Schlagwortarchiv für: PCI

PCI DSS
Janine Wolff

Unser Dezember-Blog-Eintrag zu PCI DSS v4.0: Targeted Risk Analysis

Das Jahr neigt sich dem Ende zu – und der PCI DSS v3.2.1 auch.

Das PCI Security Standards Council (PCI SSC) hat gerade neue Dokumente zum neuen Konzept „Targeted Risk Analysis“ (gezielten Risiko­analyse) veröf­fent­licht – das nehmen wir doch gleich zum Anlass, das Thema mal etwas genauer zu betrachten.

Targeted Risk Analysis – was ist das?

Der PCI DSS v4.0 zielt darauf ab, mehr Flexi­bi­lität zu ermög­lichen. Eines der Werkzeuge hierfür ist die sogenannte „Targeted Risk Analysis“ (gezielten Risikoanalyse).

Gezielte Risiko­ana­lysen unter­scheiden sich von den firmen­über­grei­fenden Risiko­ana­lysen, die in PCI DSS v3.2.1 gefordert waren. Sie betrachten die konkreten Risiken für einen ganz spezi­ellen Anwendungsfall.

Im PCI DSS v4.0 kommen gezielte Risiko­ana­lysen an zwei Stellen vor:

  • Einige Anfor­de­rungen des Standards verlangen gezielte Risiko­ana­lysen, um festzu­legen, wie häufig eine bestimmte regel­mäßige Maßnahme durch­ge­führt werden sollte.
  • Außerdem ist die gezielte Risiko­analyse Teil des sogenannten „Custo­mized Approach“, mit dem man eine Anfor­derung auf eigene Weise, abwei­chend von der wortwört­lichen Umsetzung, umsetzen kann.

Wir werden uns hier auf den ersten Fall konzen­trieren, da wir dem Custo­mized Approach im Februar noch einen eigenen Blog-Eintrag widmen werden.

Wo wird sie gefordert?

Eine gezielte Risiko­analyse wird bei den folgenden Anfor­de­rungen gefordert:

  • 5.2.3.1: Wenn eine Organi­sation für System­kom­po­nenten evaluiert hat, dass diese üblicher­weise nicht von Malware betroffen sind und daher keine Anti-Malware-Lösung benötigen, dann muss in regel­mä­ßigen Abständen überprüft werden, ob dies immer noch so ist. Die Häufigkeit dieser Überprü­fungen muss in einer gezielten Risiko­analyse festgelegt werden.
  • 5.3.2.1: Wenn regel­mäßige Malware-Scans verwendet werden, muss deren Häufigkeit in einer gezielten Risiko­analyse festgelegt werden.
  • 7.2.5.1: Häufig gibt es nicht nur Nutzer­konten, die von Personen genutzt werden, sondern auch technische Nutzer­konten, die von Systemen oder Anwen­dungen genutzt werden. Deren Zugriffs­rechte müssen regel­mäßig überprüft werden. Die Häufigkeit dieser Überprü­fungen muss in einer gezielten Risiko­analyse festgelegt werden.
  • 8.6.3: Passwörter für die genannten techni­schen Nutzer­konten müssen geschützt werden. Die Häufigkeit der Passwort­wechsel und die Passwort-Komple­xität müssen in einer gezielten Risiko­analyse festgelegt werden.
  • 9.5.1.2.1: Zahlgeräte (Zahlter­minals) am Point of Inter­action müssen regel­mäßig inspi­ziert werden, um Manipu­la­tionen oder gar ihren Austausch zu erkennen. Die Häufigkeit und Art der Inspek­tionen müssen in einer gezielten Risiko­analyse festgelegt werden.
  • 10.4.2.1: Sicher­heits­kri­tische Logs (Security Events sowie Logs von Systemen, die mit Karten­daten in Berührung kommen, Sicher­heits­funk­tio­na­lität haben oder ander­weitig kritisch sind) müssen mindestens einmal am Tag einem Review unter­zogen werden, um auffällige Aktivi­täten zeitnah zu entdecken. Die Häufigkeit des Reviews für alle anderen Logs muss in einer gezielten Risiko­analyse festgelegt werden.
  • 11.3.1.1: Werden bei internen Schwach­stel­len­scans hochris­kante oder kritische Schwach­stellen entdeckt, müssen diese behoben werden. Für niedriger einge­stufte Schwach­stellen muss eine gezielte Risiko­analyse festlegen, wie diese zu adres­sieren sind.
  • 11.6.1: E‑Com­merce-Zahlseiten müssen regel­mäßig mit einem Mecha­nismus zur Erkennung von Änderungen und Manipu­la­tionen überprüft werden. Dieser Mecha­nismus muss mindestens alle sieben Tage angewendet werden – andern­falls muss eine geringere Häufigkeit mit einer gezielten Risiko­analyse begründet werden.
  • 12.10.4.1: Das Personal, das für die Reaktion auf Sicher­heits­vor­fälle zuständig ist, muss darin geschult werden. Die Häufigkeit dieser Schulungen muss in einer gezielten Risiko­analyse festgelegt werden.

Wie kann man die gezielte Risiko­analyse durchführen?

Wie die gezielte Risiko­analyse durch­ge­führt werden soll, ist in Anfor­derung 12.3.1 des PCI DSS v4.0 definiert. Hier ist festgelegt, dass die Analyse zunächst mindestens folgende Punkte identi­fi­zieren muss:

  • Die zu schüt­zenden Güter (Assets). Zu schüt­zende Assets sind natürlich immer die Karten­daten selbst, aber zusätzlich können es auch Assets wie Systeme oder Passwörter sein.
  • Die Bedro­hungen, gegen die die entspre­chende PCI DSS-Anfor­derung schützen soll.
    Zur Bestimmung der entspre­chenden Bedro­hungen ist es hilfreich, das „Custo­mized Approach Objective“ der entspre­chenden bzw. der überge­ord­neten PCI DSS-Anfor­derung zu Rate zu ziehen, da in dieser Zielsetzung häufig bereits Bedro­hungen benannt sind, gegen die die Anfor­derung schützen soll.
  • Faktoren, die die Eintritts­wahr­schein­lichkeit und/oder die Auswir­kungen der Reali­sierung der genannten Bedro­hungen beitragen.

Werden wir konkret und nehmen als Beispiel die Anfor­derung 9.5.1.2.1.

Hier sind sowohl die Karten­daten als auch die Zahlgeräte die zu schüt­zenden Assets.

Das „Custo­mized Approach Objective“ der überge­ord­neten Anfor­derung 9.5.1.2 ist, dass die Manipu­lation der Geräte, unauto­ri­sierter Austausch der Geräte, sowie das Anbringen von Skimming-Devices nicht ohne zeitnahe Entde­ckung durch­ge­führt werden können.

Typische Bedro­hungs­sze­narien wären also bspw.:

  • Angreifer bringen Skimming-Devices an, welche Eingaben mitlesen.
  • Angreifer geben sich als Service-Techniker oder Mitar­beiter des Geräte-Providers aus und tauschen das Zahlgerät durch ein manipu­liertes Zahlgerät aus, welches die Karten­daten anschließend mitliest und an Angrei­fende weiterleitet.
  • Angreifer stehlen ein Zahlgerät, auf dem im Fall von offline Trans­ak­tionen Daten temporär gespei­chert sein könnten.
  • Angreifer manipu­lieren das Zahlgerät so, dass dessen Sicher­heits­funk­tio­na­lität geschwächt wird (bspw. Verschlüs­selung ausgeschaltet).

Faktoren, die sich auf die Reali­sierung der Bedro­hungen auswirken können, sind in dem Fall zum Beispiel:

  • Wie leicht ist das Zahlgerät für Kunden und Dritte erreichbar? Ist es sicher befestigt?
  • Ist das Zahlgerät dauerhaft unter Beaufsichtigung?
  • Wie gut ist das Personal vor Ort quali­fi­ziert und geschult?
  • Sind das Zahlgerät und die Daten darin vor Manipu­la­tionen geschützt, und ist dies durch eine PCI PTS-Zerti­fi­zierung des Geräts und/oder eine PCI P2PE-Zerti­fi­zierung der ganzen Lösung nachgewiesen?
  • Wie stark frequen­tiert ist das Zahlgerät? (Das kann einen Einfluss darauf haben, ob es ein besonders lohnens­wertes Ziel für den Angreifer ist.)
  • Hat der Geräte-Provider in seiner Dokumen­tation Empfeh­lungen gegeben, wie häufig die Geräte überprüft werden sollen?

Aus den gesam­melten Faktoren resul­tiert dann schließlich die Analyse, die bestimmt, wie häufig eine Tätigkeit ausge­führt werden muss, um die Wahrschein­lichkeit, dass die Bedro­hungen eintreten, zu minimieren.

Faktoren und Ergeb­nisse der gezielten Risiko­analyse müssen dokumen­tiert werden.

Mindestens alle 12 Monate muss jede gezielte Risiko­analyse einem Review unter­zogen werden, um zu überprüfen, ob sie noch zutrifft. Hat es Verän­de­rungen in den Faktoren oder in der Einschätzung gegeben, muss die Risiko­analyse entspre­chend aktua­li­siert werden.

Hilfe­stel­lungen

Wie bei jeder Anfor­derung des PCI DSS v4.0 lohnt sich als erstes ein Blick in die „Guidance“-Spalte, die im Standard rechts von der Anfor­derung steht.

Zusätzlich hat das PCI SSC am 28. November 2023 drei unter­stüt­zende Dokumente veröffentlicht:

Und wie immer können Sie auch gerne die PCI DSS-Experten von SRC um Unter­stützung bitten.

Ausblick

Dies ist der letzte Beitrag zu PCI DSS v4.0 für dieses Jahr. Wir setzen unsere monat­liche Blog-Reihe nächstes Jahr fort – freuen Sie sich dann auf die Themen

  • Januar: Änderungen im E‑Commerce: Was ändert sich beim Self-Assessment Questi­on­naire A?
  • Februar: Custo­mized Approach
  • März: Änderungen im E‑Commerce: Integri­täts­schutz von Zahlseiten.

Kommen Sie gut ins neue Jahr und bleiben Sie gesund!

Janine Wolff

Unser November-Blog-Eintrag zu PCI DSS v4.0: Rollen und Verantwortlichkeiten

Neue Unter­an­for­derung in allen Requirements

In PCI DSS Version 4.0 wurde eine neue Unter­an­for­derung in die Anfor­de­rungen 1 bis 11 aufge­nommen, die die Notwen­digkeit betont, Rollen und Verant­wort­lich­keiten bei der Ausführung der jewei­ligen Anfor­derung x zu dokumen­tieren, zuzuweisen und zu verstehen (entspre­chende Unter­an­for­derung x.1.2).

Viele Firmen fragen sich, wie solch eine Zuweisung von Rollen und Verant­wort­lich­keiten aussehen kann. Muss ein neues Dokument erstellt werden? Muss dies firmen­über­greifend gelten?

Der PCI DSS lässt die Form der Dokumen­tation bewusst offen. Das Ziel ist es, dass das Personal sich seiner Verant­wort­lich­keiten bewusst ist, damit die Aktivi­täten zuver­lässig durch­ge­führt werden.

  • Fast jedem PCI DSS-Assessor ist es schon mal begegnet, dass Schwach­stel­len­scans nicht pünktlich jedes Vierteljahr durch­ge­führt wurden, weil es einfach übersehen wurde – hier hilft eine klar zugewiesene Verant­wort­lichkeit für die Einhaltung des Vierteljahres-Rhythmus.
  • Fast jeder PCI DSS-Asses­sorin ist schon einmal Kassen­per­sonal begegnet, dem nicht bewusst war, dass sie Zahlter­minals auf Verdacht auf Manipu­lation oder Austausch überprüfen müssen. Auch diese Verant­wort­lichkeit sollte klar benannt werden – ebenso die der Rolle, die das Kassen­per­sonal dafür schult.

Wie kann die Zuweisung der Verant­wort­lich­keiten also praktisch aussehen?

Nutzung bestehender Dokumentation

In vielen Firmen sind bereits Rollen und Verant­wort­lich­keiten in bestehenden Richt­linien und Verfah­rens­an­wei­sungen enthalten.

  • Ist bspw. in der Software­ent­wick­lungs­richt­linie bereits enthalten, wer den Code entwi­ckelt, wer den Code-Review durch­führt, wer Tests durch­führt und wer die Freigabe für den Rollout als Teil des Prozesses gibt? Und ist in Inter­views allen Betei­ligten diese Rollen­zu­weisung klar? Dann muss hier im Bereich Software­ent­wicklung nichts mehr ergänzt werden.

Ist aber noch keine derartige Dokumen­tation vorhanden, sollte sie erstellt werden. Ob die Zuweisung dabei im bestehenden Dokument ergänzt wird, oder ab man ein zusätz­liches Dokument erstellt, ist dabei unerheblich.

Form der Darstellung

Auch die Form der Darstellung ist frei wählbar. Natürlich bietet sich eine RACI-Matrix oder eine Variante davon an. Aber auch andere Tabellen, Listen oder Fließ­texte können den Zweck erfüllen.

Bei großen Teams mit gleich­ar­tigen Aufgaben reicht dabei oft eine Zuweisung wie „das Personal ist für die Durch­führung von Aktivität X zuständig, der Teamleiter ist für die Schulung des Personals bei Einstellung, bei Aufga­ben­wechsel und im jährlichen Rhythmus sowie für die Freigabe der Ergeb­nisse zuständig“ – bei durch­mischten Teams mit vielfäl­tigen Aufgaben muss die Zuweisung ggf. bis auf einzelne Personen runter­ge­brochen werden.

Anlehnung an die operative Umsetzung 

Bleiben Sie nicht zu nah an der Requi­rement-Aufteilung des PCI DSS – übersetzen Sie, wie Sie die Einhaltung sicher­heits­re­le­vanter Prozesse in Ihrem eigenen opera­tiven Geschäft umsetzen. Häufig sind an der Umsetzung einer Anfor­derung mehrere Rollen beteiligt – eine schreibt ggf. die Regeln auf, eine andere Rolle hält die Regeln bei der Umsetzung ein, wieder eine andere Rolle macht einen Review und/oder eine Freigabe des Umgesetzten. Wenn Sie die Schritte aufschreiben, wie Sie etwas durch­führen, lässt sich gut zuordnen, wer für die jeweilige Tätigkeit zuständig ist.

Akzeptanz der Verantwortlichkeit

Die Zuweisung sollte natürlich nicht nur dokumen­tiert sein, sondern den Personen auch bekannt sein. Entspre­chend sollte ein neues oder angepasstes Dokument im Kreis der Betrof­fenen vorge­stellt werden.

Müssen die Personen unter­schreiben, dass Ihnen ihre Verant­wortung bewusst ist? In einer anderen Anfor­derung des PCI DSS v4.0, Anfor­derung 12.1.3, wird tatsächlich eine schrift­liche Anerkennung der allge­meinen Verant­wortung für die Infor­ma­ti­ons­si­cherheit gefordert. Eine entspre­chende dokumen­tierte Anerkennung der spezi­fi­schen Verant­wort­lich­keiten der jewei­ligen Rolle wird in Anfor­derung x.1.2 nicht zwingend gefordert – man kann diese beiden Punkte, wenn man möchte, aber natürlich mitein­ander verbinden, indem man nicht nur eine generische, sondern auch rollen­spe­zi­fische Verant­wort­lich­keiten abzeichnen lässt. Diese Kombi­nation ist jedoch nicht vorgeschrieben.

Zusam­men­fassung

Was sollte also am Ende der Überle­gungen mindestens stehen?

  • Die Dokumen­tation der Rollen und Verant­wort­lich­keiten für die verschie­denen Aufgaben im opera­tiven Geschäft bei der Absicherung der Arbeit mit Zahlkar­ten­daten, und
  • Personal, das sich seiner Rollen, Verant­wort­lich­keiten und Aufgaben bewusst ist und dies in Inter­views bestä­tigen kann. 

Auf diese Weise sollte die Einhaltung der Unter­an­for­de­rungen x.1.2 machbar sein.

Nachweise im PCI DSS-Audit
Janine Wolff

Unser Oktober-Blog-Eintrag zu PCI DSS v4.0

Nachweise im PCI DSS-Audit

In dieser Folge unsere PCI DSS v4.0‑Blogs erläutern wir, welche Pflichten Auditoren beim Nachweis ihrer Audit-Ergeb­nisse haben, und wie Sie am besten die Erbringung angemes­sener Nachweise für PCI DSS v4.0‑Audits vorbereiten.

Audit­prozess

Im Laufe eines PCI DSS-Assess­ments (oder, wie wir im Deutschen häufig sagen, ‑Audits) prüfen Auditoren, inwieweit die PCI DSS-Anfor­de­rungen bei einem Unter­nehmen umgesetzt sind.

Üblicher­weise beinhaltet ein Audit­prozess die folgenden Prüfschritte:

  • Review von Dokumenten,
  • Review von System­kom­po­nenten/-einstel­lungen,
  • Review von Prozessen,
  • Review von physi­schen Gegeben­heiten, 
  • Review von Protokollen/Ergebnissen, und
  • Inter­views mit Personal.

Dies ändert sich auch nicht mit der Migration auf PCI DSS v4.0.

Nachweis­pflichten

Welche Notizen eine Auditorin sich macht und welche Nachweise sie wie ablegt, bleibt für die auditierte Firma norma­ler­weise im Verbor­genen. Wir geben Ihnen hier einen kleinen Einblick, was sich dort mit PCI DSS v4.0 verändert.

Das PCI SSC hat mit dem neuen Reporting Template für PCI DSS v4.0 sowie mit einem Update des PCI DSS Program Guide für QSAs jetzt klarge­stellt, dass sie für jeden Prüfschritt fordern, dass der Auditor einen entspre­chenden Nachweis abgelegt. Die prüft das PCI SSC auch stich­pro­ben­artig bei den Auditfirmen.

Für Dokumente ist dies einfach: der Nachweis ist das jeweilige Dokumente selbst. Ähnlich ist es bei Protokollen/Ergebnissen – hier muss nur darauf geachtet werden, dass klar ist, um welches System oder welchen Prozess es hier geht.

 Falls Sie einem Auditor einen Screenshot oder eine Datei als Nachweis schicken, achten Sie daher bitte darauf, die Infor­mation mitzu­liefern, um welche System­kom­po­nente und/oder welche Prozess es geht.

Beim Review von System­kom­po­nenten/-einstel­lungen ist es notwendig, dass der Auditor sich dedizierte Notizen zu dem jewei­ligen System und der jewei­ligen Einstellung macht.

Beim Review von Prozessen oder physi­schen Gegeben­heiten muss die jeweilige Gegebenheit detail­liert beschrieben werden, und es muss darge­stellt werden, welche Schlüsse die Auditorin aus der Beobachtung zieht. In ähnlicher Form wird auch bei einem Interview erwartet, dass die Auditorin grob die Fragen und Antworten mitschreibt.

Geben Sie bitte dem Auditor im Audit genügend Zeit, sich entspre­chende Notizen zu machen. An vielen Stellen kann es die Schreib­arbeit verkürzen, wenn der Auditor Kopien oder Screen­shots bereit­ge­stellt bekommt oder Fotos machen darf.

Der PCI DSS v4.0 listet etwa 250 Unter­punkte zu den 12 Haupt-Anfor­de­rungen auf – entspre­chend viele Nachweise benötigt der Auditor.

Aufbe­wah­rungs­pflichten

Der PCI DSS Program Guide schreibt vor, dass alle oben genannten Nachweise von der Audit­firma für mindestens drei Jahre sicher aufbe­wahrt werden müssen und auf Anfrage dem PCI SSC und den zugehö­rigen Gesell­schaften verfügbar gemacht werden müssen.

Aus Daten­schutz- oder Vertrau­lich­keits­gründen kommt es vor, dass Unter­nehmen es für einzelne Nachweise nicht erlauben, dass die Auditorin sie mitnehmen und ablegen darf. In diesem Fall regelt das PCI SSC, dass die Ablage statt­dessen bei dem auditierten Unter­nehmen erfolgen darf. Die Anfor­de­rungen an Aufbe­wah­rungs­frist und Verfüg­barkeit sind in diesem Fall die gleichen.

Da die Nachweis­pflichten mit PCI DSS v4.0 größer geworden sind, wird auch dieser Fall in Zukunft häufiger vorkommen.

Wenn Sie erwarten, dass nicht alle Nachweise an den Auditor weiter­ge­geben werden dürfen, bereiten Sie sich als auditiertes Unter­nehmen am besten vor, indem Sie

  • eine revisi­ons­si­chere Aufbe­wahrung der Nachweise für mindestens drei Jahre vorbereiten,
  • während des Audits eine Liste der nicht ausge­hän­digten Dokumente und Nachweise führen,
  • eine schrift­liche Beschei­nigung für den Auditor vorbe­reiten, in der Sie 
    • den Aufbe­wah­rungsort benennen,
    • den Ansprech­partner benennen, an den das PCI SSC sich wenden kann, wenn es Nachweise einsehen möchte, und
    • eine revisi­ons­si­chere Aufbe­wahrung bis zu einem konkret benannten Datum, welches mindestens drei Jahre in der Zukunft liegt, bestätigen.

Umgang mit Abweichungen

Wie sieht es mit den Nachweisen aus, wenn im Audit nicht sofort die Erfüllung aller Anfor­de­rungen nachge­wiesen werden konnte, sondern Abwei­chungen festge­stellt wurden?

Geplante Abwei­chungen

Der einfachste Fall ist es, wenn Sie als auditiertes Unter­nehmen bereits vorab erkannt haben, dass Sie eine Anfor­derung nicht erfüllen können oder nicht auf dem vorge­ge­benen Weg erfüllen möchten. In diesem Fall haben Sie zum Audit bereits eine Dokumen­tation einer Compen­sating Control oder eines Custo­mized Approaches vorbe­reitet. Hierbei kann Ihnen auch ein PCI DSS-Experte helfen – es darf nur nicht der gleiche sein, der die Umsetzung dann auch prüft.

 Zum Custo­mized Approach werden wir in einer späteren Folge unseres PCI DSS v4.0‑Blogs noch ausführlich Stellung nehmen.

In beiden Fällen wird die Auditorin die Nachweise der Compen­sating Control oder des Custo­mized Approaches Ihres Unter­nehmens prüfen, ggf. Rückfragen stellen, und dann geeignete Prüfme­thoden ableiten und durch­führen. Die Pflichten zum Erheben von Nachweisen ergeben sich dabei aus der jewei­ligen Prüfmethode.

Ungeplante Abwei­chungen – „INFI“

Treten während eines Audit­zeit­raums ungeplante Abwei­chungen von den PCI DSS-Anfor­de­rungen auf, müssen diese behoben werden und die Behebung durch den Auditor verifi­ziert werden. Dies war bereits unter PCI DSS v3.2.1 so.

Der PCI DSS v4.0 verlangt zusätzlich explizit, dass der Grund für das Auftreten der Abwei­chung identi­fi­ziert wird, und dass Prozesse imple­men­tiert sind, die ein erneutes Auftreten solch einer Abwei­chung verhindern. Nur in dem Fall kann der Auditor die Anfor­derung noch als erfüllt ansehen.

Im neuen „Items Noted For Impro­vement” (INFI)-Dokument müssen bei jedem PCI DSS v4.0‑Audit alle Abwei­chungen, ihre Gründe, die korrek­tiven und präven­tiven Maßnahmen dokumen­tiert werden.

Die Auditorin stellt dem auditierten Unter­nehmen zum Abschluss des Audits das INFI-Dokument zur Verfügung, und beide Parteien unter­schreiben es. Das INFI-Dokument belegt, dass das auditierte Unter­nehmen die Abwei­chungen erfolg­reich bewältigt hat. Das Dokument kann im auditierten Unter­nehmen intern verwendet werden – bspw. in Compliance- und Risiko-Abtei­lungen – und auf dessen Wunsch auch mit Dritten geteilt werden. Eine Verpflichtung zur Vorlage des INFI-Dokuments gibt es nicht, und es wird auch nicht in der Attestation of Compliance (AoC) referenziert.

 Gerade bei regel­mäßig zu wieder­ho­lenden Prozessen kommt es immer mal wieder dazu, dass sich eine Durch­führung verspätet, z.B. bei der Durch­führung von 

  • Security-Awareness-Trainings,
  • der Inspektion von Zahlgeräten,
  • Schwach­stel­len­scans, oder
  • dem Einspielen von Patches.

Überlegen Sie sich am besten bereits im Vorfeld, wie Sie Ihre Prozesse so gestalten, dass Sie die vorge­schrie­benen Zeiträume einhalten und Verspä­tungen sofort bemerken.

Bei Fragen unter­stützen wir Sie gerne, melden Sie sich per E‑Mail bei Frau Jana Ehlers.

PCI DSS v4.0
Janine Wolff

Unser September-Blog-Eintrag zu PCI DSS v4.0

Timeline für die PCI DSS v4.0‑Migration – Was sind die nächsten Schritte?

Mit dem 31.03.2024 rückt das Ende von PCI DSS v3.2.1 näher. Alle Händler, die Zahlungen mit Karten der inter­na­tio­nalen Zahlungs­marken Visa, Mastercard, American Express, Discover, JCB oder UnionPay akzep­tieren, und alle Dienst­leister, die sie dabei unter­stützen, sollten auf PCI DSS v4.0 vorbe­reitet sein.

Aber was sollte man konkret wann tun?

Gap-Analyse

Am Anfang sollte eine Gap-Analyse stehen. Wer bisher noch nicht überprüft hat, welche neuen Anfor­de­rungen mit PCI DSS v4.0 auf ihn zukommen, sollte dies so schnell wie möglich nachholen! Die Gründe liegen auf der Hand:

  • Die Umsetzung neuer Anfor­de­rungen wird Zeit und Ressourcen benötigen.
  • PCI DSS-Fachleute, die bei der Umsetzung beraten können, sind bereits gut gebucht.

Bei der Gap-Analyse müssen die neuen Anfor­de­rungen gelesen und verstanden werden und mit der bestehenden Maßnahmen-Landschaft abgeglichen werden. Für das Verständnis der Anfor­de­rungen ist es extrem hilfreich, nicht nur die Anfor­derung an sich zu lesen, sondern auch die umfang­reichen Hilfe­stel­lungen, die das PCI SSC jeder Anfor­derung im Standard zur Seite gestellt hat:

  • Die „Guidance“-Spalte (rechts von der Anforderung),
  • die mit der Anfor­derung verfolgte Zielsetzung (unterhalb der Anforderung),
  • und, sofern vorhanden, die Hinweise zur Anwend­barkeit (unterhalb der Anforderung).

Auch die einlei­tenden Kapitel des PCI DSS v4.0 und das Glossar im Anhang G können bei Fragen zu Begriff­lich­keiten und Anwend­barkeit unterstützen.

Wenn Sie bereits mit einem PCI DSS-Experten zusam­men­ar­beiten, greifen Sie gerne schon in diesem Schritt auf dessen Expertise und Erfahrung zurück.

Priori­sierung

Wenn alle offenen Punkte identi­fi­ziert wurden, sollten ihnen Zeiträume und Verant­wort­lich­keiten zugewiesen werden.
Bei der Zuweisung der Zeiträume sollte das Folgende beachtet werden:

  1. Wie lange wird die Umsetzung voraus­sichtlich dauern?
    Die Imple­men­tierung neuer techni­scher Lösungen dauert aufgrund interner Abhän­gig­keiten häufig lang. Oft kommt dies zusammen mit geringen Perso­nal­res­sourcen. Themen, bei denen absehbar ist, dass ihre Umsetzung lange dauern wird, müssen früher angegangen werden als welche, die voraus­sichtlich schnell erledigt sind.
  2. Werden gezielte Risiko­ana­lysen verlangt?
    In v4.0 ist die Häufigkeit der Durch­führung für viele regel­mäßige Aufgaben nicht mehr fest vorge­schrieben, sondern soll durch eine gezielte Risiko­analyse bestimmt werden. Die Durch­führung solcher gezielten Risiko­ana­lysen muss intern abgestimmt werden und erfordert entspre­chend Zeit.
  3. Gibt es Zeiträume, die sich besonders gut oder schlecht für die Umsetzung eignen?
    Für die Änderung von Richt­linien kann es z.B. sinnvoll sein, Dokumenten-Review-Zyklen zu berück­sich­tigen. Bei techni­schen Änderungen ergibt es Sinn, eventuelle Freeze-Perioden oder bereits geplante Release-Zeiträume zu berücksichtigen.
  4. Ist die PCI DSS v4.0‑Deadline für diese Anfor­derung 2024 oder 2025?
    Bei vielen grund­legend neuen Anfor­de­rungen im PCI DSS v4.0 ist in den Hinweisen zur Anwend­barkeit vermerkt, dass die Anfor­derung bis zum 31.03.2025 als Best Practice angesehen wird und erst danach verpflichtend ist.
    Anfor­de­rungen ohne diesen Hinweis müssen bis zum 31.03.2024 umgesetzt sein und sollten daher ggf. höher priori­siert werden.

Entschei­dungen

Für manche neuen Anfor­de­rungen gibt es verschiedene Möglich­keiten, sie umzusetzen.
Beispiele dafür sind:

  • Anfor­derung 3.4.2 fordert die Verhin­derung von Kopieren/Verschieben von PAN bei remote-Zugriffen (außer für Personal mit entspre­chendem Business Need). Auch hierfür kann es mehrere Wege geben – z.B. über eine Einstellung in RDP bei Nutzung der Remote-Verbindung, oder indem man bei PAN-Anzeigen auf entspre­chenden Webseiten Markie­ren/­Ko­pie­ren/Maus-Rechts­klicks verhindert.
  • Anfor­derung 8.4.2 fordert die Erzwingung von Multi-Faktor-Authen­ti­fi­zierung (MFA) bei Zugriffen in die Cardholder Data Environment (CDE). Je nachdem, wie die Zugriffe in Richtung CDE statt­finden, kann es sinnvoll sein, die MFA auf Netzwer­kebene zu erzwingen, oder auf System­ebene, oder auf Anwen­dungs­ebene. Diese Entscheidung muss unter Einbe­ziehung der verschie­denen Verant­wort­lichen gut abgewogen werden. Gegebe­nen­falls müssen hier sogar mehrere Parteien zusammenarbeiten.

Wägen Sie frühzeitig ab, welche Auswir­kungen welcher Weg für Sie hat!

Nachver­folgung und Bewertung

Wenn Sie Ihre Aufgaben zeitlich priori­siert haben und sich für Umset­zungswege entschieden haben: lehnen Sie sich bitte nicht zurück! Die Person oder das Team, welches für die Aufrecht­erhaltung der PCI DSS-Konfor­mität verant­wortlich ist, sollte mit den Teams, die für die Umsetzung verant­wortlich sind, in Kontakt bleiben.

  • Gibt es Rückfragen/Verständnisfragen?
  • Gibt es Probleme bei der Umsetzung?
  • Ist die Einhaltung des verein­barten Zieltermins gefährdet?

Technische SicherheitseinrichtungenSobald eine Aufgabe umgesetzt ist, sollte geprüft werden, ob die Lösung der entspre­chenden PCI DSS-Anfor­derung standhält. Wenn gewünscht, können auch für solche kleinen Zwischen-Assess­ments externe PCI DSS-Experten hinzu­ge­zogen werden, um auf der sicheren Seite für das nächste offizielle Assessment zu sein.

Konti­nu­ier­licher Prozess

Wenn eine Anfor­derung einmal erfüllt ist, ist nicht gewähr­leistet, dass dies so bleibt. Karten­da­ten­nutzung, Techno­logien und Angriffs­vek­toren ändern sich. Bereits heute beinhaltet der PCI DSS v3.2.1 regel­mäßige Aufgaben zur Aufrecht­erhaltung der PCI DSS-Konfor­mität. Mit dem PCI DSS v4.0 entwi­ckelt sich dies immer mehr zu einem konti­nu­ier­lichen Prozess.

Gewöhnen Sie sich daher bereits jetzt daran, Ihre Maßnahmen immer wieder auf den Prüfstand zu stellen, und die (in Kapitel 7 des PCI DSS jetzt genau definierten) Zeiträume für wieder­keh­rende Tätig­keiten einzu­halten. So wird Ihnen auch die Einhaltung neuer entspre­chender Anfor­de­rungen leichter gelingen, wie bspw.

  • 2.4 / 7.2.5.1 Review von Benut­zer­konten und zugeord­neten Zugriffsrechten,
  • 3 Review von Risiko­ein­schät­zungen und Review der Angemes­senheit und Sicherheit von verwen­deten krypto­gra­fi­schen Algorithmen, Hardware- und Software-Technologien,
  • 5 Validierung des PCI DSS-Anwen­dungs­be­reichs und
  • 6.2 Review des Security Awareness-Programms.

Aber vor allem: Anfangen!

Dies ist der wichtigste Schritt. Wenn Sie noch nicht angefangen haben, ist heute der beste Tag, dies zu tun.
Stellen Sie ein Team zusammen und planen Sie Zeit ein.

Bei Fragen unter­stützen wir Sie gerne, melden Sie sich per E‑Mail bei Frau Jana Ehlers.

SRC GEAR
Homepage Admin

SRC wird Teil des GEAR (Global Executive Assessor Roundtable)!

PCI SSC und SRC

Das Payment Card Industry Security Standards Council (PCI SSC) ist ein globales Forum, welches Infor­ma­ti­ons­si­cher­heits­stan­dards für sichere Zahlungen entwi­ckelt und deren Anwendung voran­treibt. Es ist verant­wortlich für 15 weltweit anerkannte und verbreitete Standards zur Absicherung von elektro­ni­schen Zahlver­fahren – von der Zahlkar­ten­pro­duktion und ‑herausgabe über die Zahlung am Point of Interest oder in Web & App bis hin zur Abwicklung der Zahlungen im Hinter­grund. SRC prüft die Nutzung der Infor­ma­ti­ons­si­cher­heits­stan­dards seit Gründung des PCI SSC im Rahmen entspre­chender Audits und Produktprüfungen.

Das PCI SSC legt Wert auf den Austausch zwischen verschie­denen Stake­holdern und nutzt dafür verschiedene Gremien und Aktivi­täten. SRC hat sich bisher im Rahmen von Special Interest Groups und Task Forces sowie durch die Teilnahme an Community Meetings und Request for Comment-Phasen beteiligt.

Global Executive Assessor Roundtable

Das PCI SSC gibt seit 2018 im Global Executive Assessor Round­table (GEAR) erfah­renen Audit-Unter­nehmen die Möglichkeit, seine obere Führungs­ebene zu beraten.

Wir freuen uns, dass unser Unter­nehmen dieses Jahr mit ausge­wählt wurde, im Rahmen dieser verant­wor­tungs­vollen Mitglied­schaft eine der Schnitt­stellen zwischen der Führung des PCI SSC selbst und der Führung der Auditie­rungs­ge­sell­schaften zu bekleiden. Hierdurch können wir unsere jahre­lange Erfahrung zukünftig auf direktem Wege einbringen.

Die Ernennung gilt für die kommenden zwei Jahre und gibt uns die Möglichkeit, an der Weiter­ent­wicklung von Vorgaben für Audit-Verfahren, neue Schulungs­pro­gramme und Quali­fi­ka­ti­ons­an­for­de­rungen zukünf­tiger Auditie­render einfluss­gebend mitzu­wirken. Weitere Aufga­ben­be­reiche der GEAR sind unter anderem, Möglich­keiten zu finden, das Engagement von Auditie­renden in aufstre­benden und neuen Märkten zu fördern, und die Fähig­keiten und Fertig­keiten von Auditie­renden im Sinne eines Mehrwerts für Zahlungs­ver­kehrs-Unter­nehmen zu optimieren.

Wir sind stolz, in diesen Kreis aufge­nommen worden zu sein, und sehen darin eine Anerkennung unserer bishe­rigen Leistung und Relevanz auf dem Markt der Zahlungs­ver­kehrs­si­cherheit. Zugleich sind wir uns unserer Verant­wortung bewusst, die Stell­ver­tretung für eine große Gemein­schaft an Auditie­rungs­ge­sell­schaften wahrzu­nehmen, und nehmen dies als zusätz­lichen Ansporn für die Zukunft.

Link zum GEAR: https://www.pcisecuritystandards.org/about_us/global_executive_assessor_roundtable/

Aspects of Common Criteria Certifications
Janine Wolff

Aspects of Common Criteria Certi­fi­ca­tions – Gastvortrag an der TU Wien

Aspects of Common Criteria Certi­fi­ca­tions - das ist das Thema des Vortrags, den Experten der SRC-Prüfstelle für Common Criteria an der Techni­schen Univer­sität Wien halten werden. Der Vortrag findet am 10. Mai 2019 im Rahmen der Vorlesung IT Security in Large IT Infra­struc­tures am Institute of Infor­mation Systems Engineering statt.

Common Criteria in der Wissenschaft

Mit Hilfe der Common Criteria for Infor­mation Technology Security Evaluation (kurz: CC) lassen sich IT-Produkte nach allge­meinen Kriterien bezüglich ihrer Sicherheit bewerten. Als inter­na­tional anerkannter Standard steht Common Criteria im Interesse der wissen­schaft­lichen Welt. Zunächst erfolgt eine Evaluation durch eine vom Bundesamt für Sicherheit in der Infor­ma­ti­ons­technik (BSI) anerkannte Prüfstelle.  SRC ist als eine solche CC-Prüfstelle anerkannt. Abschließend nimmt das BSI die Zerti­fi­zierung vor.

Gastvortrag für die Studierenden

Aus erster Hand berichten die Experten der SRC in ihrem Vortrag über die Aspects of Common Criteria Certi­fi­ca­tions (Aspekte der Common Criteria Zerti­fi­zie­rungen). Der Vortrag infor­miert die Studie­renden über die grund­sätz­liche Heran­ge­hens­weise bei Produkt­zer­ti­fi­zie­rungen nach Common Criteria. Beleuchtet werden Infra­struk­turen in der Europäi­schen Union, bei denen auf eine Common Criteria Zerti­fi­zierung gesetzt wird. Auch die formale Seite mit den zustän­digen Zerti­fi­zie­rungs- und Anerken­nungs­stellen wird betrachtet. Der Vergleich von Common Criteria mit anderen Konzepten bildet den Abschluss des Vortrags.  Dabei finden Zerti­fi­zie­rungen nach Techni­schen Richt­linien des BSI, der ISO27001 bzw. den Krite­ri­en­werken der Payment Card Industry (PCI) Berücksichtigung.

Schlagwortarchiv für: PCI