De Payment Card Industry Data Security Standard (PCI DSS) is een reeks beveiligingsvereisten, beheerd door de PCI Security Standards Council, waaraan elke organisatie die kaartgegevens van kaarthouders opslaat, verwerkt of verzendt, moet voldoen om zich te beschermen tegen diefstal en fraude.
PCI DSS is een wereldwijde beveiligingsstandaard, momenteel versie 4.0.1, die vereist dat organisaties die kaartgegevens verwerken, firewalls onderhouden, gegevens tijdens de overdracht versleutelen, toegang beperken tot wat noodzakelijk is en beveiligingssystemen regelmatig testen. De standaard is van toepassing overal waar kaartgegevens worden opgeslagen, verwerkt of verzonden, inclusief in de cloud.
Key Takeaways
- PCI DSS is in 2004 opgericht door grote kaartfabrikanten en wordt nu beheerd door de PCI Security Standards Council.
- PCI DSS versie 4.0.1 is de huidige standaard; deze versie legt, in vergelijking met versie 3.2.1, strengere eisen op het gebied van authenticatie, encryptie en continue monitoring.
- PCI DSS is van toepassing op elke omgeving, inclusief cloudinfrastructuur, waar kaartgegevens van kaarthouders worden opgeslagen, verwerkt of verzonden.
- Compliance vereist dat zowel de infrastructuur van de cloudserviceprovider als het gebruik van die omgeving door de klant worden gevalideerd wanneer kaartgegevens in de cloud terechtkomen.
- De twaalf oorspronkelijke vereisten van de standaard vormen nog steeds de operationele basis van een PCI DSS-beoordeling.
Wat zijn de belangrijkste PCI DSS-vereisten?
Zorg voor een beleid dat gericht is op informatiebeveiliging voor al het personeel.
Installeer en onderhoud een firewallconfiguratie om kaarthoudergegevens te beschermen.
Gebruik geen door de leverancier geleverde standaardwaarden voor systeemwachtwoorden en andere beveiligingsparameters.
Bescherm opgeslagen kaarthoudergegevens.
Versleutel de overdracht van kaarthoudergegevens via open, openbare netwerken.
Gebruik antivirussoftware of -programma's en update deze regelmatig.
Ontwikkelen en onderhouden van veilige systemen en applicaties.
Beperk de toegang tot kaartgegevens tot diegenen die deze gegevens nodig hebben voor de bedrijfsvoering.
Wijs een unieke ID toe aan elke persoon met computertoegang.
Beperk de fysieke toegang tot kaarthoudergegevens.
Volg en bewaak alle toegang tot netwerkbronnen en kaarthoudergegevens.
Test regelmatig beveiligingssystemen en -processen.
Hoe is PCI DSS van toepassing op cloudomgevingen?
Wanneer kaartgegevens van kaarthouders worden opgeslagen, verwerkt of verzonden in een cloudomgeving, is PCI DSS direct van toepassing op die omgeving. Een beoordeling moet dan twee zaken valideren: de eigen infrastructuurbeheersmaatregelen van de cloudserviceprovider en de manier waarop de klant die omgeving configureert en gebruikt, aangezien een onjuist geconfigureerde clientomgeving een anderszins conforme cloudserviceprovider kan ondermijnen.
Hoe encryptieconsultancy kan helpen
De Compliance Advisory Services en Cloud Data Protection Services van Encryption Consulting helpen organisaties bij het versleutelen van kaartgegevens, zowel in rust als tijdens transport, het beheren van de sleutels achter die versleuteling en het valideren van cloudconfiguraties volgens de huidige vereisten van PCI DSS 4.0.1. Ondersteund door ISO/IEC 27001:2022 en SOC 2-gecertificeerde werkwijzen.
Veelgestelde Vragen / FAQ
Welke versie van PCI DSS is momenteel van kracht?
PCI DSS versie 4.0.1 is de huidige standaard waaraan organisaties worden getoetst. Deze versie bouwt voort op versie 3.2.1 en stelt strengere eisen aan authenticatie, encryptie en continue beveiligingsmonitoring.
Is PCI DSS van toepassing als ik een cloudprovider gebruik om betalingen te verwerken?
Ja. PCI DSS is van toepassing op elke omgeving waar kaartgegevens van kaarthouders worden opgeslagen, verwerkt of verzonden, inclusief cloudinfrastructuur. Een beoordeling omvat zowel de beheersmaatregelen van de cloudserviceprovider als de configuratie en het gebruik van die omgeving door de klant.
Wie heeft PCI DSS ontwikkeld?
PCI DSS is in 2004 opgericht door grote betaalkaartmerken en wordt tegenwoordig beheerd door de PCI Security Standards Council, een onafhankelijk orgaan dat verantwoordelijk is voor de ontwikkeling, verbetering en promotie van de standaard.
Wat is het verschil tussen PCI DSS-vereiste 3 en vereiste 4?
Vereiste 3 heeft betrekking op de bescherming van opgeslagen kaartgegevens, voornamelijk door middel van encryptie en het verwijderen van gegevens uit de opslag. Vereiste 4 heeft betrekking op het versleutelen van kaartgegevens tijdens de overdracht via openbare netwerken, voornamelijk via TLS.
Versleutel en bescherm kaartgegevens
Zet de volgende stap
Encryption Consulting helpt u bij het versleutelen van kaartgegevens, zowel in rust als tijdens transport, en bij het beheren van de sleutels die u volgens PCI DSS 4.0.1 moet beschermen. Vereenvoudig uw compliance-traject met Nalevingsadviesdiensten.