Vorbereitung auf die PCI-DSS 4.0-Compliance

Bewerten Sie Ihre Infrastruktur und Prozesse zur Erfüllung der PCI-DSS-Anforderungen

Wichtige Updates und Zeitpläne für die neuen PCI-DSS 4.0-Anforderungen

PCI-DSS 4.0 führt Aktualisierungen ein, um die Sicherheit von Karteninhaberdaten zu verbessern und auf aktuelle Risiken sowie technologische Fortschritte in der Zahlungskartenbranche zu reagieren. Die Überarbeitungen ermöglichen es Unternehmen, maßgeschneiderte Sicherheitsmaßnahmen zu ergreifen, sofern sie die Einhaltung der Sicherheitsziele nachweisen können. Zudem wird die Multi-Faktor-Authentifizierung auf alle Zugriffe innerhalb der Karteninhaberdaten-Umgebung ausgeweitet und die Verschlüsselung über alle Netzwerke hinweg gestärkt. Darüber hinaus liegt ein stärkerer Fokus auf der kontinuierlichen Risikoanalyse und -minderung sowie auf der Verbesserung der Fähigkeiten zur rechtzeitigen Erkennung von und Reaktion auf Sicherheitsvorfälle. Für diese neuen Anforderungen gibt es eine Übergangsfrist, damit Unternehmen Zeit haben, die neue Version zu übernehmen und gleichzeitig die Konformität mit den bestehenden Standards aufrechtzuerhalten.

Warum CISOs die neuesten PCI-DSS-Updates priorisieren sollten

Die Einhaltung dieser aktualisierten Standards ist entscheidend, nicht nur um die Compliance zu wahren, sondern auch um sich vor neuen und aufkommenden Cyber-Bedrohungen und Risiken zu schützen. Durch die Implementierung dieser Standards können Unternehmen widerstandsfähiger gegen Sicherheitsverletzungen werden, ihre Reputation schützen und potenziell hohe Bußgelder bei Nichteinhaltung vermeiden.

Inkrafttreten von DSS 4.0: März 2024; verpflichtend ab März 2025.

PCI-DSS 4.0 unterstreicht die Bedeutung der Integration kontinuierlicher Sicherheitsprozesse in den täglichen Geschäftsbetrieb

Compliance darf keine einmalige Bewertung sein. Dieser Ansatz ist entscheidend für CISOs, die damit beauftragt sind, eine Kultur des Sicherheitsbewusstseins und des proaktiven Risikomanagements in ihrem Unternehmen zu fördern. Die Einführung von PCI-DSS 4.0 trägt zudem zur Wertschöpfung bei, indem eine robuste Sicherheitsinfrastruktur aufgebaut wird, die sichere Zahlungsumgebungen unterstützt.

Sind Ihre Entwickler darauf vorbereitet, konforme Software bereitzustellen?

Entwickler spielen eine wesentliche – wenn auch oft unterschätzte – Rolle beim Erreichen exzellenter Software-Sicherheit. Es ist entscheidend, dass Entwickler das Gesamtbild von PCI-DSS 4.0 verstehen und wissen, was sie kontrollieren und als Teil ihres Standardansatzes bei der Softwareentwicklung integrieren können.

Anforderung 6 des PCI-DSS beschreibt die Erwartungen an die Entwicklung und Wartung sicherer Software

Dies umfasst eine Vielzahl von Punkten, die von sicheren Entwicklungsstandards über Entwicklerschulungen bis hin zum Konfigurations- und Änderungsmanagement reichen. Alle Unternehmen, die Software entwickeln, die in einem Netzwerk für Karteninhaberdaten (CHD) verwendet wird, sind zur Einhaltung dieser Vorgaben verpflichtet.

Wie in Anforderung 6.2.2 dargelegt, muss das Softwareentwicklungspersonal, das an maßgeschneiderter und kundenspezifischer Software arbeitet, mindestens alle 12 Monate wie folgt geschult werden:

• In Software-Sicherheit, die für ihre jeweilige Funktion und die verwendeten Entwicklungssprachen relevant ist.
• Einschließlich sicherem Software-Design und Techniken für sicheres Programmieren.
• Einschließlich der Nutzung von Sicherheitstest-Tools zur Erkennung von Schwachstellen in Software.

Der Standard legt zudem fest, dass die Schulung mindestens die folgenden Punkte enthalten sollte:

• Verwendete Entwicklungssprachen
• Sicheres Software-Design
• Techniken für sicheres Programmieren
• Einsatz von Techniken/Methoden zum Auffinden von Schwachstellen im Code
• Prozesse zur Vermeidung der Wiedereinführung bereits behobener Schwachstellen

Zusätzlich sollten Entwickler mit ALLEN Angriffstechniken vertraut sein (wie in Anforderung 6.2.4 dargelegt). Dies beinhaltet eine Liste von Angriffskategorien, die als Beispiele dienen:

• Injection-Angriffe, einschließlich SQL, LDAP, XPath oder andere Befehls-, Parameter-, Objekt-, Fehler- oder Injection-Schwachstellen.
• Angriffe auf Daten und Datenstrukturen, einschließlich Versuchen zur Manipulation von Puffern, Zeigern, Eingabedaten oder gemeinsam genutzten Daten.
• Angriffe auf die Kryptographie-Nutzung, einschließlich Versuchen, schwache, unsichere oder unangemessene kryptographische Implementierungen, Algorithmen, Cipher-Suites oder Betriebsmodi auszunutzen.
• Angriffe auf Geschäftslogik, einschließlich Versuchen, Anwendungsfunktionen durch Manipulation von APIs, Kommunikationsprotokollen und -kanälen, clientseitiger Funktionalität oder anderen System-/Anwendungsfunktionen und Ressourcen zu missbrauchen oder zu umgehen. Dies umfasst Cross-Site Scripting (XSS) und Cross-Site Request Forgery (CSRF).
• Angriffe auf Zugriffskontrollmechanismen, einschließlich Versuchen, Identifizierungs-, Authentifizierungs- oder Autorisierungsmechanismen zu umgehen oder zu missbrauchen, oder Versuchen, Schwachstellen in der Implementierung solcher Mechanismen auszunutzen.
• Angriffe über jegliche „Hochrisiko“-Schwachstellen, die im Schwachstellen-Identifizierungsprozess gemäß Anforderung 6.3.1 definiert sind.

Wie Secure Code Warrior Sie bei der Erreichung der PCI-DSS 4.0-Compliance unterstützen kann

Die effektivste Option für die Schulung ist eine agile Lernplattform, bei der Compliance zum Nebenprodukt eines umfassenden Programms für sicheres Programmieren wird. Secure Code Warrior unterstützt Ihr Unternehmen dabei, Schwachstellen zu reduzieren und die Produktivität Ihrer Entwickler zu steigern, indem das Tool:

• Ein fundiertes und konsistentes Verständnis für den Schutz von PCI-Daten vermittelt, indem Wissenslücken geschlossen und präzise Schulungen in den Sprachen und Frameworks angeboten werden, die Ihre Entwickler tatsächlich nutzen. Erfahren Sie mehr über unsere Lernplattform.
• Einen kontinuierlichen, messbaren und etablierten Prozess zur Überprüfung von Fähigkeiten bietet, um sicherzustellen, dass die Schulungsinhalte verinnerlicht und in die Praxis umgesetzt werden. Erfahren Sie mehr über unsere fertigen Schulungspfade für sicheres Programmieren für Entwickler.
• Schulungen durch agile Lernmethoden durchführt, die kontextbezogene Lerneinheiten genau dann bereitstellen, wenn sie benötigt werden. Allgemeine, seltene Schulungen sind nicht mehr zeitgemäß und führen nicht zu der gewünschten Reduzierung von Schwachstellen. Erfahren Sie mehr über unsere unterstützten Schwachstellen.
• Bei der Dokumentation von Sicherheitsschulungen und Programmierstandards hilft, was für den Nachweis der Compliance bei PCI-DSS-Audits nützlich ist. Eine detaillierte Aufschlüsselung von PCI-DSS 4.0 finden Sie in unserem Whitepaper PCI DSS 4.0 Unraveled.

‍