeld der Payment Card Industry (PCI) Standards als auch im Umfeld von POS Terminals verfügen. Diese Mitar­beiter haben sowohl die Zulassung zur Durch­führung von Solution Assess­ments (P2PE Assessor) als auch für Appli­cation Assess­ments (P2PE Appli­cation Assessor).

Ferner ist SRC weltweit eines von wenigen Unter­nehmen, die eine Zulassung des PCI SSC für Evalu­ie­rungen nach PCI PTS und nach PCI P2PE hat. Da POS Terminals eine zentrale Rolle in jeder P2PE Solution zukommt, kann SRC damit umfassend von der Zulassung von POS Terminals bis zum Einsatz des Terminals in P2PE Solutions und dem Management der Terminals unter­stützen und beraten.