Die 12 Anforderungen
- 1. Netzwerksicherheitskontrollen einrichten und pflegen.
- 2. Sichere Konfigurationen auf alle Systemkomponenten anwenden.
- 3. Gespeicherte Kontodaten schützen.
- 4. Karteninhaberdaten bei der Übertragung über offene, öffentliche Netze mit starker Kryptografie schützen.
- 5. Alle Systeme und Netze vor Schadsoftware schützen.
- 6. Sichere Systeme und Software entwickeln und pflegen.
- 7. Zugriff nach geschäftlichem Informationsbedarf beschränken.
- 8. Benutzer identifizieren und Zugriffe authentifizieren.
- 9. Physischen Zugang zu Karteninhaberdaten beschränken.
- 10. Alle Zugriffe protokollieren und überwachen.
- 11. Die Sicherheit von Systemen und Netzen regelmäßig testen.
- 12. Informationssicherheit durch Richtlinien und Programme unterstützen.
Wie die Konformität bestätigt wird
Das hängt von Ihrem Transaktionsvolumen und den Regeln der Kartenmarken oder Ihres Acquirers ab: ein Report on Compliance durch einen qualifizierten Prüfer oder ein Self-Assessment Questionnaire für kleinere Händler. Fragen Sie Ihren Acquirer, was gilt.
Zuerst den Umfang verkleinern
- Speichern Sie keine Kartendaten, außer Sie brauchen sie.
- Nutzen Sie, wo möglich, eine gehostete Zahlungsseite oder einen validierten Anbieter.
- Segmentieren Sie das Netz um das, was übrig bleibt.
- Denken Sie daran, dass das Auslagern von Zahlungen nicht alle Pflichten beseitigt.
Fragen
- Ist PCI DSS ein Gesetz?
- Nein. Es ist ein vertraglicher Standard des PCI Security Standards Council, durchgesetzt über Kartenmarken und Acquirer. Manche Rechtsordnungen verweisen im Gesetz darauf.
- Macht ein Zahlungsdienstleister Sie konform?
- Er kann Ihren Umfang deutlich verkleinern, aber Sie müssen die Konformität für den Rest weiterhin bestätigen und diesen Anbieter steuern.