Bei der Annahme von Kartenzahlungen vertrauen Kunden darauf, dass Sie ihre Finanzdaten schützen können. Mit dem PCI DSS, der von den großen Kartenherstellern eingeführt wurde, kann Ihr Unternehmen die Einhaltung strenger Sicherheitsmaßnahmen nachweisen. Diese Protokolle wurden entwickelt, um Transaktionsdaten zu schützen, Identitätsbetrug zu verhindern und kostspielige Sicherheitsverletzungen abzuwehren und so Ihren Ruf als vertrauenswürdiges Unternehmen zu stärken.
Unser PCI-DSS-Zertifizierungsservice bestätigt Ihre Einhaltung der Anforderungen und versetzt Sie in die Lage, laufende Sicherheitsherausforderungen effektiv zu bewältigen.
Wir ermöglichen Ihnen Folgendes:
- Erreichen Sie Konformität mit den 12 wichtigsten PCI-DSS-Anforderungen und halten Sie diese aufrecht
- Reduzieren Sie das Risiko von Sicherheitsvorfällen erheblich
- Fördern Sie das Vertrauen zwischen Kunden, Partnern und Lieferanten
- Steigern Sie die betriebliche Effizienz und sparen Sie Zeit und Geld
- Vermeiden Sie Bußgelder bei Compliance-Verstößen
- Verschaffen Sie sich einen Wettbewerbsvorteil auf dem Markt
- Erhalten Sie Zugang zu internationalen Märkten mit anerkannten Datensicherheitsstandards
- Streben Sie nach kontinuierlicher Verbesserung für die langfristige Nachhaltigkeit Ihres Unternehmens
Unübertroffene PCI-DSS-Expertise und Unterstützung
Als weltweit führender Anbieter von Inspektionen, Zertifizierungen und Tests bieten wir fundiertes Datensicherheits-Know-how für Ihre Geschäftsabläufe. Unser umfassender PCI-DSS-Zertifizierungsprozess ist auf die Bedürfnisse Ihres Unternehmens zugeschnitten, unabhängig von dessen Größe oder Branche. Wir begleiten Sie bei jedem Schritt – von der ersten Gap-Analyse bis zum kontinuierlichen Compliance-Management. Unsere globale Präsenz und Erfahrung stellen sicher, dass Ihre Datensicherheitsmaßnahmen internationalen Standards entsprechen, und helfen Ihnen, sich in der sich entwickelnden Landschaft der Cyberbedrohungen zurechtzufinden und sich daran anzupassen.
Häufig gestellte Fragen (FAQs)
Visa, MasterCard, Discover Financial Services, JCB International und American Express haben den PCI DSS im Jahr 2004 ins Leben gerufen.
Es gibt 6 große Bereiche mit 12 Anforderungen für den Umgang mit Karteninhaberdaten und den kontinuierlichen Schutz eines Netzwerks:
- Sicheres Netzwerk
- I. Eine Firewall muss installiert und gewartet werden
- II. Systemkennwörter müssen einzigartig sein und dürfen nicht vom Hersteller bereitgestellt werden.
- Sichere Daten von Karteninhabern
- III. Gespeicherte Karteninhaberdaten müssen geschützt werden
- IV. Die Übertragung von Karteninhaberdaten über öffentliche Netze muss verschlüsselt erfolgen
- Schwachstellen-Management
- V. Antivirensoftware muss eingesetzt und regelmäßig aktualisiert werden.
- VI. Sichere Systeme und Anwendungen müssen entwickelt und gewartet werden
- Zugriffskontrolle
- VII. Der Zugriff auf die Daten der Karteninhaber muss auf eine „Need-to-know“-Basis beschränkt werden.
- VIII. Jeder, der Zugriff auf den Computer hat, muss über eine eindeutige ID verfügen
- IX. Der physische Zugriff auf die Daten der Karteninhaber muss eingeschränkt werden
- Netzwerküberwachung und -tests
- X. Der Zugriff auf Karteninhaberdaten und Netzwerkressourcen muss verfolgt und überwacht werden
- XI. Sicherheitssysteme und -prozesse müssen regelmäßig getestet werden.
- Informationssicherheit
- XII. Eine Informationssicherheitsrichtlinie muss gepflegt werden.
Ihr Compliance-Level basiert auf der jährlichen Anzahl der Kredit-/Debitkartentransaktionen. Die Stufe bestimmt, was Sie tun müssen, um die Compliance aufrechtzuerhalten.
- Level 1: 6 Millionen Transaktionen pro Jahr
- Level 2: 1-6 Millionen Transaktionen pro Jahr
- Level 3: 20.000-1 Million Transaktionen pro Jahr
- Level 4: <20.000 Transaktionen pro Jahr
- Machen Sie sich mit den Anforderungen vertraut: Machen Sie sich mit den 12 Zertifizierungsanforderungen vertraut.
- Ermitteln Sie die Anforderungen Ihres Unternehmens: Ermitteln Sie die für Sie relevanten Anforderungen basierend auf den vier Compliance-Ebenen.
- Lokalisieren und kartieren Sie Ihre Zahlungskartenbewegungen: Erstellen Sie eine Datenübersicht, in der Ihre Sicherheitssysteme, der physische Zugriff auf Netzwerkressourcen und Apps, die mit Kartendaten in Ihrem Unternehmen interagieren, dargestellt werden. Identifizieren Sie alle kundenseitigen Aspekte im Zusammenhang mit Kartenzahlungen und die verschiedenen Wege und Schwachstellen.
- Füllen Sie einen Fragebogen zur Selbsteinschätzung (SAQ) oder einen Compliance-Bericht (ROC) aus: Ein SAQ hilft Ihnen, die Antworten zur Selbsteinschätzung zu überprüfen. Ein ROC ist für Unternehmen der Stufe 1 gedacht, die sich Sicherheitsaudits unterziehen, da er ein Jahr lang gültig ist.
- Untersuchen Sie Ihre Sicherheitskontrollen und -protokolle: Ziel ist es, die richtigen Sicherheitseinstellungen und -protokolle festzulegen.
- Führen Sie vierteljährliche Scans durch: Überprüfen Sie regelmäßig Ihre Abläufe und Methoden, um die Vorschriften einzuhalten und Best Practices zu befolgen. Ein zugelassener Scan-Anbieter (Approved Scanning Vendor, ASV) stellt sicher, dass Ihre Scans zuverlässig sind und den PCI-Richtlinien entsprechen.
- Die Risiko-/Audit-/Sicherheitsbewertung: Führen Sie eine detaillierte Risikobewertung in Ihrer Zahlungsumgebung durch und messen Sie den komplexen Zahlungsfluss.
- Führen Sie eine Gap-Analyse durch: Überprüfen Sie die PCI-DSS-Anforderungen, um Lücken zu identifizieren, bevor Sie einen Maßnahmenplan erstellen, um sie schnell zu schließen.
- Führen Sie ein internes PCI-DSS-Audit durch: Ihr interner Experte oder ein externer Prüfer überprüft Ihre Sicherheitsfunktionen sowie Dokumente und stellt etwaige Nichtkonformitäten fest.
- Überwachen Sie Ihr System kontinuierlich: Da es sich beim PCI DSS um einen fortlaufenden Prozess handelt, müssen Sie Pläne und Systeme regelmäßig überprüfen, zusätzliche Berichte berücksichtigen und die relevanten Personen einbeziehen.
- Bereiten Sie sich auf die PCI DSS-Zertifizierung vor: Wählen Sie einen externen qualifizierten Sicherheitsprüfer (QSA) aus und legen Sie fest, was dieser bewerten soll. Das Audit bewertet Ihre Sicherheitskontrollen im Hinblick auf die geltenden Anforderungen in Ihrer Datenumgebung, einschließlich Geräten, öffentlichen Netzwerken und Apps, die Karteninhaberinformationen verarbeiten. Außerdem werden Ihre allgemeinen Sicherheitsanforderungen überprüft, bevor ein detaillierter Bericht erstellt wird.
Jedes Unternehmen ist anders, von seiner Größe und Art bis hin zu seinen Informationssicherheits- und Cybersicherheitsmaßnahmen. Daher wird eine Organisation individuell beurteilt. Was Sie tun müssen, um die Anforderungen zu erfüllen, hängt von Ihren potenziellen Sicherheitsrisiken ab.
Wenn Sie nicht nachweisen können, dass Sie die Daten von Kundenkarteninhabern schützen, können die Folgen für beide Seiten schwerwiegend sein, darunter:
- Klagen
- Geldstrafen
- Reputationsschaden
- Ernüchterung und Misstrauen der Kunden
- Diebstahl von Kundengeldern und Identitäten