- Anzeigen -

PCI DSS-Compliance oft nicht gewährleistet


Report: Die Compliance-Situation beim Umgang mit Zahlungskarten ist weiterhin "enttäuschend"
Nicht umgesetzte Compliance-Richtlinien erhöhen die Gefahr des Datenmissbrauchs


(13.10.11) - Viele Unternehmen haben immer noch Probleme, die gängigen Sicherheitsstandards beim bargeldlosen Zahlungsverkehr einzuhalten. Damit setzen sie die vertraulichen Informationen der Kartennutzer dem Risiko des Datendiebstahl und -missbrauchs aus. Dies belegt der aktuelle "Payment Card Industry Compliance Report" von Verizon, der nach 2010 nun bereits zum zweiten Mal erscheint.

Laut des Reports haben die meisten Unternehmen, die Kredit- und/oder Debitkarten akzeptieren, nach wie vor Mühe, die "Payment Card Industry Data Security Standard" (PCI DSS) einzuhalten. Somit gehen sie ein großes Risiko ein, vertrauliche Kundeninformationen zu verlieren und Opfer von Kreditkartenbetrug zu werden.

Bei Nichteinhaltung der Compliance drohen harte Strafen durch die Kreditkartenunternehmen, wie etwa Geldstrafen und höhere Gebühren für Transaktionen. Zudem fordern immer mehr Partner und Kunden, die offensichtliche Einhaltung der Richtlinien.

Im aktuellen Bericht von Verizon wird nicht nur die aktuelle Gesamtsituation bei der Einhaltung von PCI DSS analysiert, sondern auch, inwieweit sich die Unternehmen an die zwölf spezifischen PCI-Forderungen halten. Zusätzlich werden Empfehlungen ausgesprochen, wie Firmen Compliance erreichen und beibehalten können.

"Wir hatten gehofft, dass sich mittlerweile mehr Unternehmen an den PCI-Standard halten. Wir sind überzeugt, dass Compliance letztlich die Sicherheitslage im Unternehmen verbessert und insgesamt das Risiko von Datenmissbrauch senkt", sagt Wade Baker, Director of Risk Intelligence bei Verizon. "Der Report erklärt, wo Unternehmen den Schwerpunkt setzen sollten und wie sie unsere Empfehlungen umsetzen, um möglichst schnell PCI-Compliance zu erreichen. Unser Ziel ist eine sicherere Umgebung für Kreditkartengeschäfte, sowohl für Verbraucher als auch für Unternehmen.“

Ergebnisse des PCI-Reports basieren auf realen PCI-Prüfungen und Datenschutz
Grundlage des Berichts bilden die Ergebnisse von über 100 PCI DSS-Prüfungen, die 2010 von den sogenannten "PCI Qualified Security Assessors" von Verizon vorgenommen wurden. Außerdem wurden Daten verwendet, die von der "Verizon Investigative Response Group" während der Untersuchung von Datenverletzungen im Zusammenhang mit Zahlungskarten gesammelt wurden. Um den Resultaten noch mehr Stichhaltigkeit und Aussagekraft zu verleihen, wurden sie darüber hinaus vom "Verizon Risk Intelligence Team" mit dem "2011 Verizon Data Breach Investigations Report" verglichen.

Für den Bericht wurden Prüfungsergebnisse von Unternehmen mit Sitz in den Vereinigten Staaten, in Europa und in Asien herangezogen, wodurch erstmals der globalen Bedeutung des PCI-Standards Rechnung getragen wurde.

Die wichtigsten Erkenntnisse

• Die Compliance-Situation ist unverändert und damit weiterhin "enttäuschend".
Lediglich 21 Prozent der Unternehmen erfüllen schon beim ersten Audit die Bestimmungen. Als mögliche Gründe für die weitverbreitete Non-Compliance nennt der Bericht neben der Schwierigkeit, die Bestimmungen zu erfüllen, übermäßiges Selbstvertrauen, Ignoranz und Konzentration auf andere Compliance- und Sicherheitsthemen.

• Datenmissbrauch steht nach wie vor in direktem Zusammenhang mit mangelnder PCI-Compliance. Der Bericht verdeutlicht erneut, dass Firmen, bei denen es zu Datenmissbrauch gekommen ist, mit großer Wahrscheinlichkeit die PCI-Standards nicht erfüllen und wahrscheinlich Opfer von Identitätsdiebstahl und betrügerischen Absichten sind.

• Unternehmen haben mit wichtigen PCI-Anforderungen Probleme. Am meisten haben Firmen mit den Anforderungen 3 (Schutz gespeicherter Karteninhaberdaten), 10 (Nachverfolgung und Überwachung des Zugriffs), 11 (regelmäßiges Testen von Systemen und Prozessen) und 12 (Einhaltung von Sicherheitsrichtlinien) zu kämpfen. Diese Maßgaben stehen allesamt in direktem Zusammenhang mit dem Schutz von Karteninhaberdaten.

• Nachrangige Behandlung von Compliance bedeutet oft, dass stark risikobehaftete Sicherheitsbedrohungen ignoriert werden. 2009 wurde der sogenannte Prioritized Approach eingeführt. Er dient dazu, Unternehmen beim Reduzieren der Risiken für ihre Karteninhaberdaten zu unterstützen und das jährliche PCI-Verfahren zu erleichtern. Die Autoren des Reports kommen zu dem Schluss, dass Unternehmen sich lieber auf den PCI DSS verlassen, anstatt PCI-Compliance über einen risikobasierten Ansatz zu erreichen. Als Folge hiervon werden in vielen Firmen hochgradig risikobehaftete und potenziell gefährliche Bedrohungen mit denkbar weitreichenden Konsequenzen nicht gebührend beachtet.

• Der PCI-Standard bietet Schutz vor den gebräuchlichsten Angriffsmethoden. Malware und Hacking sind die vorherrschenden Methoden, um sich Zugang zu Karteninhaberdaten zu verschaffen. Mehrere einander überlappende PCI-Anforderungen zielen darauf ab, das Unternehmen vor solchen Angriffen zu schützen.

Empfehlungen zur Erfüllung der Compliance-Anforderungen

Ausgehend von einer umfassenden Analyse hat Verizon folgende Empfehlungen zusammengestellt, die Unternehmen beim Erreichen ihrer PCI-Compliance-Ziele unterstützen:

• Compliance als kontinuierlichen Routineprozess betrachten. Compliance erfordert unablässiges Einhalten des Standards. Dies bedeutet tägliche Log-Überprüfungen, wöchentliche Verifizierung des Schutzes von Dateien, vierteljährliches Scannen auf Schwachstellen und jährliche Penetrationstests. Zu diesem Zweck empfiehlt Verizon, einen internen PCI-"Champion“ damit zu beauftragen, dass Compliance Teil der normalen Geschäftstätigkeit wird.

• Eine eigenständige Beurteilung ist, falls überhaupt, mit äußerster Umsicht vorzunehmen. Level-1- und -2-Händler, die für die größten Volumina an Kartentransaktionen verantwortlich sind, dürfen selbst beurteilen, ob der Standard bei ihnen eingehalten wird. Da es hierbei zu zahlreichen Problemen und Interessenkonflikten kommen kann, empfiehlt Verizon dringend, dass ein objektiver Dritter den Umfang der Beurteilung überprüft oder die Tests übernimmt.

• Sie darauf vorbereitet, die Latte höher legen zu müssen. Im Oktober 2010 stellte das PCI Security Standards Council die PCI DSS-Version 2.0 vor. Die neue Version verlangt eine noch stringentere Executive Summary und Bewertungsmethode bei der Definition des Umfangs. Unternehmen, die bereits mit den aktuellen Standards größere Schwierigkeiten haben, sollten sich dringend auf die neue Version vorbereiten.
(Verizon: ra)

Verizon Business: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -




Kostenloser Compliance-Newsletter
Ihr Compliance-Magazin.de-Newsletter hier >>>>>>


Meldungen: Studien

  • Ist Versicherungsbetrug einfach?

    Etwa jeder elfte Versicherungsnehmer hat seine Versicherung betrogen. Hochgerechnet haben etwa 2,4 Millionen Versicherungsnehmer (9 Prozent) nach eigener Aussage schon mal bewusst Falschangaben bei einem "Versicherungsfall" gemacht. Dies ist ein Ergebnis der aktuellen Studie der Creditreform Boniversum GmbH "Versicherungen - Schadensfälle und Falschangaben". 78 Prozent der Verbraucher sind zudem der Meinung, dass bewusste Falschangaben bei Schadensfällen reduziert oder verhindert werden könnten, wenn die Versicherungen die Schadensfreiheit der Verbraucher belohnen würden. Die Deutschen sind versicherungsbewusst: Rund 93 Prozent der Verbraucher haben derzeit Versicherungen in den Sparten Hausrat, Wohngebäude, Privathaftpflicht, KFZ-Haftpflicht oder KFZ-Kasko abgeschlossen. Von den etwa 57 Millionen Versicherungsnehmern haben ca. 26 Millionen mindestens einen Schadensfall in den vergangenen fünf Jahren gemeldet. Dies belegt die aktuelle Boniversum-Umfrage, an der 1.008 Verbraucher (von 18 bis 69 Jahre) teilgenommen haben.

  • Eigenschaften von Aufsichtsräten

    Banken mit einer größeren Diversity des Aufsichtsrats in Bezug auf Geschlecht, Vertretung der Mitarbeiter, Internationalität und Alter verzeichnen laut einer neuen Studie der Cass Business School eine höhere und stabilere Leistung. In einem Artikel mit dem Titel The performance effects of board heterogeneity: What works for EU banks? haben Forscherinnen die Auswirkung der Durchmischung in den Aufsichtsräten auf die Leistung von Banken in der EU zwischen 2007 und 2015 studiert, d. h. während und nach der weltweiten Finanzkrise. Dabei haben sie die typischen Eigenschaften von Aufsichtsräten (Art, Dauer des Mandats, Größe des Aufsichtsrats und Alter der Mitglieder) sowie deren Merkmale von Diversity untersucht (geschlechtliche Durchmischung, Vertretung der Mitarbeiter, Internationalität und unterschiedliche Altersstufen). Daneben machen sie Vorschläge für einen Diversity-Index, der die verschiedenen Kriterien berücksichtigt.

  • Das Audit-Kerngeschäft unterliegt starkem Wandel

    Schon seit geraumer Zeit wird das Portfolio der Wirtschaftsprüfungs-Gesellschaften (WP) durch diverse Marktentwicklungen beeinflusst. Themen wie Business Analytics und Big Data spielen ebenso eine zentrale Rolle wie IT Audit, Legal Tech und Prop Tech. Aber auch Diversifizierungen, interdisziplinäre Ansätze und neue Themenfelder der Mandanten sowie die Weiterentwicklung von Produkten und Leistungen führen zu Veränderungen innerhalb des Leistungsspektrums der WP-Gesellschaften. Das zeigt die neue Lünendonk-Studie "Führende Wirtschaftsprüfungs- und Steuerberatungs-Gesellschaften in Deutschland", die ab sofort erhältlich ist.

  • Behörden speichern die meisten Bilder

    Firmen investieren viel Aufwand und Zeit dafür, ihre Daten zu pflegen und zu sichern. Dennoch sind 42 Prozent der Datenbestände bei den meisten Unternehmen entweder verstaubt (Datei wurde in drei Jahren kein einziges Mal modifiziert) oder uralt (Datei wurden in sieben Jahren kein einziges Mal verändert). Das zeigen Analysten von Veritas Technologies. Die Menge der Daten wächst jährlich um 49 Prozent. Gleichzeitig nimmt die Dateigröße pro Jahr um durchschnittlich 23 Prozent zu. Zusätzlich zu dieser Datenflut müssen Firmen die verschärften Vorschriften der Datenschutz-Grundverordnung (DSGVO) umsetzen. Sie räumt Verbrauchern unter anderem das Privileg ein, ihre personenbezogenen Daten bei Firmen komplett löschen zu lassen oder von Unternehmen eine genaue Aufstellung dieser Daten zu verlangen. Unternehmen sollten dann in der Lage sein, auch die verstaubten und uralten Daten zu durchleuchten und zu kategorisieren, um darin personenbezogene Daten aufzuspüren.

  • Cyberkriminelle profitieren von Datenpannen

    Pindrop hat ihren " Pindrop Voice Intelligence Report 2018" veröffentlicht. Wie die globale Untersuchung zeigt, hat die Zahl der Betrugsdelikte via Telefon stark zugenommen und ist weiter im Steigen begriffen. Die Gesamt-Betrugsrate im Sprachkanal ist von 2016 (ein Betrug pro 937 Anrufe) bis 2017 (einer von 638 Anrufen) um 47 Prozent gestiegen. Der Aufwärtstrend vom Vorjahr - mit einer Zunahme von 113 Prozent - setzt sich also weiter fort. In den letzten vier Jahren hat sich die Betrugsrate um mehr als 350 Prozent erhöht, und es gibt keine Anzeichen für eine Verlangsamung. Hinter diesem Anstieg stehen insbesondere zwei Gründe. Erstens trägt die Häufung von Datenlecks zu dem Problem bei, was auch nicht verwundert, da sich die Cyberkriminalität mittlerweile zu einer 1,2 Millionen Euro schweren Industrie entwickelt hat.