PCI DSS v4.0.1-Anforderung an CBOM: Eine Kurzanleitung

In der heutigen digitalen Welt ist starke Kryptografie die Grundlage für effektiven Datenschutz. Für Branchen, die mit sensiblen Informationen wie Kreditkartendaten umgehen, ist die Implementierung starker kryptografischer Kontrollen nicht optional, sondern obligatorisch. Mit der Veröffentlichung von PCI-DSS v4.0ist eine neue Ära der Compliance angebrochen, in der Flexibilität, risikobasierte Ansätze und mehr Transparenz im Vordergrund stehen. 

Zu den neuen Konzepten, die zur Erreichung dieser Transparenz beitragen, gehört die Kryptografische Stückliste (CBOM), ein umfassendes Inventar aller kryptografischen Komponenten, die in einem System, einer Anwendung oder einer Infrastruktur verwendet werden. Vorausgesetzt, Sie sind mit den Themen PCI DSS und CBOM bereits vertraut, geben wir Ihnen nur einen kurzen Überblick und springen dann direkt zum Abschnitt mit den Anforderungen. 

Was ist PCI DSS?

Das Branchenstandard für die Datensicherheit der Zahlungskarten (PCI DSS) ist eine Reihe von Sicherheitsstandards, die sicherstellen sollen, dass alle Unternehmen, die Kreditkarteninformationen verarbeiten, speichern oder übermitteln, eine sichere Umgebung gewährleisten. Sie wurde 2004 von großen Kreditkartenunternehmen wie Visa, MasterCard, American Express, Discover und JCB eingeführt. 

PCI-DSS 4.0.1 ist eine geringfügige Überarbeitung der Version 4.0, die vom PCI Security Standards Council (PCI SSC) veröffentlicht wurde. Ziel ist es, Feedback zur Implementierung zu berücksichtigen, Tippfehler zu beheben und die Kontrollen übersichtlicher zu gestalten, ohne die Kernabsicht von Version 4.0 zu ändern. 

Wichtige Schwerpunktbereiche in PCI DSS 4.0.1: 

1. Erhöhte Flexibilität bei der Umsetzung 
2. Schwerpunkt auf kontinuierlicher Sicherheit und Überwachung 
3. Strengere Authentifizierungsanforderungen 
4. Klarere Anleitung für kryptografische Operationen 
5. Verbesserte Erwartungen hinsichtlich Umfang und Segmentierung 

Was ist eine kryptografische Stückliste (CBOM)?

Eine Cryptographic Bill of Materials (CBOM) ist ein umfassendes Inventar aller kryptografischen Assets, die in einem System, einer Anwendung oder einer Softwareumgebung verwendet werden. Es ähnelt im Konzept einem Software-Stückliste (SBOM), konzentriert sich aber speziell auf kryptografische Komponenten und deren Abhängigkeiten. Es umfasst: 

1. Kryptografische Bibliotheken und Module (z. B. OpenSSL, BouncyCastle) 
2. Verwendete Algorithmen (z. B. AES-256, RSA-2048) 
3. Zertifikate und Schlüsselpaare 
4. Wichtige Verwaltungsmechanismen 
5. Hardware-Sicherheitsmodule (HSMs) oder Trusted Platform Modules (TPMs) 

Manche Benutzer verwechseln oft CBOM und SBOM. Der Unterschied ist sehr deutlich – Software-Stückliste (SBOM) ist ein Inventar aller Softwarekomponenten, aus denen eine Softwareanwendung besteht, während Kryptografische Stückliste (CBOM) konzentriert sich nur auf kryptografische Assets und die damit verbundenen Abhängigkeiten und ignoriert die übrigen Softwarekomponenten. 

Voraussetzung 12.3.3

„Die verwendeten kryptografischen Chiffrensammlungen und Protokolle werden mindestens alle 12 Monate dokumentiert und überprüft.“

Mit dieser Anforderung soll sichergestellt werden, dass Sie die Verschlüsselung nicht einfach einsetzen und dann vergessen. Stattdessen müssen Sie Ihre kryptografische Umgebung kontinuierlich überwachen und bewerten – ein Kernprinzip von CBOM. 

Lassen Sie uns nun die drei Unteranforderungen aufschlüsseln und analysieren, wie jede einzelne mit den Best Practices von CBOM übereinstimmt: 

1. Ein aktuelles Inventar aller verwendeten kryptografischen Chiffrensammlungen und Protokolle, einschließlich Zweck und Einsatzort. 

Was PCI DSS erwartet: Sie müssen genau wissen, welche Kryptografie in Ihrer Umgebung eingesetzt wird, warum sie verwendet wird und wo sie verwendet wird, einschließlich in Anwendungen, Systemen, APIs, Geräten und Diensten von Drittanbietern. 

CBOM-Relevanz: Dies ist der Kern von CBOM, d. h. ein strukturiertes, versioniertes Inventar aller kryptografischen Komponenten. 

Ein starkes CBOM sollte enthalten: 

• Verschlüsselungssammlungen (z. B. TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384) 
• Protokolle (z. B. TLS 1.2, TLS 1.3, IPsec, SSH) 
• Algorithms (z.B, RSA, ECDSA, AES, SHA-256) 
• Schlüssellängen und Konfigurationen 
• Zweck (z. B. „wird für REST-API-Daten während der Übertragung verwendet“) 
• Wo verwendet (z. B. „Web-Load-Balancer, SFTP-Server, Backend für mobile Apps“) 

2. Aktive Überwachung der Branchentrends hinsichtlich der fortgesetzten Funktionsfähigkeit aller verwendeten kryptografischen Verschlüsselungssammlungen und Protokolle. 

Was PCI DSS erwartet: Sie dokumentieren Ihre Kryptowährung nicht nur einmal, sondern achten kontinuierlich auf Veralterungen, bekannte Angriffe und Kryptoanalyseforschung, die die heutigen Algorithmen morgen unsicher machen könnten. 

CBOM-Relevanz: Eine CBOM ist nicht statisch, sie muss lebendig und anpassungsfähig sein. Das bedeutet: 

• Überwachungsquellen wie NIST, IETF, ISO und Sicherheitshinweise 
• Verstehen, wann ein Algorithmus von „genehmigt“ zu „nicht empfohlen“ oder „veraltet“ wechselt 
• Identifizieren Sie Risikopunkte in Ihrem CBOM, die von bald schwachen Krypto- 

3. Dokumentation eines Plans zur Reaktion auf erwartete Änderungen bei kryptografischen Schwachstellen 

Was PCI DSS erwartet: Was ist Ihr Plan, wenn eine verwendete Verschlüsselung oder ein Protokoll angreifbar wird? Sie sollten bereits einen Plan haben, bevor die Schwachstelle ausgenutzt wird. 

CBOM-Relevanz: CBOMs ermöglichen eine proaktive Behebung durch: 

• Hilft Ihnen, sofort zu finden, wo ein veralteter Algorithmus verwendet wird 
• Priorisierung der Sanierung basierend auf Gefährdung und Kritikalität 
• Abbildung von Krypto-Abhängigkeiten (z. B. „TLS 1.2 wird von unserem Hauptanmeldeportal und 6 Microservices verwendet“) 

Ihr Plan könnte Folgendes umfassen: 

• Chronik: zB, veralten TLS 1.0 innerhalb von 30 Tagen 
• Rückfälle: Unterstützt TLS 1.3 mit starker Verschlüsselungsaushandlung 
• Stakeholders: Wer ist für das Testen und Bereitstellen der Änderung verantwortlich? 
• Validierungsschritte: Sicherstellen der kryptografischen Stärke vor der Inbetriebnahme 

Wie können Organisationen CBOM implementieren?

Um die Anforderung 12.3.3 zu erfüllen und echte Krypto-Sichtbarkeit zu erreichen, müssen Organisationen CBOM als Teil ihres Sicherheits- und Compliance-Lebenszyklus operationalisieren. 

1. Entdeckung und Inventar
   • Scannen Sie Umgebungen mit Tools wie nmap, sslscan oder benutzerdefinierten API-Hooks
   • Dokumentieren Sie alle Verschlüsselungssammlungen, Zertifikate, Schlüssel, Algorithmen und Bibliotheken
2. Klassifizierung und Kontext
   • Definieren Sie den Zweck jeder kryptografischen Komponente
   • Verknüpfen Sie Komponenten mit Anwendungen, Diensten, APIs oder Endpunkten
3. Versionskontrolle und Speicherung
   • Speichern Sie die CBOM in einem versionskontrollierten Repository
   • Verfolgen Sie alle Änderungen, Patches und Upgrades im Laufe der Zeit
4. Validierung und Verifizierung
   • Testen Sie Konfigurationen regelmäßig mit automatisierten Tools
   • Integrieren Sie die Kryptovalidierung in CI/CD-Pipelines
5. Überwachung und Alarmierung
   • Abonnieren Sie Bedrohungsinformationsquellen (z. B. NIST, IETF, CVE-Feeds)
   • Automatisieren Sie Warnungen für veraltete oder unsichere Algorithmen
6. Governance und Eigentum
   • Weisen Sie den kryptografischen Eigentümern die Verantwortung zu
   • Planen Sie jährliche Überprüfungen im Einklang mit PCI DSS-Bewertungen
7. Planen Sie Krypto-Agilität
   • Stellen Sie sicher, dass die Systeme so konzipiert sind, dass sie problemlos zwischen Verschlüsselungen und Protokollen wechseln können.
   • Pflegen Sie einen Ausmusterungsplan für veraltete Komponenten

Wie kann Encryption Consulting helfen?

Um die Komplexität von PCI DSS v4.0.1 zu bewältigen, insbesondere die neuen Erwartungen an kryptografische Transparenz und die Cryptographic Bill of Materials (CBOM), ist mehr als nur die Einhaltung von Kontrollkästchen erforderlich. Es erfordert eine strategische Ausrichtung, ein tiefes technisches Verständnis und einen klaren Aktionsplan. 

Bei Encryption Consulting sind wir spezialisiert auf die Bereitstellung von End-to-End Compliance-Dienste zugeschnitten auf die individuelle Risikolandschaft Ihres Unternehmens. Unsere strukturierten Bewertungen helfen Ihnen, kryptografische Assets zu identifizieren, Dokumentationslücken aufzuzeigen und Risiken im Zusammenhang mit nicht dokumentierten oder veralteten Algorithmen aufzudecken. Darauf aufbauend entwickeln wir einen umsetzbaren, priorisierten Fahrplan, der Sie dabei unterstützt, Ihre Ziele zu erreichen und zu halten. PCI DSS-Bereitschaft einschließlich der Vorbereitung auf zukünftige CBOM-bezogene Anforderungen. 
 
Unser Ansatz umfasst diese wesentlichen Bereiche: 

• Kryptografische Bestandsaufnahme und Erkennung: Wir bewerten Ihre Umgebung, um ein detailliertes kryptografisches Inventar zu erstellen und Ihnen dabei zu helfen, Schlüssel, Zertifikate, Algorithmen und Bibliotheken in Ihren Systemen zu identifizieren. 
• Lückenanalyse im Hinblick auf PCI DSS und CBOM-Bereitschaft: Unsere Bewertungen zeigen, wo aktuelle Praktiken möglicherweise hinter den neuen Erwartungen zurückbleiben, einschließlich des kryptografischen Lebenszyklusmanagements. 
• Fahrplan für die Sanierung: Wir liefern einen praktischen, schrittweisen Fahrplan mit klaren Abhilfemaßnahmen und übernehmen Best Practices für eine nachhaltige Einhaltung. 
• Fachkundige Beratung : Unsere Berater arbeiten in jeder Phase eng mit Ihrem Team zusammen, sorgen für Klarheit und gewährleisten die Übereinstimmung sowohl mit den aktuellen PCI DSS-Kontrollen als auch mit zukünftigen CBOM-Anforderungen.

Fazit

Die PCI DSS 4.0.1-Anforderung 12.3.3 ist mehr als nur ein Kontrollkästchen. Sie ist ein strategisches Mandat zum Verständnis, zur Überwachung und zum Management kryptografischer Risiken. In einer Welt, in der Algorithmen schnell veralten und Angreifer immer raffinierter werden, ist kryptografische Transparenz unverzichtbar. 

Ein CBOM fungiert als lebendiger Entwurf Ihrer kryptografischen Umgebung. Es unterstützt Sicherheitsteams, Compliance-Auditoren, Entwickler und Führungskräfte dabei, fundierte, risikobasierte Entscheidungen zur kryptografischen Hygiene zu treffen. 

Durch die Implementierung eines CBOM: 

• Sie sind besser auf die Einhaltung von PCI DSS 4.0.1 vorbereitet 
• Sie reduzieren die Zeit, die Sie für die Reaktion auf Krypto-Schwachstellen benötigen 
• Sie steigern Ihre allgemeine kryptografische Governance-Reife