Vorbereitung auf die PCI-DSS 4.0-Konformität

Evaluieren Sie Ihre Infrastruktur und Prozesse zur Unterstützung der PCI-DSS-Anforderungen

Wichtige Updates und Zeitpläne für die neuen PCI-DSS 4.0-Anforderungen

PCI-DSS 4.0 führt Updates ein, um die Sicherheit der Karteninhaberdaten zu verbessern und den aktuellen Risiken und technologischen Fortschritten in der Zahlungskartenbranche Rechnung zu tragen. Die Änderungen ermöglichen es Unternehmen, maßgeschneiderte Sicherheitsmaßnahmen zu ergreifen, sofern sie nachweisen, dass sie die Sicherheitsziele einhalten. Außerdem wird die Multifaktor-Authentifizierung auf alle Zugriffe in der Umgebung der Karteninhaberdaten ausgedehnt und die Verschlüsselung in allen Netzwerken verstärkt. Darüber hinaus wird der kontinuierlichen Risikoanalyse und -minderung sowie der Verbesserung der Fähigkeiten zur rechtzeitigen Erkennung und Reaktion auf Sicherheitsvorfälle mehr Bedeutung beigemessen. Für diese neuen Anforderungen gibt es eine Übergangsfrist, damit Unternehmen Zeit haben, die neue Version einzuführen und gleichzeitig die Einhaltung der bestehenden Standards aufrechtzuerhalten.

Warum CISOs die neuesten PCI-DSS-Updates priorisieren sollten

Die Einhaltung dieser aktualisierten Standards ist nicht nur für die Einhaltung der Vorschriften von entscheidender Bedeutung, sondern auch für den Schutz vor neuen und aufkommenden Cyberbedrohungen und -risiken. Durch die Implementierung dieser Standards können Unternehmen gegen Verstöße gewappnet werden, wodurch ihr Ruf geschützt und potenziell hohe Bußgelder bei Nichteinhaltung vermieden werden.

Datum des Inkrafttretens von DSS 4.0: März 2024; aktualisiert bis März 2025.

PCI-DSS 4.0 betont, wie wichtig es ist, kontinuierliche Sicherheitsprozesse in den täglichen Geschäftsbetrieb zu integrieren

Compliance kann nicht nur eine einmalige Bewertung sein. Dieser Ansatz ist von entscheidender Bedeutung für CISOs, die in ihren Organisationen eine Kultur des Sicherheitsbewusstseins und des proaktiven Risikomanagements fördern sollen. Die Einführung von PCI-DSS 4.0 trägt auch dazu bei, den Geschäftswert zu steigern, indem eine robuste Sicherheitsinfrastruktur aufgebaut wird, die sichere Zahlungsumgebungen unterstützt.

Sind Ihre Entwickler bereit, konforme Software zu liefern?

Entwickler sind ein integraler — aber oft nicht ausgeschöpfter — Teil, wenn es darum geht, ein Höchstmaß an Softwaresicherheit zu erreichen. Es ist wichtig, dass Entwickler das Gesamtbild von PCI DSS 4.0 verstehen und wissen, was sie als Teil ihres Standardansatzes für einen Software-Build steuern und integrieren können.

Anforderung 6 des PCI DSS beschreibt die Erwartungen an die Entwicklung und Wartung sicherer Software

Dazu gehören eine Vielzahl von Themen, die von sicheren Entwicklungsstandards über Entwicklerschulungen bis hin zu Konfiguration und Änderungsmanagement reichen. Alle Organisationen, die Software entwickeln, die in einem Karteninhaber-Datennetzwerk (CHD) verwendet wird, müssen diese Vorschriften einhalten.

Wie in Anforderung 6.2.2 dargelegt, wird Softwareentwicklungspersonal, das an maßgeschneiderter und kundenspezifischer Software arbeitet, mindestens einmal alle 12 Monate wie folgt geschult:

• Über Softwaresicherheit, die für ihre Berufsfunktion und ihre Entwicklungssprachen relevant ist.
• Einschließlich sicherem Softwaredesign und sicheren Codierungstechniken.
• Einschließlich der Verwendung der Sicherheitstesttools zur Erkennung von Sicherheitslücken in Software.

Der Standard legt außerdem fest, dass die Schulung mindestens die folgenden Elemente umfassen sollte:

• Verwendbare Entwicklungssprachen
• Sicheres Softwaredesign
• Sichere Codierungstechniken
• Einsatz von Techniken/Methoden zum Auffinden von Sicherheitslücken im Code
• Verfahren zur Verhinderung der Wiedereinführung zuvor behebter Sicherheitslücken

Darüber hinaus sollten Entwickler mit ALLEN Angriffstechniken vertraut sein (beschrieben in Anforderung 6.2.4.) Dies beinhaltet eine Liste von Angriffskategorien, die als Beispiele dienen sollen:

• Injection-Angriffe, einschließlich SQL-, LDAP-, XPath- oder anderer Fehler vom Typ Befehl, Parameter, Objekt, Fehler oder Injektion.
• Angriffe auf Daten und Datenstrukturen, einschließlich Versuche, Puffer, Zeiger, Eingabedaten oder gemeinsam genutzte Daten zu manipulieren.
• Angriffe auf die Verwendung von Kryptografie, einschließlich Versuche, schwache, unsichere oder unangemessene kryptografische Implementierungen, Algorithmen, Verschlüsselungssammlungen oder Betriebsmodi auszunutzen.
• Angriffe auf die Geschäftslogik, einschließlich Versuche, Anwendungsmerkmale und -funktionen durch Manipulation von APIs, Kommunikationsprotokollen und -kanälen, clientseitigen Funktionen oder anderen System-/Anwendungsfunktionen und Ressourcen zu missbrauchen oder zu umgehen. Dazu gehören Cross-Site Scripting (XSS) und Cross-Site Request Forgery (CSRF).
• Angriffe auf Zugangskontrollmechanismen, einschließlich Versuche, Identifikations-, Authentifizierungs- oder Autorisierungsmechanismen zu umgehen oder zu missbrauchen, oder Versuche, Schwachstellen bei der Implementierung solcher Mechanismen auszunutzen.
• Angriffe über alle Sicherheitslücken mit „hohem Risiko“, die im Prozess zur Identifizierung der Sicherheitslücke identifiziert wurden, wie in Anforderung 6.3.1 definiert.

Wie Secure Code Warrior Ihnen helfen kann, PCI-DSS 4.0-Konformität zu erreichen

Die effektivste Option für Schulungen ist eine agile Lernplattform, bei der die Einhaltung von Vorschriften zum Nebenprodukt eines umfassenden Lernprogramms für sicheren Code wird. Insbesondere kann Secure Code Warrior Ihrem Unternehmen helfen, Sicherheitslücken zu reduzieren und die Produktivität der Entwickler zu steigern, indem:

• Bereitstellung eines soliden, konsistenten Verständnisses darüber, wie PCI-Daten geschützt werden können, indem Wissenslücken geschlossen und präzise Schulungen in den Sprachen und Frameworks angeboten werden, die Ihre Entwickler verwenden. Erfahren Sie mehr auf unserer Lernplattform.
• Wir bieten einen kontinuierlichen, messbaren und etablierten Prozess zur Überprüfung der Fähigkeiten an, um sicherzustellen, dass die Ausbildung aufgenommen und in die Praxis umgesetzt wird. Erfahren Sie mehr über unser Ready-Produkt sichere Code-Trainingspfade für Entwickler.
• Durchführung von Schulungen mit agilen Lernmethoden, die Just-in-Time-Lernphasen im Kontext ermöglichen. Generische, seltene Schulungen sind nicht mehr praktikabel und werden auch nicht die gewünschte Wirkung auf die Reduzierung von Sicherheitslücken haben. Erfahren Sie mehr über unsere unterstützte Sicherheitslücken.
• Unterstützung bei der Dokumentation von Sicherheitsschulungen und Codierungsstandards, nützlich für den Nachweis der Konformität bei PCI-DSS-Audits. Eine detailliertere Aufschlüsselung von PCI-DSS 4.0 finden Sie in unserem Whitepaper PCI DSS 4.0 entwirrt.

‍