- Anzeigen -

PCI DSS-Compliance oft nicht gewährleistet


Report: Die Compliance-Situation beim Umgang mit Zahlungskarten ist weiterhin "enttäuschend"
Nicht umgesetzte Compliance-Richtlinien erhöhen die Gefahr des Datenmissbrauchs

(13.10.11) - Viele Unternehmen haben immer noch Probleme, die gängigen Sicherheitsstandards beim bargeldlosen Zahlungsverkehr einzuhalten. Damit setzen sie die vertraulichen Informationen der Kartennutzer dem Risiko des Datendiebstahl und -missbrauchs aus. Dies belegt der aktuelle "Payment Card Industry Compliance Report" von Verizon, der nach 2010 nun bereits zum zweiten Mal erscheint.

Laut des Reports haben die meisten Unternehmen, die Kredit- und/oder Debitkarten akzeptieren, nach wie vor Mühe, die "Payment Card Industry Data Security Standard" (PCI DSS) einzuhalten. Somit gehen sie ein großes Risiko ein, vertrauliche Kundeninformationen zu verlieren und Opfer von Kreditkartenbetrug zu werden.

Bei Nichteinhaltung der Compliance drohen harte Strafen durch die Kreditkartenunternehmen, wie etwa Geldstrafen und höhere Gebühren für Transaktionen. Zudem fordern immer mehr Partner und Kunden, die offensichtliche Einhaltung der Richtlinien.

Im aktuellen Bericht von Verizon wird nicht nur die aktuelle Gesamtsituation bei der Einhaltung von PCI DSS analysiert, sondern auch, inwieweit sich die Unternehmen an die zwölf spezifischen PCI-Forderungen halten. Zusätzlich werden Empfehlungen ausgesprochen, wie Firmen Compliance erreichen und beibehalten können.

"Wir hatten gehofft, dass sich mittlerweile mehr Unternehmen an den PCI-Standard halten. Wir sind überzeugt, dass Compliance letztlich die Sicherheitslage im Unternehmen verbessert und insgesamt das Risiko von Datenmissbrauch senkt", sagt Wade Baker, Director of Risk Intelligence bei Verizon. "Der Report erklärt, wo Unternehmen den Schwerpunkt setzen sollten und wie sie unsere Empfehlungen umsetzen, um möglichst schnell PCI-Compliance zu erreichen. Unser Ziel ist eine sicherere Umgebung für Kreditkartengeschäfte, sowohl für Verbraucher als auch für Unternehmen.“

Ergebnisse des PCI-Reports basieren auf realen PCI-Prüfungen und Datenschutz
Grundlage des Berichts bilden die Ergebnisse von über 100 PCI DSS-Prüfungen, die 2010 von den sogenannten "PCI Qualified Security Assessors" von Verizon vorgenommen wurden. Außerdem wurden Daten verwendet, die von der "Verizon Investigative Response Group" während der Untersuchung von Datenverletzungen im Zusammenhang mit Zahlungskarten gesammelt wurden. Um den Resultaten noch mehr Stichhaltigkeit und Aussagekraft zu verleihen, wurden sie darüber hinaus vom "Verizon Risk Intelligence Team" mit dem "2011 Verizon Data Breach Investigations Report" verglichen.

Für den Bericht wurden Prüfungsergebnisse von Unternehmen mit Sitz in den Vereinigten Staaten, in Europa und in Asien herangezogen, wodurch erstmals der globalen Bedeutung des PCI-Standards Rechnung getragen wurde.

Die wichtigsten Erkenntnisse

• Die Compliance-Situation ist unverändert und damit weiterhin "enttäuschend". Lediglich 21 Prozent der Unternehmen erfüllen schon beim ersten Audit die Bestimmungen. Als mögliche Gründe für die weitverbreitete Non-Compliance nennt der Bericht neben der Schwierigkeit, die Bestimmungen zu erfüllen, übermäßiges Selbstvertrauen, Ignoranz und Konzentration auf andere Compliance- und Sicherheitsthemen.

• Datenmissbrauch steht nach wie vor in direktem Zusammenhang mit mangelnder PCI-Compliance. Der Bericht verdeutlicht erneut, dass Firmen, bei denen es zu Datenmissbrauch gekommen ist, mit großer Wahrscheinlichkeit die PCI-Standards nicht erfüllen und wahrscheinlich Opfer von Identitätsdiebstahl und betrügerischen Absichten sind.

• Unternehmen haben mit wichtigen PCI-Anforderungen Probleme. Am meisten haben Firmen mit den Anforderungen 3 (Schutz gespeicherter Karteninhaberdaten), 10 (Nachverfolgung und Überwachung des Zugriffs), 11 (regelmäßiges Testen von Systemen und Prozessen) und 12 (Einhaltung von Sicherheitsrichtlinien) zu kämpfen. Diese Maßgaben stehen allesamt in direktem Zusammenhang mit dem Schutz von Karteninhaberdaten.

• Nachrangige Behandlung von Compliance bedeutet oft, dass stark risikobehaftete Sicherheitsbedrohungen ignoriert werden. 2009 wurde der sogenannte Prioritized Approach eingeführt. Er dient dazu, Unternehmen beim Reduzieren der Risiken für ihre Karteninhaberdaten zu unterstützen und das jährliche PCI-Verfahren zu erleichtern. Die Autoren des Reports kommen zu dem Schluss, dass Unternehmen sich lieber auf den PCI DSS verlassen, anstatt PCI-Compliance über einen risikobasierten Ansatz zu erreichen. Als Folge hiervon werden in vielen Firmen hochgradig risikobehaftete und potenziell gefährliche Bedrohungen mit denkbar weitreichenden Konsequenzen nicht gebührend beachtet.

• Der PCI-Standard bietet Schutz vor den gebräuchlichsten Angriffsmethoden. Malware und Hacking sind die vorherrschenden Methoden, um sich Zugang zu Karteninhaberdaten zu verschaffen. Mehrere einander überlappende PCI-Anforderungen zielen darauf ab, das Unternehmen vor solchen Angriffen zu schützen.

Empfehlungen zur Erfüllung der Compliance-Anforderungen

Ausgehend von einer umfassenden Analyse hat Verizon folgende Empfehlungen zusammengestellt, die Unternehmen beim Erreichen ihrer PCI-Compliance-Ziele unterstützen:

• Compliance als kontinuierlichen Routineprozess betrachten. Compliance erfordert unablässiges Einhalten des Standards. Dies bedeutet tägliche Log-Überprüfungen, wöchentliche Verifizierung des Schutzes von Dateien, vierteljährliches Scannen auf Schwachstellen und jährliche Penetrationstests. Zu diesem Zweck empfiehlt Verizon, einen internen PCI-"Champion“ damit zu beauftragen, dass Compliance Teil der normalen Geschäftstätigkeit wird.

• Eine eigenständige Beurteilung ist, falls überhaupt, mit äußerster Umsicht vorzunehmen. Level-1- und -2-Händler, die für die größten Volumina an Kartentransaktionen verantwortlich sind, dürfen selbst beurteilen, ob der Standard bei ihnen eingehalten wird. Da es hierbei zu zahlreichen Problemen und Interessenkonflikten kommen kann, empfiehlt Verizon dringend, dass ein objektiver Dritter den Umfang der Beurteilung überprüft oder die Tests übernimmt.

• Sie darauf vorbereitet, die Latte höher legen zu müssen. Im Oktober 2010 stellte das PCI Security Standards Council die PCI DSS-Version 2.0 vor. Die neue Version verlangt eine noch stringentere Executive Summary und Bewertungsmethode bei der Definition des Umfangs. Unternehmen, die bereits mit den aktuellen Standards größere Schwierigkeiten haben, sollten sich dringend auf die neue Version vorbereiten.
(Verizon: ra)

Verizon Business: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -




Kostenloser Compliance-Newsletter
Ihr Compliance-Magazin.de-Newsletter hier >>>>>>


Meldungen: Studien

  • Um 28,7 Prozent angestiegen

    Mit insgesamt 74.070 registrierten Fällen im Jahr 2017 ist die Wirtschaftskriminalität in Deutschland im Vergleich zum Vorjahr um 28,7 Prozent angestiegen (2016: 57.546 Fälle). Die Fallzahl liegt deutlich über dem Durchschnitt der letzten fünf Jahre (65.484 Fälle). Der Anteil der Wirtschaftskriminalität an allen polizeilich bekannt gewordenen Straftaten beträgt 1,3 Prozent (2016: 0,9 Prozent). Im Gegensatz hierzu verdeutlicht die erfasste Schadenssumme die erheblichen Auswirkungen der Wirtschaftskriminalität - sie macht etwa die Hälfte des durch Kriminalität insgesamt entstandenen Schadens aus. Im Jahr 2017 wurde ein Schaden in Höhe von 3,74 Milliarden Euro registriert (2016: 2,97 Milliarden Euro). Dies entspricht einem Anstieg um 25,9 Prozent. Die Betrachtung der langfristigen Fall- und Schaltungsentwicklung zeigt die übliche Schwankungsbreite im Bereich der Wirtschaftskriminalität, die durch einzelne Umfangsverfahren hervorgerufen wird.

  • Schutz der Privatsphäre

    Datenschutz? Mir doch egal. Der Eindruck entsteht, wenn man die Ergebnisse einer repräsentativen Umfrage unter 2.000 deutschen Verbrauchern betrachtet: Über 80 Prozent der Deutschen sind ahnungslos, wenn es um ihre Rechte beim Schutz der Privatsphäre geht. Die von YouGov im Auftrag des Daten-Experten Commvault durchgeführte Studie untersuchte, was die Deutschen über die im Mai 2018 in Kraft tretende europäische Datenschutzgrundverordnung (EU-DSGVO) wissen. Tatsächlich fast nichts. Aktuell kennen gerade einmal 5 Prozent der Deutschen ihre Rechte - eine Überraschung angesichts der Tatsache, dass der Schutz ihrer persönlichen Daten ein Thema ist, das ihnen am Herzen liegt: Zwei Drittel der Verbraucher geben ihre Daten nur an Unternehmen weiter, wenn es absolut nötig ist. Trotz des vorsichtigen Umgangs mit ihren Daten haben dennoch 45 Prozent keinen Überblick, wo ihre Daten genau gespeichert sind.

  • Ohne Daten fehlt häufig die Geschäftsgrundlage

    Mit Personendaten arbeiten zu können, ist für viele Unternehmen ein wichtiger Wettbewerbsfaktor. Für fast die Hälfte aller Unternehmen in Deutschland (46 Prozent) ist die Nutzung personenbezogener Daten sogar Grundlage des Geschäftsmodells. Das ist das Ergebnis einer repräsentativen Befragung unter mehr als 500 Unternehmen im Auftrag des Digitalverbands Bitkom. "Praktisch kein Unternehmen kann seine Geschäftstätigkeit ohne personenbezogene Daten durchführen - von der Kundenakquise bis zum Personalmanagement", sagt Susanne Dehmel aus der Bitkom-Geschäftsleitung. Im Vertrieb und im Marketing spielt die Nutzung personenbezogener Daten die größte Rolle. Zwei von drei Unternehmen (65 Prozent) geben dies an. Darüber hinaus sagen vier von zehn (40 Prozent), dass sie Produkte oder Dienstleistungen mit Hilfe von Personendaten verbessern. Dehmel: "Das hohe Datenschutzniveau in Europa muss in eine funktionierende Balance mit datenbasierten Produkten und Dienstleistungen gebracht werden, von denen gerade auch Verbraucher profitieren."

  • Umfrage zum Finanzwissen der Deutschen

    Zwei Drittel aller Deutschen haben sich nach eigenen Angaben bereits ernsthaft mit ihrer Altersvorsorge beschäftigt - unabhängig vom Geschlecht. Aber: Die Beschäftigung mit Geld und Finanzen ist für Frauen offenbar immer noch eher Pflichterfüllung als Herzensangelegenheit. Während mehr als die Hälfte der Männer in Deutschland ein sehr starkes oder starkes Interesse für Wirtschaftsthemen bekunden und sich in punkto Börsenwissen fit fühlen, interessieren sich 60 Prozent der Frauen kaum oder gar nicht für diese Themen. Über die Hälfte der Frauen stimmt mehr oder weniger der Aussage zu: "Von dem, was an der Börse geschieht, habe ich keine Ahnung".

  • DSGVO/GDPR-Bereitschaft von Unternehmen

    Eine neue Studie von IBM zeigt, dass fast 60 Prozent der befragten Unternehmen die Datenschutzgrundverordnung (DSGVO) als Chance zur Verbesserung der Privatsphäre, Sicherheit, Datenverwaltung und Katalysator für neue Geschäftsmodelle ansehen - weniger als ein Compliance-Problem oder ein Hindernis. Um Risiken zu reduzieren, zeigte die Studie, dass die Mehrheit der befragten Unternehmen bei den Daten, die sie sammeln und verwalten, selektiver vorgehen will. 70 Prozent der befragten Unternehmen gaben an, dass sie Daten vor Ablauf der Compliance-Frist entsorgen wollen.

Facebook am Arbeitsplatz: Ärgernis im Unternehmen? Soziale Netzwerke am Arbeitsplatz