Compliance mit dem PCI-Standard

Report: Viele Unternehmen erfüllen PCI-Sicherheitsstandards nicht dauerhaft
Fehlende Compliance führt zu höherem Datenmissbrauchsrisiko sowie zu finanziellen Verlusten und Imageschäden

(28.02.14) - Die Mehrzahl der Unternehmen kann im Anschluss an die alljährliche Prüfung auf Einhaltung des Payment Card Industry (PCI) Data Security Standard (DSS) den Compliance-Status auf Dauer nicht halten. Dies belegt ein neuer Report von Verizon. Damit steigen die Risiken für Datenmissbrauch sowie finanzielle Verluste und Imageschäden.

Der "Verizon 2014 PCI Compliance Report" bestätigt, dass Transaktionen mit Zahlungskarten nach wie vor das Hauptziel von Angreifern sind. Ebenso scheint die Häufigkeit solcher Verletzungen zuzunehmen. Laut The Nilson Report überschritt der weltweite Betrug mit Kreditkarten allein im Jahr 2012 die Marke von 11 Mrd. US-Dollar.

Dem Report zufolge sind in den meisten Fällen die Datenverletzungen bei Kartenzahlungen nicht auf Versagen der Sicherheitstechnologie oder der Einhaltung des Payment Card Industry Data Security Standard zurückzuführen. Vielmehr ist eine mangelnde Umsetzung entsprechender Compliance- und Sicherheitsmaßnahmen der Grund. "Wir beobachten immer wieder, dass viele Unternehmen PCI Compliance als Ereignis betrachten, das einmal im Jahr relevant ist. Ihnen scheint nicht klar zu sein, dass Compliance tagtäglich 365 Tage im Jahr im Mittelpunkt stehen muss", sagte Rodolphe Simonetti, Managing Director, PCI Practice bei Verizon Enterprise Solutions.

Der Bericht hat allerdings auch Positives zu vermelden: Die Zahl der Unternehmen, denen auf Anhieb Compliance mit dem PCI-Standard bescheinigt werden konnte, hat zugenommen. 2013 erfüllten über 82 Prozent der Firmen zum Zeitpunkt ihres alljährlichen Baseline-Assessments mindestens 80 Prozent des PCI-Standards; 2012 waren es gerade einmal 32 Prozent.

Aufgrund unterschiedlicher gesetzlicher Meldevorschriften für Datenverletzungen, gesetzlichen Anforderungen und Unterschiede in deren Umsetzung, ergaben sich regionale Unterschiede. Gemessen an der Erfüllung der PCI-Kriterien zu mindestens 80 Prozent belegte die Asien-Pazifikregion mit 75 Prozent Platz 1, gefolgt von den USA mit 56 Prozent und Europa mit 31 Prozent.

Zu den Bereichen, in denen Unternehmen die meisten Schwierigkeiten haben, auf Anhieb PCI Compliance zu schaffen, gehören Sicherheitstests (23,8 Prozent), Sicherheitsüberwachung und die Fähigkeit, wirksam Datenverletzungen zu erkennen und darauf zu reagieren (17 Prozent), und schließlich der Schutz gespeicherter sensibler Daten (55,6 Prozent).

"Alles weniger als 100 Prozent Compliance ist für Unternehmen heutzutage ein Problem", sagte Simonetti. "Immer wieder beobachten wir, wie sich Firmen durch Non-Compliance für den Diebstahl von Kreditkarteninformationen exponieren. Das kostet sie unter Umständen Hunderte Millionen Dollar, wenn man alle Schäden hineinrechnet; ganz zu schweigen vom Vertrauensverlust der Kunden und dem Imageschaden der Marke. Unternehmen müssen darüber nachdenken, wie sie in ihrer Umgebung PCI Compliance aufrechterhalten, sei es durch verstärkten Mitteleinsatz oder durch die Zusammenarbeit mit einem Anbieter von Managed Security Services."

Report analysiert detailliert jeden der 12 PCI-Anforderungen
Darüber hinaus untersucht der Report im Detail, in wieweit Unternehmen die 12 PCI-Kriterien im Einzelnen erfüllen. Es werden Empfehlungen abgegeben, die Unternehmen nutzen können, Compliance zu erreichen und zu behalten. Außerdem wird erklärt, was Non-Compliance bei einzelnen Anforderungen im Hinblick auf mögliche Datenverletzungen bedeutet.

Simonetti weist darauf hin, dass geplante PCI-Compliance-Maßnahmen mit den wichtigsten unternehmensweiten Governance-, Sicherheits- und Compliance-Programmen integriert werden sollten. Außerdem sollten sie weitestgehend automatisiert werden, damit dies kostengünstig und nachhaltig geschehe.

Erkenntnisse des PCI-Reports basieren auf realen PCI-Assessments
Der Bericht basiert auf den Erkenntnissen aus Hunderten von PCI-DSS-Assessments, die ein Verizon Team von PCI Qualified Security Assessors von 2011 bis 2013 vorgenommen hat. Ähnlich wie die Verizon Berichtsreihe "Data Breach Investigations Report (DBIR)" basiert der PCI Compliance Report auf der Arbeit an realen Fällen. Es ist nach aktuellem Kenntnisstand der bislang einzige Bericht dieser Art innerhalb der Branche. Der diesjährige Bericht (der Dritte der Reihe) analysiert PCI Data Security Assessment-Daten mit Schwerpunkt auf Einzelhandel, Finanzdienstleistungen sowie Gastgewerbe in Nordamerika, Europa und der Asien-Pazifikregion. (Verizon Communications: ra)

Verizon Communications: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

Meldungen: Studien