PCI-DSS 4.0 kommt schneller als gedacht. Nutzen Sie diese Gelegenheit, um die Cyber-Resilienz Ihres Unternehmens nachhaltig zu stärken.

Eine Version dieses Artikels erschien auf Security Boulevard. Er wurde aktualisiert und hier syndiziert.

Anfang des Jahres hat das PCI Security Standards Council die Version 4.0 des Payment Card Industry Data Security Standard (PCI DSS) vorgestellt. Obwohl Unternehmen erst ab März 2025 vollständig konform mit Version 4.0 sein müssen, handelt es sich um das bisher umfassendste Update. Es zwingt die meisten Unternehmen dazu, komplexe Sicherheitsprozesse und Teile ihres Tech-Stacks zu bewerten und gegebenenfalls aufzurüsten. Darüber hinaus müssen rollenbasierte Schulungen zum Sicherheitsbewusstsein und regelmäßige Trainings für Entwickler zur sicheren Programmierung eingeführt werden.

Dies bietet Unternehmen im BFSI-Sektor eine hervorragende Gelegenheit, ihre Sicherheitsprogramme grundlegend zu verbessern und eine neue Ära der mitarbeiterorientierten Cyber-Resilienz einzuleiten.

Was sind die größten Herausforderungen bei der Vorbereitung auf PCI DSS 4.0?

So wie das Sicherheitsprogramm eines Unternehmens allumfassend ist und Feinheiten aufweist, die auf die spezifischen geschäftlichen Anforderungen und verfügbaren Ressourcen zugeschnitten sind, decken auch die neuen PCI DSS-Standards ein breites Spektrum ab. Sie zeigen jedoch eine deutliche Verschiebung hin zu mehr Flexibilität bei der Erfüllung von Sicherheitsanforderungen. In einer Branche, in der sich Tools, Bedrohungen, Strategien und Compliance-Maßnahmen ständig ändern können, ist dies von großer Bedeutung.

PCI DSS 4.0 verfolgt den Ansatz, dass es viele Wege gibt, das Ziel einer absolut sicheren Praxis zu erreichen. Das stimmt zwar, scheint aber vor allem für Unternehmen mit einem hohen Sicherheitsreifegrad geeignet zu sein. Für diejenigen, die ihren internen Sicherheitsstatus nicht realistisch einschätzen, bietet dies viel Raum für Fehler. Letztendlich müssen Unternehmen Sicherheit als einen kontinuierlichen, sich entwickelnden Prozess begreifen und nicht als eine einmalige „Set-and-forget“-Aufgabe. Eine starke Sicherheitskultur ist unerlässlich, ebenso wie ein unternehmensweites Engagement für das Sicherheitsbewusstsein.

Und diejenigen, die mit den Tools auf Code-Ebene arbeiten – die Entwickler – müssen in die Lage versetzt werden, konforme und sichere Software in jeder Geschäftsumgebung bereitzustellen, in der digitale Assets und Transaktionen verarbeitet werden.

Sind Ihre Entwickler darauf vorbereitet, konforme Software bereitzustellen?

Entwickler spielen eine zentrale Rolle bei der Erreichung exzellenter Softwaresicherheit, was weit über die bloße Einhaltung von PCI DSS hinausgeht. Es ist entscheidend, dass Entwickler das Gesamtbild von PCI DSS 4.0 verstehen, wissen, was sie beeinflussen können, und dies als Standardansatz in ihre Softwareentwicklung integrieren.

Drei Schlüsselbereiche stellen die relevantesten Änderungen für das Entwicklungsteam dar und lassen sich wie folgt unterteilen:

• Authentifizierung: Ein tragfähiger Plan für die Zugriffskontrolle war schon immer ein wesentlicher Bestandteil der PCI-Compliance. Version 4.0 verschärft dies jedoch auf eine Weise, die eine sorgfältige interne und externe Umsetzung erfordert. Die Multi-Faktor-Authentifizierung (MFA) wird zum Standard, ebenso wie strengere Regeln für Passwortkomplexität und Timeouts.
  
  Da Sicherheitsfragen rund um Authentifizierung und Zugriffskontrolle heute zu den häufigsten Herausforderungen für Entwickler gehören, ist ein präzises Training unerlässlich, damit sie diese Probleme im tatsächlichen Code erkennen und beheben können.
  
  
• Verschlüsselung & Schlüsselmanagement: Wir leben in einer Welt, in der wir über mehrere Zugangspunkte, wie etwa Online-Banking, auf unsere sensibelsten Informationen zugreifen können. Da diese hochwertigen Daten gefährdet sind, sind Verschlüsselung und starke kryptografische Praktiken ein Muss. Entwickler müssen stets darüber informiert sein, wo Informationen übertragen werden, wie Benutzer darauf zugreifen können und wie sichergestellt wird, dass Daten selbst dann für Angreifer unlesbar bleiben, wenn sie in die falschen Hände geraten.
  
  
• Schadsoftware: In den früheren Richtlinien wurden Sicherheitskontrollen zum Schutz vor Schadcode als „Antivirensoftware“ bezeichnet. Dies vereinfacht jedoch einen Ansatz, der weit mehr als nur Viren abwehren sollte. Anti-Malware-Lösungen müssen überall dort eingesetzt werden, wo es notwendig ist, und eine kontinuierliche Protokollierung und Überwachung sind zwingend erforderlich.
  
  Es ist zudem entscheidend, dass Entwickler Lernpfade erhalten, die das Identifizieren anfälliger Komponenten abdecken, insbesondere da die meisten Codebasen zumindest teilweise auf Drittanbieter-Code basieren.

Was gilt als „ausreichende“ Schulung für Entwickler?

Ähnlich wie bei früheren Empfehlungen schlägt PCI DSS 4.0 vor, Entwickler „mindestens“ einmal jährlich zu schulen. Wenn dies jedoch impliziert, dass ein jährlicher Kontaktpunkt für die Erstellung sicherer Software ausreicht, ist das bei weitem nicht genug und wird kaum zu sichereren, konformen Softwareprodukten führen.

Die Ausbildung von Entwicklern sollte mit einer fundierten Schulung zu den OWASP Top 10 sowie zu anderen sprachspezifischen und geschäftskritischen Schwachstellen beginnen. Dies sollte Teil eines fortlaufenden Programms sein, mit dem Ziel, diese Fähigkeiten kontinuierlich auszubauen und Sicherheit nicht nur von Anfang an in die Softwareentwicklung zu integrieren, sondern auch in die Denkweise und den Arbeitsansatz der Entwickler. Zudem müssen Rollen und Verantwortlichkeiten für das Entwicklungsteam und deren Manager absolut klar sein. Sicherheit sollte eine gemeinsame Verantwortung sein, aber es ist nur fair, Erwartungen zu dokumentieren und sicherzustellen, dass diese auch angemessen erfüllt werden können.

Angesichts der Vorlaufzeit für die Einhaltung von PCI DSS 4.0 ist es möglich, bedeutende Fortschritte bei der unternehmensweiten Verbesserung der Sicherheitskultur zu erzielen. Dies ist der ideale Nährboden, um das sicherheitsbewussteste Entwicklerteam aufzubauen, das Sie je hatten.

‍