Mit der richtigen Unterstützung können Entwickler Ihr Unternehmen zu einer überlegenen PCI DSS 4.0-Compliance führen.

Eine Version dieses Artikels erschien ursprünglich auf DZone. Er wurde aktualisiert und hier syndiziert.

Der Payment Card Industry Data Security Standard (PCI DSS) Version 4.0 wird fast alles verändern – und zwar die Sicherheit für jedes Unternehmen und jede Organisation, die elektronische Zahlungen akzeptiert, was auf die große Mehrheit zutrifft. Und täuschen Sie sich nicht: Dieses Update wird für die meisten Unternehmen transformativ sein. Es erfordert die Aufrüstung vieler Sicherheitsprozesse und möglicherweise die Einführung neuer Schutzmaßnahmen in den Bereichen Verschlüsselung, Authentifizierung, Zugriffskontrolle, Schlüsselverwaltung und anderen Gebieten, die bisher vielleicht nur zögerlich angegangen wurden.

Aufgrund der Komplexität der neuen Anforderungen haben Unternehmen bis März 2025 Zeit, die vollständige Konformität zu erreichen. Doch diese Frist wird schneller ablaufen, als die meisten denken. Tatsächlich ergreifen viele zukunftsorientierte Unternehmen bereits jetzt Maßnahmen, um ihre Entwickler auf die bevorstehende Compliance-Landschaft vorzubereiten.

Mehr als nur Pflichtschulungen

Die Entwickler eines Unternehmens schreiben den Code, auf dem ein Großteil der Infrastruktur basiert. Daher ist es nur logisch, bei der Umsetzung der neuen PCI DSS 4.0-Anforderungen genau hier anzusetzen. Die meisten Entwickler benötigen jedoch strategische Unterstützung, um ihre Fähigkeiten im Rahmen eines aktualisierten Sicherheitsbewusstseinsprogramms zu erweitern. Nur so ist sichergestellt, dass sie über die nötige Erfahrung verfügen, um das durch den neuen Standard geforderte höhere Sicherheitsniveau zu implementieren und aufrechtzuerhalten.

Tatsächlich schreibt Anforderung 12.6.2 von PCI DSS 4.0 vor, dass Unternehmen ein formelles Sicherheitsprogramm implementieren und dieses mit den neuesten Bedrohungsinformationen und Verteidigungstechniken auf dem aktuellen Stand halten müssen. Beim alten Standard reichten grundlegende Sicherheitsprogramme oder sogar jährliche „Checklisten“-Compliance-Schulungen aus. Der neue Standard verlangt weitaus mehr und schreibt sogar vor, dass Sicherheitsschulungen spezifische Bedrohungen und Schwachstellen innerhalb der Unternehmensumgebung adressieren müssen. Wenn beispielsweise Identitätsdiebstahl ein großes Problem für ein Unternehmen darstellt, muss die Schulung genau darauf eingehen.

Es ist offensichtlich, dass minimale Schulungen weder aus praktischer Sicht noch zur Einhaltung des neuen Standards ausreichen. Stattdessen müssen Unternehmen ihren Entwicklern umfassende, agile Lernpfade bieten, die ihnen vermitteln, wie sie Sicherheits-Best-Practices auf ihre tägliche Arbeit anwenden können. Indem Unternehmen über die Mindestanforderungen hinausgehen und ihren Entwicklern die Ressourcen zur Verfügung stellen, die sie für ein echtes Sicherheitsverständnis benötigen, können sie diese befähigen, bessere Sicherheitsentscheidungen zu treffen und gleichzeitig die PCI DSS 4.0-Konformität zu gewährleisten.

Die gute Nachricht ist, dass viele der neuen Anforderungen in PCI DSS 4.0 auf Bereiche abzielen, mit denen die meisten Entwickler bereits vertraut sind, wie Authentifizierung, Verschlüsselung, Zugriffskontrolle, Schlüsselverwaltung und andere. Wenn Entwickler passgenaue, relevante und vertraute Ressourcen zur Kompetenzerweiterung erhalten, können Unternehmen sie leichter auf die neuen Standards und die gestiegenen Verantwortlichkeiten vorbereiten, die PCI DSS 4.0 mit sich bringt.

PCI DSS 4.0 als Sprungbrett für eine bessere Gesamtsicherheit

Während die Erfüllung der Entwicklerbedürfnisse durch fundierte Sicherheitsausbildung der Schlüssel zur erfolgreichen Einhaltung des neuen PCI DSS 4.0-Standards ist, muss der Weg zu einer besseren Cybersicherheit hier nicht enden. Die Anforderungen sind zwar streng, aber da die meisten Unternehmen ohnehin daran arbeiten müssen, sie zu erfüllen, gibt es keinen Grund, diesen Aufwand nicht als Sprungbrett für eine umfassendere Sicherheitskultur und -schulung zu nutzen. Dies hilft nicht nur bei der Einhaltung der Compliance-Vorgaben, sondern fördert auch eine positive Sicherheitskultur, die Best Practices priorisiert und sicherstellt, dass alle im Unternehmen auf dasselbe sicherheitsorientierte Ziel hinarbeiten.

Es gibt sicherlich eine Lernkurve, aber die Entwickler werden ein solches Vorhaben wahrscheinlich unterstützen. In einer Umfrage von Evans Data unter über 1.200 professionellen Entwicklern weltweit gab die überwältigende Mehrheit an, dass sie das Konzept der Erstellung sicherer Codes und der Etablierung einer besseren Sicherheitskultur in ihren Unternehmen befürworten. Es ist klar, dass die meisten Entwickler einen strategischen, unterstützten Wandel hin zu sicherem Programmieren und eine Neupriorisierung der Sicherheit im Entwicklungsprozess begrüßen.

Die durch PCI DSS 4.0 vorgeschriebenen Sicherheits-Upgrades bieten Unternehmen den perfekten Anlass, in verbesserte Sicherheits-Best-Practices und Schulungen zu investieren und eine bessere allgemeine Sicherheitskultur im Unternehmen zu etablieren.

Entwickler können leichter ein höheres Sicherheitsniveau erreichen, wenn ihre Unternehmen in ein Programm investieren, das es ihnen ermöglicht, ihre Fähigkeiten im sicheren Programmieren mit relevanten Tools und Schulungen zu verknüpfen. Dies kann wiederum dazu beitragen, eine Sicherheitskultur zu schaffen, in der Entwickler befähigt werden, bessere Entscheidungen zu treffen, die die allgemeine Sicherheitslage des Unternehmens weit über die strengen neuen PCI DSS 4.0-Standards hinaus verbessern.
‍