Wichtige Änderungen in PCI DSS 4.0.1, die Sie kennen sollten

Ist der Payment Card Industry Data Security Standard (PCI DSS) v3.2.1 nicht gerade erst am 31. März 2024 ausgelaufen und durch PCI DSS v4.0 ersetzt worden?

Ja, und nochmals ja.

Um jedoch auf die Rückmeldungen und Fragen einzugehen, die nach der Veröffentlichung von PCI DSS v4.0 eingegangen waren, beschloss das PCI Security Standards Council (PCI SSC), eine begrenzte Überarbeitung des Standards zu veröffentlichen: PCI DSS v4.0.1. (Wenn PCI DSS v4.0 am 31. Dezember 2024 außer Kraft tritt, wird v4.0.1 der einzige aktive, vom PCI SSC unterstützte Standard sein.)

PCI DSS v4.0.1 enthält mehrere wichtige Änderungen, die Sie bei der Aktualisierung oder Erweiterung Ihrer Transaktionssicherheit und Compliance berücksichtigen sollten. Der Kürze halber behandelt dieser Blog nur die Änderungen und Aktualisierungen, die von den F5-Lösungen für Anwendungs- und API-Sicherheit abgedeckt werden. Eine vollständigere Liste der Änderungen finden Sie auf der Website des PCI SSC.

Die wichtigsten Aktualisierungen in PCI DSS v4.0.1 sollen den Geltungsbereich der clientseitigen Sicherheitsanforderungen klarstellen.

Wer ist wofür verantwortlich?

Anforderung 6.4.3

Diese Anforderung besagt, dass alle Skripte auf Zahlungsseiten, die im Browser des Verbrauchers geladen und ausgeführt werden, wie folgt verwaltet werden müssen:

• Es wurde eine Methode implementiert, mit der bestätigt wird, dass jedes Skript autorisiert ist.
• Es wurde eine Methode implementiert, um die Integrität jedes Skripts sicherzustellen.
• Es wird ein Verzeichnis aller Skripte geführt, das für jedes Skript eine schriftliche geschäftliche oder technische Begründung enthält, warum es erforderlich ist.

In der Regel verlassen sich Händler bei der Zahlungsabwicklung auf Zahlungsdienstleister oder Drittanbieter (PSPs bzw. TPSPs). Die Zahlungsabwicklung bestimmt, auf welche Weise ein Verbraucher die erworbenen Waren oder Dienstleistungen bezahlt. Diese PCI-Anforderung führte zu Unklarheiten hinsichtlich des Verantwortungsmodells für Szenarien, in denen Händler Inlineframes (iFrames) von PSPs/TPSPs verwendeten, die die Zahlungsseite enthielten. Ein iFrame ist im Wesentlichen eine kleine Webseite, die für eine bestimmte Funktion eingebettet wird. Auch darin können Skripte ausgeführt werden, wodurch der iFrame denselben Risiken ausgesetzt ist wie die übergeordnete Webseite. Müssen iFrames daher dieselben PCI-Anforderungen erfüllen wie übergeordnete Seiten?

Das Update auf Version 4.0.1 stellt klar, dass Händler nur für das Skript verantwortlich sind, das auf ihrer eigenen Seite (der übergeordneten Seite) ausgeführt wird, nicht jedoch für Skripte, die in iFrames von PSPs/TPSPs ausgeführt werden.

Best Practice: Der Händler ist dafür verantwortlich, mit dem Anbieter der PSP-/TPSP-iFrame-Seiten zusammenzuarbeiten, um deren Konformität und Sicherheit zu gewährleisten. Erfüllt der Händler diese Anforderung nicht, besteht die Gefahr von Zahlungsbetrug, der zu Geschäftsverlusten und einer eingehenden Prüfung durch den PCI Security Standards Council führen kann.

Anforderung 11.6.1

Ähnliche Klarstellungen wurden auch zu Anforderung 11.6.1 aufgenommen, wobei der Schwerpunkt auf dem sicherheitsrelevanten System aus HTTP-Headern und Skripten liegt, die vom Browser des Verbrauchers empfangen werden. Dies ist eine wichtige Änderung, da PCI deutlich macht, dass der Fokus auf den mit dieser Anforderung verbundenen Risiken liegt, anstatt einen umfassenderen Schutz vor Vorfällen mit HTTP-Headern und Skripten zu verlangen, die nicht sicherheitsrelevant sind.

Darüber hinaus gibt es Aktualisierungen zum Verantwortlichkeitsmodell für von PSP/TPSP eingebettete iFrames. Darin wird klargestellt, dass der Händler nur für die übergeordnete Webseite verantwortlich ist, während der PSP/TPSP-Anbieter für die sicherheitsrelevanten HTTP-Header und Skripte verantwortlich ist, die in seinen iFrames dargestellt werden.

Die Zeit läuft

Da bis zur Frist im März 2025 für die Umsetzung der neuen Anforderungen weniger als neun Monate verbleiben, müssen sich Unternehmen mit allen komplexen Aspekten der vorgeschlagenen Änderungen und der Einhaltung von PCI DSS v4.0.1 auseinandersetzen.

F5 und PCI DSS v4.0.1

F5 Distributed Cloud Web App and API Protection (WAAP), Distributed Cloud Bot Defense, Distributed Cloud Client-Side Defense und Mobile App Security Suite von F5 Distributed Cloud Services bilden die Grundlage für den Schutz der gesamten Transaktion zwischen Unternehmen und Verbrauchern. Bei clientseitigen Skripten kann Distributed Cloud Client-Side Defense die erforderliche Transparenz und Kontrolle bereitstellen, um die Compliance zu gewährleisten. F5 Distributed Cloud Services ist derzeit PCI-DSS-v4.0-konform und wird regelmäßig von einer zugelassenen Wirtschaftsprüfungsgesellschaft auf die Einhaltung der Vorgaben geprüft. Unternehmen müssen bis zum 1. Januar 2025 PCI-DSS-v4.0.1-konform sein, und die Fragebögen zur Selbsteinschätzung müssen entsprechend aktualisiert werden.

Nicht zuletzt müssen Organisationen, die den PCI-DSS-Anforderungen unterliegen, in den kommenden Quartalen mit Änderungen an den folgenden Dokumenten rechnen:

• Fragebögen zur Selbsteinschätzung (SAQs)
• Konformitätsbericht (ROC)
• Konformitätsbescheinigungen (AOCs)

Bewährte Vorgehensweise: Beobachten Sie https://blog.pcisecuritystandards.org im Hinblick auf Aktualisierungen oder Überarbeitungen der Standards und stimmen Sie sich mit Ihrem PCI-DSS-Auditor ab, um sicherzustellen, dass Ihre Organisation auf dem richtigen Weg ist, die PCI-DSS-Anforderungen zu erfüllen.

Weitere Informationen finden Sie unter f5.com/products/distributed-cloud-services.