PCI DSS-Compliance oft nicht gewährleistet

Report: Die Compliance-Situation beim Umgang mit Zahlungskarten ist weiterhin "enttäuschend"
Nicht umgesetzte Compliance-Richtlinien erhöhen die Gefahr des Datenmissbrauchs

(13.10.11) - Viele Unternehmen haben immer noch Probleme, die gängigen Sicherheitsstandards beim bargeldlosen Zahlungsverkehr einzuhalten. Damit setzen sie die vertraulichen Informationen der Kartennutzer dem Risiko des Datendiebstahl und -missbrauchs aus. Dies belegt der aktuelle "Payment Card Industry Compliance Report" von Verizon, der nach 2010 nun bereits zum zweiten Mal erscheint.

Laut des Reports haben die meisten Unternehmen, die Kredit- und/oder Debitkarten akzeptieren, nach wie vor Mühe, die "Payment Card Industry Data Security Standard" (PCI DSS) einzuhalten. Somit gehen sie ein großes Risiko ein, vertrauliche Kundeninformationen zu verlieren und Opfer von Kreditkartenbetrug zu werden.

Bei Nichteinhaltung der Compliance drohen harte Strafen durch die Kreditkartenunternehmen, wie etwa Geldstrafen und höhere Gebühren für Transaktionen. Zudem fordern immer mehr Partner und Kunden, die offensichtliche Einhaltung der Richtlinien.

Im aktuellen Bericht von Verizon wird nicht nur die aktuelle Gesamtsituation bei der Einhaltung von PCI DSS analysiert, sondern auch, inwieweit sich die Unternehmen an die zwölf spezifischen PCI-Forderungen halten. Zusätzlich werden Empfehlungen ausgesprochen, wie Firmen Compliance erreichen und beibehalten können.

"Wir hatten gehofft, dass sich mittlerweile mehr Unternehmen an den PCI-Standard halten. Wir sind überzeugt, dass Compliance letztlich die Sicherheitslage im Unternehmen verbessert und insgesamt das Risiko von Datenmissbrauch senkt", sagt Wade Baker, Director of Risk Intelligence bei Verizon. "Der Report erklärt, wo Unternehmen den Schwerpunkt setzen sollten und wie sie unsere Empfehlungen umsetzen, um möglichst schnell PCI-Compliance zu erreichen. Unser Ziel ist eine sicherere Umgebung für Kreditkartengeschäfte, sowohl für Verbraucher als auch für Unternehmen.“

Ergebnisse des PCI-Reports basieren auf realen PCI-Prüfungen und Datenschutz
Grundlage des Berichts bilden die Ergebnisse von über 100 PCI DSS-Prüfungen, die 2010 von den sogenannten "PCI Qualified Security Assessors" von Verizon vorgenommen wurden. Außerdem wurden Daten verwendet, die von der "Verizon Investigative Response Group" während der Untersuchung von Datenverletzungen im Zusammenhang mit Zahlungskarten gesammelt wurden. Um den Resultaten noch mehr Stichhaltigkeit und Aussagekraft zu verleihen, wurden sie darüber hinaus vom "Verizon Risk Intelligence Team" mit dem "2011 Verizon Data Breach Investigations Report" verglichen.

Für den Bericht wurden Prüfungsergebnisse von Unternehmen mit Sitz in den Vereinigten Staaten, in Europa und in Asien herangezogen, wodurch erstmals der globalen Bedeutung des PCI-Standards Rechnung getragen wurde.

Die wichtigsten Erkenntnisse

• Die Compliance-Situation ist unverändert und damit weiterhin "enttäuschend". Lediglich 21 Prozent der Unternehmen erfüllen schon beim ersten Audit die Bestimmungen. Als mögliche Gründe für die weitverbreitete Non-Compliance nennt der Bericht neben der Schwierigkeit, die Bestimmungen zu erfüllen, übermäßiges Selbstvertrauen, Ignoranz und Konzentration auf andere Compliance- und Sicherheitsthemen.

• Datenmissbrauch steht nach wie vor in direktem Zusammenhang mit mangelnder PCI-Compliance. Der Bericht verdeutlicht erneut, dass Firmen, bei denen es zu Datenmissbrauch gekommen ist, mit großer Wahrscheinlichkeit die PCI-Standards nicht erfüllen und wahrscheinlich Opfer von Identitätsdiebstahl und betrügerischen Absichten sind.

• Unternehmen haben mit wichtigen PCI-Anforderungen Probleme. Am meisten haben Firmen mit den Anforderungen 3 (Schutz gespeicherter Karteninhaberdaten), 10 (Nachverfolgung und Überwachung des Zugriffs), 11 (regelmäßiges Testen von Systemen und Prozessen) und 12 (Einhaltung von Sicherheitsrichtlinien) zu kämpfen. Diese Maßgaben stehen allesamt in direktem Zusammenhang mit dem Schutz von Karteninhaberdaten.

• Nachrangige Behandlung von Compliance bedeutet oft, dass stark risikobehaftete Sicherheitsbedrohungen ignoriert werden. 2009 wurde der sogenannte Prioritized Approach eingeführt. Er dient dazu, Unternehmen beim Reduzieren der Risiken für ihre Karteninhaberdaten zu unterstützen und das jährliche PCI-Verfahren zu erleichtern. Die Autoren des Reports kommen zu dem Schluss, dass Unternehmen sich lieber auf den PCI DSS verlassen, anstatt PCI-Compliance über einen risikobasierten Ansatz zu erreichen. Als Folge hiervon werden in vielen Firmen hochgradig risikobehaftete und potenziell gefährliche Bedrohungen mit denkbar weitreichenden Konsequenzen nicht gebührend beachtet.

• Der PCI-Standard bietet Schutz vor den gebräuchlichsten Angriffsmethoden. Malware und Hacking sind die vorherrschenden Methoden, um sich Zugang zu Karteninhaberdaten zu verschaffen. Mehrere einander überlappende PCI-Anforderungen zielen darauf ab, das Unternehmen vor solchen Angriffen zu schützen.

Empfehlungen zur Erfüllung der Compliance-Anforderungen

Ausgehend von einer umfassenden Analyse hat Verizon folgende Empfehlungen zusammengestellt, die Unternehmen beim Erreichen ihrer PCI-Compliance-Ziele unterstützen:

• Compliance als kontinuierlichen Routineprozess betrachten. Compliance erfordert unablässiges Einhalten des Standards. Dies bedeutet tägliche Log-Überprüfungen, wöchentliche Verifizierung des Schutzes von Dateien, vierteljährliches Scannen auf Schwachstellen und jährliche Penetrationstests. Zu diesem Zweck empfiehlt Verizon, einen internen PCI-"Champion“ damit zu beauftragen, dass Compliance Teil der normalen Geschäftstätigkeit wird.

• Eine eigenständige Beurteilung ist, falls überhaupt, mit äußerster Umsicht vorzunehmen. Level-1- und -2-Händler, die für die größten Volumina an Kartentransaktionen verantwortlich sind, dürfen selbst beurteilen, ob der Standard bei ihnen eingehalten wird. Da es hierbei zu zahlreichen Problemen und Interessenkonflikten kommen kann, empfiehlt Verizon dringend, dass ein objektiver Dritter den Umfang der Beurteilung überprüft oder die Tests übernimmt.

• Sie darauf vorbereitet, die Latte höher legen zu müssen. Im Oktober 2010 stellte das PCI Security Standards Council die PCI DSS-Version 2.0 vor. Die neue Version verlangt eine noch stringentere Executive Summary und Bewertungsmethode bei der Definition des Umfangs. Unternehmen, die bereits mit den aktuellen Standards größere Schwierigkeiten haben, sollten sich dringend auf die neue Version vorbereiten.
(Verizon: ra)

Verizon Business: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

Meldungen: Studien