- Anzeigen -

PCI DSS-Compliance oft nicht gewährleistet


Report: Die Compliance-Situation beim Umgang mit Zahlungskarten ist weiterhin "enttäuschend"
Nicht umgesetzte Compliance-Richtlinien erhöhen die Gefahr des Datenmissbrauchs

(13.10.11) - Viele Unternehmen haben immer noch Probleme, die gängigen Sicherheitsstandards beim bargeldlosen Zahlungsverkehr einzuhalten. Damit setzen sie die vertraulichen Informationen der Kartennutzer dem Risiko des Datendiebstahl und -missbrauchs aus. Dies belegt der aktuelle "Payment Card Industry Compliance Report" von Verizon, der nach 2010 nun bereits zum zweiten Mal erscheint.

Laut des Reports haben die meisten Unternehmen, die Kredit- und/oder Debitkarten akzeptieren, nach wie vor Mühe, die "Payment Card Industry Data Security Standard" (PCI DSS) einzuhalten. Somit gehen sie ein großes Risiko ein, vertrauliche Kundeninformationen zu verlieren und Opfer von Kreditkartenbetrug zu werden.

Bei Nichteinhaltung der Compliance drohen harte Strafen durch die Kreditkartenunternehmen, wie etwa Geldstrafen und höhere Gebühren für Transaktionen. Zudem fordern immer mehr Partner und Kunden, die offensichtliche Einhaltung der Richtlinien.

Im aktuellen Bericht von Verizon wird nicht nur die aktuelle Gesamtsituation bei der Einhaltung von PCI DSS analysiert, sondern auch, inwieweit sich die Unternehmen an die zwölf spezifischen PCI-Forderungen halten. Zusätzlich werden Empfehlungen ausgesprochen, wie Firmen Compliance erreichen und beibehalten können.

"Wir hatten gehofft, dass sich mittlerweile mehr Unternehmen an den PCI-Standard halten. Wir sind überzeugt, dass Compliance letztlich die Sicherheitslage im Unternehmen verbessert und insgesamt das Risiko von Datenmissbrauch senkt", sagt Wade Baker, Director of Risk Intelligence bei Verizon. "Der Report erklärt, wo Unternehmen den Schwerpunkt setzen sollten und wie sie unsere Empfehlungen umsetzen, um möglichst schnell PCI-Compliance zu erreichen. Unser Ziel ist eine sicherere Umgebung für Kreditkartengeschäfte, sowohl für Verbraucher als auch für Unternehmen.“

Ergebnisse des PCI-Reports basieren auf realen PCI-Prüfungen und Datenschutz
Grundlage des Berichts bilden die Ergebnisse von über 100 PCI DSS-Prüfungen, die 2010 von den sogenannten "PCI Qualified Security Assessors" von Verizon vorgenommen wurden. Außerdem wurden Daten verwendet, die von der "Verizon Investigative Response Group" während der Untersuchung von Datenverletzungen im Zusammenhang mit Zahlungskarten gesammelt wurden. Um den Resultaten noch mehr Stichhaltigkeit und Aussagekraft zu verleihen, wurden sie darüber hinaus vom "Verizon Risk Intelligence Team" mit dem "2011 Verizon Data Breach Investigations Report" verglichen.

Für den Bericht wurden Prüfungsergebnisse von Unternehmen mit Sitz in den Vereinigten Staaten, in Europa und in Asien herangezogen, wodurch erstmals der globalen Bedeutung des PCI-Standards Rechnung getragen wurde.

Die wichtigsten Erkenntnisse

• Die Compliance-Situation ist unverändert und damit weiterhin "enttäuschend". Lediglich 21 Prozent der Unternehmen erfüllen schon beim ersten Audit die Bestimmungen. Als mögliche Gründe für die weitverbreitete Non-Compliance nennt der Bericht neben der Schwierigkeit, die Bestimmungen zu erfüllen, übermäßiges Selbstvertrauen, Ignoranz und Konzentration auf andere Compliance- und Sicherheitsthemen.

• Datenmissbrauch steht nach wie vor in direktem Zusammenhang mit mangelnder PCI-Compliance. Der Bericht verdeutlicht erneut, dass Firmen, bei denen es zu Datenmissbrauch gekommen ist, mit großer Wahrscheinlichkeit die PCI-Standards nicht erfüllen und wahrscheinlich Opfer von Identitätsdiebstahl und betrügerischen Absichten sind.

• Unternehmen haben mit wichtigen PCI-Anforderungen Probleme. Am meisten haben Firmen mit den Anforderungen 3 (Schutz gespeicherter Karteninhaberdaten), 10 (Nachverfolgung und Überwachung des Zugriffs), 11 (regelmäßiges Testen von Systemen und Prozessen) und 12 (Einhaltung von Sicherheitsrichtlinien) zu kämpfen. Diese Maßgaben stehen allesamt in direktem Zusammenhang mit dem Schutz von Karteninhaberdaten.

• Nachrangige Behandlung von Compliance bedeutet oft, dass stark risikobehaftete Sicherheitsbedrohungen ignoriert werden. 2009 wurde der sogenannte Prioritized Approach eingeführt. Er dient dazu, Unternehmen beim Reduzieren der Risiken für ihre Karteninhaberdaten zu unterstützen und das jährliche PCI-Verfahren zu erleichtern. Die Autoren des Reports kommen zu dem Schluss, dass Unternehmen sich lieber auf den PCI DSS verlassen, anstatt PCI-Compliance über einen risikobasierten Ansatz zu erreichen. Als Folge hiervon werden in vielen Firmen hochgradig risikobehaftete und potenziell gefährliche Bedrohungen mit denkbar weitreichenden Konsequenzen nicht gebührend beachtet.

• Der PCI-Standard bietet Schutz vor den gebräuchlichsten Angriffsmethoden. Malware und Hacking sind die vorherrschenden Methoden, um sich Zugang zu Karteninhaberdaten zu verschaffen. Mehrere einander überlappende PCI-Anforderungen zielen darauf ab, das Unternehmen vor solchen Angriffen zu schützen.

Empfehlungen zur Erfüllung der Compliance-Anforderungen

Ausgehend von einer umfassenden Analyse hat Verizon folgende Empfehlungen zusammengestellt, die Unternehmen beim Erreichen ihrer PCI-Compliance-Ziele unterstützen:

• Compliance als kontinuierlichen Routineprozess betrachten. Compliance erfordert unablässiges Einhalten des Standards. Dies bedeutet tägliche Log-Überprüfungen, wöchentliche Verifizierung des Schutzes von Dateien, vierteljährliches Scannen auf Schwachstellen und jährliche Penetrationstests. Zu diesem Zweck empfiehlt Verizon, einen internen PCI-"Champion“ damit zu beauftragen, dass Compliance Teil der normalen Geschäftstätigkeit wird.

• Eine eigenständige Beurteilung ist, falls überhaupt, mit äußerster Umsicht vorzunehmen. Level-1- und -2-Händler, die für die größten Volumina an Kartentransaktionen verantwortlich sind, dürfen selbst beurteilen, ob der Standard bei ihnen eingehalten wird. Da es hierbei zu zahlreichen Problemen und Interessenkonflikten kommen kann, empfiehlt Verizon dringend, dass ein objektiver Dritter den Umfang der Beurteilung überprüft oder die Tests übernimmt.

• Sie darauf vorbereitet, die Latte höher legen zu müssen. Im Oktober 2010 stellte das PCI Security Standards Council die PCI DSS-Version 2.0 vor. Die neue Version verlangt eine noch stringentere Executive Summary und Bewertungsmethode bei der Definition des Umfangs. Unternehmen, die bereits mit den aktuellen Standards größere Schwierigkeiten haben, sollten sich dringend auf die neue Version vorbereiten.
(Verizon: ra)

Verizon Business: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -




Kostenloser Compliance-Newsletter
Ihr Compliance-Magazin.de-Newsletter hier >>>>>>


Meldungen: Studien

  • Ordnungsgemäße Rechnungsverarbeitung

    77 Prozent der deutschen Unternehmen glauben, Rechnungen ordnungsgemäß verarbeiten zu können. Doch bei rechtlichen und formalen Vorgaben offenbaren sie gefährliches Halbwissen. Zudem weiß die Mehrheit nicht, was E-Invoicing überhaupt ist. Das ergab eine aktuelle Umfrage des E-Invoicing-Anbieters crossinx unter 150 Finanzentscheidern in deutschen Unternehmen ab 50 Mitarbeitern. Diese Ergebnisse beweisen nicht nur, dass mittelständische und große Unternehmen massiven Nachholbedarf in Sachen Digitalisierung haben. Unternehmen bewegen sich zudem rechtlich auf dünnem Eis: Sie kommen Compliance-Richtlinien wie etwa der gesetzlichen Aufbewahrungspflicht von Rechnungsdaten oder Datenschutzvorgaben nicht nach.

  • Kommunikation in sozialen Netzwerken

    Die Nachricht kam vor Stunden an, der Empfänger war sogar online und hat sie gelesen, aber nicht darauf reagiert: Jeden zweiten Social-Media- und Messenger-Nutzer (56 Prozent) ärgert es, wenn andere nicht auf gelesene Nachrichten antworten. Bei den 14- bis 29-Jährigen geben sogar zwei von drei (67 Prozent) an, ein solches Verhalten würde sie ärgern. Umgekehrt sagen aber auch sechs von zehn Nutzern (62 Prozent), dass es sie stresst, wenn andere eine schnelle Reaktion auf ihre Nachrichten erwarten. Unter den Jugendlichen und jungen Erwachsenen im Alter von 14 bis 29 Jahren sind es bereits 68 Prozent.

  • Tipps für Anleger in Zeiten der Kurseinbrüche

    Nichts für Anleger mit schwachen Nerven: Der US-Leitindex Dow Jones verlor kürzlich an einem einzigen Tag 1.600 Punkte - so viel wie noch nie zuvor. Die Folge: Kurseinbrüche an den Börsen weltweit, auch in Frankfurt. Mittlerweile hat sich die Wall Street wieder gefangen, und auch der DAX erholt sich von den Turbulenzen. Was bleibt, ist bei vielen Anlegern Unsicherheit - und so mancher Börsen-Neuling fragt sich vielleicht, ob ein Investment in Aktien das Richtige ist. Wir geben fünf Tipps für jeden Anleger.

  • Jeder Vierte fürchtet Kamera-Spione

    Versteckte Beobachter in den eigenen vier Wänden zu haben - eine Horrorvorstellung für die meisten Menschen. Für Cyberkriminelle bieten Kameras in Computern und Handy genau das: ein mögliches Einfallstor, um Personen auszuspionieren. Viele Menschen wollen sich gezielt dagegen schützen. So deckt jeder vierte Nutzer (27 Prozent) von Laptops, Tablet-Computern und Smartphones die Kamera seines Geräts bewusst ab. Das ist das Ergebnis einer repräsentativen Umfrage im Auftrag des Digitalverbands Bitkom. "Wenn Hightech-Geräte mit Schadprogrammen infiziert sind, können Cyberkriminelle die integrierten Kameras zur ungewollten Überwachung einsetzen", sagt Dr. Nabil Alsabah, Referent für IT-Sicherheit beim Bitkom. "Wer ganz sicher gehen will und die Gerätekamera kaum nutzt, kann die Linse der Kamera auch abkleben." Der Komfort bei der Gerätenutzung werde dadurch aber eingeschränkt.

  • Compliance-Anforderungen in Europa moderat

    Workforce-Monitoring-Programme werden kontrovers diskutiert. Deutschland reiht sich mit strikten gesetzlichen Rechtsvorgaben im internationalen Vergleich auf Rang 3 ein. Nur Finnland und Italien haben höhere Compliance-Anforderungen an die Implementierung von Monitoring-Tools. Das zeigt eine globale Studie von Forcepoint, Anbieter von Lösungen für Content- und IT-Sicherheit, und der internationalen Anwalts- und Wirtschaftskanzlei Hogan Lovells. Sie untersucht die rechtlichen Anforderungen an die Implementierung von Monitoring-Tools für die IT-Sicherheit in 15 Industrienationen. Eine Möglichkeit, Daten zu schützen und zu managen sowie sich gegen interne und externe Bedrohungen zu schützen, ist, zu analysieren, wie Informationsressourcen im Unternehmen genutzt werden.

Facebook am Arbeitsplatz: Ärgernis im Unternehmen? Soziale Netzwerke am Arbeitsplatz