PCI-DSS
PCI-Sicherheitsstandards unterstützen Ihr Geschäft
Der Schutz von Karteninhaberdaten hat oberste Priorität. Hierzu haben Visa und MasterCard Sicherheitsprogramme für die Datenverarbeitung und Datenhaltung entwickelt und diese zum einheitlichen PCI-DSS (Payment Card Industry Data Security Standard) zusammengeführt. PCI-DSS definiert Sicherheitsanforderungen für die Entgegennahme, Weiterleitung und Speicherung von Kredit- oder Debitkartendaten.
Alle Unternehmen, die mit vertraulichen Daten arbeiten, müssen diese Anforderungen einhalten und durch entsprechende Zertifizierungen nachweisen. Wenn Sie selbst keine Daten von Karteninhabern in Ihren Systemen speichern, sollten Sie in Ihrem eigenen Interesse darauf achten, dass Unternehmen, mit denen Sie beispielsweise bei der Abwicklung von Transaktionen oder beim Zugriff auf Kartendaten zusammenarbeiten, die PCI-DSS-Vorschriften einhalten.
Denn leider gehört Kartenmissbrauch heute zur festen Realität. Jedes Unternehmen, das Karteninhaberdaten speichert oder übermittelt, ist ein potenzielles Opfer. Doch dank PCI-DSS kann das Risiko für alle beteiligten Parteien minimiert werden:
- Durch PCI-DSS schützen Sie die Datensicherheit Ihrer Kunden.
- Durch PCI-DSS erhöhen Sie das Vertrauen Ihrer Kunden.
- Durch PCI-DSS beugen Sie finanziellen Verlusten und Schadenersatzforderungen vor.
- Durch PCI-DSS führen Sie eine vollständige Überprüfung aller Bereiche durch, in denen Kundeninformationen gespeichert oder übermittelt werden.
Wie PCI-DSS in Ihrem Unternehmen Anwendung findet und wie Sie die Vorschriften umsetzen, hängt von folgenden Anforderungen ab:
- Größe und Art Ihres Geschäfts
- Konfiguration Ihrer Kartenakzeptanzsysteme und Kartenzahlungsabwicklung
- Rolle Ihres Service-Dienstleisters
Von diesen Faktoren ausgehend, sind individuelle Schritte nötig, um den PCI-DSS-Vorgaben zu entsprechen. Im Wesentlichen müssen 12 Anforderungen erfüllt werden:
- Installation und regelmäßige Aktualisierung einer Firewall zum Schutz von Kartendaten
- Keine Verwendung vorgegebener Werte für System-Passwörter oder andere Sicherheitsparameter
- Daten, Karten- und Transaktionsdaten nicht unnötig speichern, wie etwa die vollständige Kartennummer, Daten der Magnetstreifenspuren, Kartenprüfnummer (CVV2/CVC2) oder PIN
- Verschlüsselte Übertragung von Karteninhaberdaten und sensiblen Informationen in offenen Netzwerken
- Verwendung und regelmäßige Aktualisierung einer Anti-Viren-Software
- Entwicklung und Verwendung sicherer Systeme und Anwendungen
- Beschränkung des Datenzugriffs – ausschließlich für geschäftliche Zwecke
- Zuteilung einer persönlichen ID für jede Person mit Zugang zum Computersystem
- Zugriffsberechtigungen im Zusammenhang mit sensiblen Karteninhaberdaten einschränken
- Nachvollziehbarkeit und Überwachung aller Zugriffe auf Netzwerk-Ressourcen und Karteninhaberdaten
- Regelmäßige Überprüfung von Sicherheitssystemen und Prozessabläufen
- Unternehmensrichtlinie, die das Thema Informationssicherheit regelt
