Wat is PCI DSS?

De Payment Card Industry Data Security Standard, beter bekend als PCI DSS, is een reeks richtlijnen die beschrijft hoe u zowel uzelf als uw klanten veilig kunt houden bij het accepteren van betalingen. Aangezien dit een branchebrede verplichting is, verwacht elke aanbieder die namens u betalingen verwerkt dat u de PCI DSS serieus. De PCI Security Standards Council (PCI SSC) is een onafhankelijke organisatie die verantwoordelijk is voor het handhaven van de PCI DSS, die tot doel heeft de veiligheid van betaalkaarttransacties te vergroten en creditcardfraude te verminderen.

Dienstverleners en handelaren zijn de twee soorten organisaties die PCI-rapporten moeten indienen. De vereisten voor PCI DSS-naleving verschillen afhankelijk van het aantal kaartbetalingen dat een handelaar jaarlijks verwerkt. Hogere betalingsvolumes vereisen strengere regelgeving, omdat ze gepaard gaan met een verhoogd risico op beveiligingsproblemen. Deze drempels worden vaak vastgesteld door de acquirer van een dienstverlener of handelaar. De kaartmerken bepalen de transactievolumes, die onderling enigszins verschillen.

PCI DSS 4.0

De PCI SSC heeft onlangs versie 4.0 van de PCI DSS uitgebracht. Sinds de eerste release van de PCI DSS achttien jaar geleden vertegenwoordigt deze meest recente editie de meest ingrijpende verandering. De werkzaamheden die nodig zijn om te voldoen aan PCI DSS 4.0 mogen niet over het hoofd worden gezien, aangezien deze wijzigingen met zich meebrengen, zoals het vereisen van geauthenticeerde kwetsbaarheidsscans, het vereisen van multifactorauthenticatie voor alle toegang tot kaartgegevensomgevingen (CDE) en het vereisen van regelmatigere scopevalidatie voor specifieke sectoren. Hoewel 31 maart 2024, de dag waarop PCI DSS wordt geïmplementeerd, nog ver weg lijkt, moeten leidinggevenden, IT-beveiligingsprofessionals en compliancefunctionarissen vandaag al beginnen met de voorbereidingen.

Het is essentieel om uw compliancestatus te beoordelen, eventuele obstakels voor het handhaven van compliance te identificeren en medewerkers – met name degenen die aan de bestuurstafel zitten – te informeren over de herzieningen van PCI-DSS 4.0. De belangrijkste verandering is dat PCI DSS 4.0 nu meer prioriteit geeft aan beveiliging en flexibele datapraktijken stimuleert die zijn opgenomen in de algehele beveiligingshouding van een organisatie. De bijgewerkte standaard voegt extra flexibiliteit toe aan compliance door de aangepaste aanpak, waarmee wordt erkend dat nieuwe technologieën niet noodzakelijkerwijs passen in een strikte, prescriptieve controlestructuur.

Tijdlijn voor de implementatie van PCI DSS v4.0

Voorwaarden

Belangrijke wijzigingen in PCI DSS 4.0 zijn onder meer:

Sterkere authenticatiemaatregelen

Handelaren moeten zich aanpassen strengere authenticatievereisten nu de betalingssector snel overstapt naar cloudplatforms. De meest recente versie van PCI DSS is nu nauwer verbonden met de Nationaal instituut voor normen en technologie (NIST) Strategie om digitale identiteitsverificatie en levenscyclusbeheer te gebruiken en zo de bescherming van een handelaar tegen opkomende risico's te verbeteren. Identiteits- en toegangsbeheer (IAM) staat centraal in versie 4.0 en wordt erkend als essentieel voor het tegengaan van opkomende risico's voor kaarthoudergegevens.
Scopevalidatie en datadetectie

Het verplichten van dienstverleners om alle locaties te identificeren waar kaarthoudergegevens worden opgeslagen, de reikwijdte ervan elke zes maanden opnieuw vast te stellen en organisaties aan te wijzen die elk kwartaal gegevensontdekkingsoperaties uitvoeren.
Extra maatwerk aanpak

De versie-upgrade biedt een op maat gemaakte aanpak voor de implementatie en validatie van PCI DSS, een van de grootste wijzigingen. De beveiligingsresultaten die aan elke vereiste zijn gekoppeld, worden expliciet gedefinieerd door de nieuwe, op maat gemaakte validatietechniek. Vervolgens hebben organisaties de mogelijkheid om de controle te implementeren volgens specificaties of op maat.
Een nieuwe subvereiste bevestigt dat alle handelaren alle SSL- en TLS-certificaten om hun geldigheid te versterken.
Organisaties mogen hun logs niet langer handmatig controleren. Dit proces wordt als te tijdrovend en foutgevoelig beschouwd. Winkeliers moeten daarom geautomatiseerde controletools implementeren.
Organisaties moeten een webapplicatiefirewall hebben voor alle webapplicaties die met het internet zijn verbonden.

Waar u zich op moet concentreren

Om over te stappen op PCI DSS 4.0, moet u op een paar dingen letten

Zorg ervoor dat u voldoet aan PCI DSS 3.2.1. Als u nog niet aan de vereisten voldoet, identificeer dan de obstakels die u ervan weerhouden om hieraan te voldoen. Een veelvoorkomende oorzaak van niet-naleving is onwetendheid over de locatie van al uw kaartgegevens. Regelmatige data discovery controleert de opslaglocaties van uw kaartgegevens en het bijbehorende netwerkpad.
Probeer u zo goed mogelijk aan de gespecificeerde strategie te houden wanneer u overstapt naar PCI DSS 4.0. Deze aanpak op maat neemt de noodzaak om zich aan controles te houden niet weg, maar biedt juist flexibiliteit in de mate waarin u hieraan kunt voldoen.
Het lezen van één artikel geeft u niet alle benodigde kennis over de nieuwe standaard, omdat deze complex is. Schakel de hulp in van een expert om u door PCI DSS 4.0 te loodsen en organiseer regelmatig trainingen voor uw personeel.
Het aantal Chief Data Officers (CDO's) is aanzienlijk toegenomen, met name in grote bedrijven. Dit is niet verwonderlijk, aangezien CDO's vaak uitgebreide kennis hebben van talloze compliancevereisten. Wijs een CDO aan of geef bevoegdheden aan interne dataspecialisten.
Grotere bedrijven gebruiken doorgaans diverse beveiligingsoplossingen, waarvan er veel ongebruikt, onjuist geconfigureerd en nutteloos zijn. Weten hoe u de functies van reeds beschikbare producten optimaal kunt benutten, voorkomt onnodige investeringen in de implementatie van PCI DSS 4.0.

Conclusie

Strikte vereisten voor het gebruik van TLS/SSL-protocollen voor de beveiliging van creditcardgegevens zijn vastgelegd in PCI DSS 4.0. Het naleven van deze richtlijnen is essentieel voor zowel het behoud van naleving als de bescherming van persoonlijke klantgegevens.

Organisaties kunnen ervoor zorgen dat hun TLS/SSL-omgevingen voldoen aan de hoge eisen van PCI DSS 4.0 door zich te concentreren op het afstappen van onveilige protocollen, het implementeren van sterke cryptografische controles en het handhaven van een sterke beveiligingspositie. Bescherming van betaalkaartgegevens is cruciaal in de huidige cybersecurityomgeving. Een essentiële eerste stap in het bereiken van PCI DSS 4.0-compliance en het beschermen van gevoelige klantgegevens is het begrijpen en implementeren van deze vereisten. TLS/SSL-beveiliging prioritaire gebieden in de praktijk.

Om deze machine-identiteiten in uw infrastructuur te beveiligen, CertSecure Manager kan u helpen bij het vinden van al uw TLS-certificaten die privésleutels ondersteunen. Door de vernieuwing van verlopen certificaten te automatiseren, kunt u verstoringen voorkomen en snel reageren op problemen, kwetsbaarheden en inbreuken op de CA-certificering. Bezoek onze website encryptieconsulting.com voor meer informatie. U kunt ook contact met ons opnemen voor een demo of POC.