Sonntag, der 31. März 2024, ein weltweit wichtiges Datum, ist inzwischen verstrichen. Warum sage ich das? Für alle Organisationen, die Zahlungen von Verbrauchern entgegennehmen, ist dies das Datum, an dem der Compliance-Standard PCI DSS 3.2.1 außer Kraft getreten ist (1. Mai 2018 bis 31. März 2024). Ihre Organisation befindet sich nun im Zeitplan für PCI DSS 4.0 und muss bis März 2025 einen mit Version 4.0 konformen SAQ ausgefüllt sowie ein Audit durch eine externe Organisation abgeschlossen haben. Die Nichteinhaltung von PCI DSS 4.0 ist keine Option, wenn Sie Umsätze aus Verbraucherzahlungen verbuchen möchten.
Die PCI-DSS-4.0-Spezifikation stellt gegenüber Version 3.2.1 eine umfassende Aktualisierung dar. Eine Zusammenfassung der Änderungen finden Sie hier. Version 4.0 führt zahlreiche Änderungen ein (darunter auch einen aktualisierten SAQ). Darüber hinaus gibt es zwei völlig neue Bereiche, die innerhalb der Gesamtstruktur abgesichert werden müssen, um die Compliance zu erreichen und dauerhaft aufrechtzuerhalten:
- Anwendungsprogrammierschnittstelle (API) [2.2.7; 6.2.3; 6.2.4]
- Maßgeschneiderte Software [6.X; 8.6.2; 12.8.1]
Der Einfachheit halber gehen wir nur auf einen Teil der „maßgeschneiderten Software“ etwas näher ein. Dabei handelt es sich um von der Organisation entwickelte Individualsoftware, die die Zahlungsabwicklung für Verbraucher erleichtert. Die maßgeschneiderte Software umfasst Folgendes:
- Intern entwickelt oder aus externen Drittanbieterquellen bezogen
- Software, die für die Zahlungsanwendung entwickelt wurde (serverseitige Transaktionsverarbeitung) oder an den Webbrowser des Verbrauchers übertragen wird (clientseitige Transaktionsverarbeitung), um die Datenerfassung zu ermöglichen
Für viele Organisationen wird es eine Herausforderung sein, die Sicherheit und PCI-DSS-Konformität maßgeschneiderter Software bis auf den Webbrowser des Verbrauchers auszuweiten (Anforderungen 6.4.1 und 11.6.1). Transaktionen abzusichern bedeutet nun, nicht nur die Serverseite zu schützen, sondern auch den Webbrowser des Verbrauchers zu überwachen und vor der von ihnen bereitgestellten „maßgeschneiderten Software“ zu schützen. Auch wenn die maßgeschneiderte Software (z. B. JavaScript) für den Webbrowser des Clients von einem Drittanbieter bezogen wird, entbindet dies den Zahlungsabwickler nicht von der Pflicht, sie zu überwachen und zu schützen. Der Versuch, die Verantwortung auf den Anbieter abzuwälzen, wird beim Prüfer nicht verfangen.
Welche Anforderungen gelten also für kundenspezifische clientseitige Software? Gemäß Abschnitt 6.4.1 läuft es auf Folgendes hinaus:
Alle Skripte der Zahlungsseite, die im Browser des Verbrauchers geladen und ausgeführt werden, werden wie folgt verwaltet:
- Es wurde eine Methode implementiert, mit der bestätigt wird, dass jedes Skript autorisiert ist.
- Es wurde eine Methode implementiert, um die Integrität jedes Skripts sicherzustellen.
- Es wird ein Verzeichnis aller Skripte geführt, in dem schriftlich begründet wird, warum jedes einzelne erforderlich ist.
Das bedeutet, dass sämtliche bereitgestellte Software (Skripte) inventarisiert, begründet und überwacht werden muss und ein Maßnahmenplan für den Fall vorliegen muss, dass eine Sicherheitsverletzung festgestellt wird. Ist Ihr App-/IT-Sicherheitsteam darauf vorbereitet, diese Anforderung zu verwalten, zu überwachen und darüber Bericht zu erstatten? Haben Sie und Ihr Team bereits mit Ihrem PCI-DSS-Auditor über die Terminplanung für die Compliance-Prüfung nach Version 4.0 gesprochen? Jetzt ist es an der Zeit, sicherzustellen, dass Ihr Sicherheits- und PCI-DSS-Compliance-Plan auf Kurs ist und weder Ihre Sicherheitsabläufe noch – was noch wichtiger ist – die Umsatzgenerierung Ihres Unternehmens beeinträchtigt. Denn der Zeitpunkt, zu dem Sie die Client-Seite Ihrer Transaktionen absichern müssen, um die Anforderungen von PCI DSS 4.0 zu erfüllen, ist viel näher, als Sie denken.
Über die Autoren
Ähnliche Blogbeiträge
F5 und Equinix bündeln ihre Kräfte, um die sichere Anwendungsbereitstellung in Multicloud-Umgebungen zu vereinfachen
F5 und Equinix ermöglichen es Unternehmen, sich weltweit sicher und zuverlässig mit ihren Partnern zu vernetzen.
API-Sicherheitsrisiken und -herausforderungen
Erfahren Sie, warum APIs für die moderne App-Entwicklung unverzichtbar sind und wie Sie sie vor den häufigsten Sicherheitslücken schützen. Profitieren Sie von Expertentipps und direkt umsetzbaren Strategien.
Ein Meilenstein für die Community Impact Grants von F5
F5 feiert das fünfjährige Bestehen seines innovativen Community Impact Grant-Programms, das gemeinnützige Organisationen, bei denen sich F5-Mitarbeitende ehrenamtlich engagieren, mit Fördermitteln in Höhe von 5.000 US-Dollar unterstützt.
Mit moderner, anpassungsfähiger und sicherer Gesundheits-IT Leben retten
Die IT-Investitionen im Gesundheitswesen tragen dazu bei, die schnellsten Wege zu einer besseren Versorgung zu finden, indem sie die medizinische Betreuung näher an die Patientinnen und Patienten bringen. Viele Gesundheitsunternehmen nutzen riesige Mengen an klinischen und anderen Gesundheitsdaten, um Entwicklungen zu verfolgen und übergreifende Trends in der gesamten Gesundheitslandschaft zu erkennen. Gleichzeitig nähern sie sich einer möglichst präzisen, individuell zugeschnittenen Versorgung an.
Verbesserung der Benutzer- und Administrationserfahrung durch sicheren hybriden Zugriff
Diese Kombination aus BIG-IP Access Policy Manager und Azure Active Directory ermöglicht Identitätsföderation, zentralisierten Benutzerzugriff (über Single Sign-on) und erhöhte Anwendungssicherheit (durch Multi-Faktor-Authentifizierung) für geschäftskritische Anwendungen sowie cloudbasierte und SaaS-Anwendungen. Dieser Ansatz vereinfacht die Einrichtung und Bereitstellung, reduziert den Verwaltungsaufwand und verbessert die gesamte Administration.
Das Internet der Sicherheitsdinge
Nein, das ist keine Tirade über die Sicherheit des IoT. Es ist eine Geschichte über Veränderung – genauer gesagt über Veränderung und ihre Auswirkungen auf die Sicherheit. Veränderung ist allgegenwärtig. Es gibt unzählige Axiome und Sprichwörter über Veränderung, also ist es ...