Compliance mit dem PCI-Standard


Report: Viele Unternehmen erfüllen PCI-Sicherheitsstandards nicht dauerhaft
Fehlende Compliance führt zu höherem Datenmissbrauchsrisiko sowie zu finanziellen Verlusten und Imageschäden

(28.02.14) - Die Mehrzahl der Unternehmen kann im Anschluss an die alljährliche Prüfung auf Einhaltung des Payment Card Industry (PCI) Data Security Standard (DSS) den Compliance-Status auf Dauer nicht halten. Dies belegt ein neuer Report von Verizon. Damit steigen die Risiken für Datenmissbrauch sowie finanzielle Verluste und Imageschäden.

Der "Verizon 2014 PCI Compliance Report" bestätigt, dass Transaktionen mit Zahlungskarten nach wie vor das Hauptziel von Angreifern sind. Ebenso scheint die Häufigkeit solcher Verletzungen zuzunehmen. Laut The Nilson Report überschritt der weltweite Betrug mit Kreditkarten allein im Jahr 2012 die Marke von 11 Mrd. US-Dollar.

Dem Report zufolge sind in den meisten Fällen die Datenverletzungen bei Kartenzahlungen nicht auf Versagen der Sicherheitstechnologie oder der Einhaltung des Payment Card Industry Data Security Standard zurückzuführen. Vielmehr ist eine mangelnde Umsetzung entsprechender Compliance- und Sicherheitsmaßnahmen der Grund. "Wir beobachten immer wieder, dass viele Unternehmen PCI Compliance als Ereignis betrachten, das einmal im Jahr relevant ist. Ihnen scheint nicht klar zu sein, dass Compliance tagtäglich 365 Tage im Jahr im Mittelpunkt stehen muss", sagte Rodolphe Simonetti, Managing Director, PCI Practice bei Verizon Enterprise Solutions.

Der Bericht hat allerdings auch Positives zu vermelden: Die Zahl der Unternehmen, denen auf Anhieb Compliance mit dem PCI-Standard bescheinigt werden konnte, hat zugenommen. 2013 erfüllten über 82 Prozent der Firmen zum Zeitpunkt ihres alljährlichen Baseline-Assessments mindestens 80 Prozent des PCI-Standards; 2012 waren es gerade einmal 32 Prozent.

Aufgrund unterschiedlicher gesetzlicher Meldevorschriften für Datenverletzungen, gesetzlichen Anforderungen und Unterschiede in deren Umsetzung, ergaben sich regionale Unterschiede. Gemessen an der Erfüllung der PCI-Kriterien zu mindestens 80 Prozent belegte die Asien-Pazifikregion mit 75 Prozent Platz 1, gefolgt von den USA mit 56 Prozent und Europa mit 31 Prozent.

Zu den Bereichen, in denen Unternehmen die meisten Schwierigkeiten haben, auf Anhieb PCI Compliance zu schaffen, gehören Sicherheitstests (23,8 Prozent), Sicherheitsüberwachung und die Fähigkeit, wirksam Datenverletzungen zu erkennen und darauf zu reagieren (17 Prozent), und schließlich der Schutz gespeicherter sensibler Daten (55,6 Prozent).

"Alles weniger als 100 Prozent Compliance ist für Unternehmen heutzutage ein Problem", sagte Simonetti. "Immer wieder beobachten wir, wie sich Firmen durch Non-Compliance für den Diebstahl von Kreditkarteninformationen exponieren. Das kostet sie unter Umständen Hunderte Millionen Dollar, wenn man alle Schäden hineinrechnet; ganz zu schweigen vom Vertrauensverlust der Kunden und dem Imageschaden der Marke. Unternehmen müssen darüber nachdenken, wie sie in ihrer Umgebung PCI Compliance aufrechterhalten, sei es durch verstärkten Mitteleinsatz oder durch die Zusammenarbeit mit einem Anbieter von Managed Security Services."

Report analysiert detailliert jeden der 12 PCI-Anforderungen
Darüber hinaus untersucht der Report im Detail, in wieweit Unternehmen die 12 PCI-Kriterien im Einzelnen erfüllen. Es werden Empfehlungen abgegeben, die Unternehmen nutzen können, Compliance zu erreichen und zu behalten. Außerdem wird erklärt, was Non-Compliance bei einzelnen Anforderungen im Hinblick auf mögliche Datenverletzungen bedeutet.

Simonetti weist darauf hin, dass geplante PCI-Compliance-Maßnahmen mit den wichtigsten unternehmensweiten Governance-, Sicherheits- und Compliance-Programmen integriert werden sollten. Außerdem sollten sie weitestgehend automatisiert werden, damit dies kostengünstig und nachhaltig geschehe.

Erkenntnisse des PCI-Reports basieren auf realen PCI-Assessments
Der Bericht basiert auf den Erkenntnissen aus Hunderten von PCI-DSS-Assessments, die ein Verizon Team von PCI Qualified Security Assessors von 2011 bis 2013 vorgenommen hat. Ähnlich wie die Verizon Berichtsreihe "Data Breach Investigations Report (DBIR)" basiert der PCI Compliance Report auf der Arbeit an realen Fällen. Es ist nach aktuellem Kenntnisstand der bislang einzige Bericht dieser Art innerhalb der Branche. Der diesjährige Bericht (der Dritte der Reihe) analysiert PCI Data Security Assessment-Daten mit Schwerpunkt auf Einzelhandel, Finanzdienstleistungen sowie Gastgewerbe in Nordamerika, Europa und der Asien-Pazifikregion. (Verizon Communications: ra)

Verizon Communications: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Meldungen: Studien

  • Viele Schulen regeln den KI-Einsatz nicht

    Um schneller einen Aufsatz zu schreiben, die Antwort im Unterricht nachzuschlagen oder Ideen für das Kunstprojekt zu sammeln - Künstliche Intelligenz ist längst auch in vielen deutschen Klassenzimmern angekommen. Allerdings hat nicht einmal jede vierte Schule zentral geregelt, was dabei erlaubt und was verboten ist. Lediglich an 23 Prozent der weiterführenden Schulen gibt es zentrale KI-Regeln, die für die ganze Schule gelten.

  • Ein Fünftel wurde im Job zu KI geschult

    Mit KI die Mail formulieren, eine Hintergrundrecherche starten oder aus Gesprächsnotizen ein Protokoll erstellen - Künstliche Intelligenz kann im Job unterstützen, wenn man weiß wie. Ein Fünftel (20 Prozent) der Berufstätigen wurde deshalb von ihrem Arbeitgeber bereits im KI-Einsatz geschult. Bei weiteren 6 Prozent gibt es zwar entsprechende Fortbildungen, sie haben sie aber noch nicht wahrgenommen. Der großen Mehrheit von 70 Prozent der Beschäftigten wird allerdings keine KI-Fortbildungen angeboten. Das sind Ergebnisse einer repräsentativen Befragung von 1.005 Personen ab 16 Jahren in Deutschland im Auftrag des Digitalverbands Bitkom.

  • Mindestens ein Datenschutzvorfall

    The Business Digital Index (BDI), eine Initiative von Cybernews, hat die digitale Sicherheit von 75 EU-Institutionen untersucht. Das Ergebnis ist besorgniserregend: 67 Prozent der untersuchten Einrichtungen erhielten die Noten "D" oder "F" und gelten damit als "hohes" oder "kritisches" Risiko.

  • Überwachung und Compliance stets im Fokus

    Mit der Einführung der elektronischen Patientenakte (ePA) setzt die Bundesregierung einen Meilenstein für die Zukunft der digitalen Gesundheitsversorgung. Ziel ist es, eine umfassende Datentransparenz - sowohl für Patienten als auch das medizinische Personal - zu schaffen, um die Qualität der Versorgung zu optimieren und Mitarbeitende im Healthcare-Sektor zu entlasten. Wie die Studie "Digitale Zwickmühle im Gesundheitswesen: Zwischen Innovationsdruck und Systemrisiken" von Soti jedoch zeigt, mangelt es in vielen deutschen Gesundheitseinrichtungen noch immer an den nötigen technischen Voraussetzungen, um diesem Anspruch in der Praxis auch wirklich gerecht zu werden. Für diese Erhebung wurden weltweit IT-Entscheidungsträger im Healthcare-Bereich befragt.

  • Haftungsrisiko bei Cyber-Schäden

    Führungskräfte in Deutschland blicken mit wachsender Sorge auf ihr Haftungsrisiko bei Cyber-Schäden - für 88 Prozent sind Cyber-Attacken und für 86 Prozent Datenverluste das Top-Risiko für Manager 2025. Das zeigt der aktuelle "Directors' and Officers' Liability Survey" des Risikoberaters und Großmaklers Willis, einem Geschäftsbereich von WTW, und der internationalen Anwaltssozietät Clyde & Co. Außerdem zeigt die Studie, dass vielen Themen im Management Board nicht genug Zeit eingeräumt wird: 38 Prozent der befragten Führungskräfte in Deutschland sind der Meinung, dass im Vorstands- und Geschäftsführungskreis mehr Zeit für das Thema Cybersicherheit aufgewendet werden sollte. "Das ist ein deutliches Signal dafür, dass viele Unternehmen sich der Bedrohung zwar bewusst sind, sich ihr aber noch nicht ausreichend widmen", sagt Lukas Nazaruk, Head of Corporate Risk & Broking Deutschland und Österreich bei Willis.

Wir verwenden Cookies um unsere Website zu optimieren und Ihnen das bestmögliche Online-Erlebnis zu bieten. Mit dem Klick auf "Alle akzeptieren" erklären Sie sich damit einverstanden. Erweiterte Einstellungen