02 / Compliance und Zertifizierung
PCI DSS, beginnend dort, wo die Kartendaten tatsächlich hingehen
Wir helfen Ihnen, die tatsächliche Karteninhaberdaten-Umgebung zu finden, sie wo möglich zu verkleinern und die Maßnahmen, Tests und Nachweise vorzubereiten, die Ihre Bewertung verlangen wird.
Überblick
Was PCI DSS von Ihnen verlangt
Der Payment Card Industry Data Security Standard (PCI DSS) wird vom PCI Security Standards Council gepflegt. Er gilt für Stellen, die Karteninhaberdaten speichern, verarbeiten oder übertragen, und für Systeme, die die Sicherheit dieser Daten beeinflussen können. Die Anforderungen betreffen Netzwerke, Konfiguration, Datenschutz, Zugriffe, Protokollierung, Tests und Richtlinien.
Der Geltungsbereich bestimmt den Umfang der Arbeit. Jedes System in der Karteninhaberdaten-Umgebung oder mit Verbindung zu ihr gehört dazu, sofern es nicht durch Segmentierung herausgehalten wird, und Segmentierung zählt nur, wenn sie getestet ist. Die Datenflüsse zuerst richtig zu erfassen ist günstiger, als Systeme nachzubessern, die nie in den Geltungsbereich gehört hätten.
Black Fox ist weder Qualified Security Assessor (QSA) noch Approved Scanning Vendor (ASV). Wir bereiten Sie vor, testen, was der Standard getestet haben will, und helfen beim Zusammenstellen der Nachweise. Die formale Bewertung erfolgt durch einen QSA oder, wenn Ihr Acquirer oder die Kartenorganisationen es zulassen, über einen Selbstbewertungsfragebogen (SAQ). Wir arbeiten mit langjährigen Partnern zusammen und koordinieren die Bewertung mit einem QSA aus diesem Kreis oder einem QSA Ihrer Wahl.
Für wen es gedacht ist
Händler, Zahlungsdienstleister und andere Dienstleister, die mit Kartendaten in Berührung kommen oder deren Sicherheit beeinflussen können, Teams, deren Acquirer einen Report on Compliance oder einen SAQ verlangt, und Organisationen, die die vom Standard geforderten Penetrations- und Segmentierungstests brauchen.
Die Arbeit, von der Abgrenzung des Umfangs bis zu den Nachweisen.
Was wir tun
Abgrenzung und Datenflüsse
Wir verfolgen, wo Karteninhaberdaten hereinkommen, fließen, gespeichert werden und hinausgehen, und dokumentieren die Umgebung samt verbundenen Systemen.
Segmentierung
Beratung zur Verkleinerung des Geltungsbereichs durch Netzsegmentierung, Tokenisierung oder ausgelagerte Zahlungsseiten, mit klar benannten Vor- und Nachteilen.
Gap-Analyse
Eine Prüfung Anforderung für Anforderung, wo Sie stehen, mit Feststellungen nach Risiko und Aufwand geordnet.
Unterstützung beim SAQ
Hilfe bei der Wahl des Fragebogens, der zu Ihren Zahlungskanälen passt, und bei Antworten, hinter denen jeweils ein Nachweis steht.
Penetrations- und Segmentierungstests
Interne und externe Penetrationstests und Segmentierungstests, wie der Standard sie verlangt, nach anerkannten Methoden, zum Beispiel dem PCI-Leitfaden für Penetrationstests.
Härtung und Nachweise
Konfigurationsstandards, Berechtigungsprüfungen, Protokollierung und die Aufzeichnungen, die Ihr Prüfer in Stichproben ziehen wird.
So läuft der Auftrag ab
Auftakt
Wir vereinbaren Ihre Zahlungskanäle, die Beteiligten und Ihren Bewertungstermin und unterzeichnen auf Wunsch vorab eine Vertraulichkeitsvereinbarung.
Abgrenzung
Erfassung der Datenflüsse und eine Abgrenzung, die Sie vor einem Prüfer vertreten können.
Gap-Analyse
Interviews, Konfigurationsprüfung und Stichproben, am Ende ein priorisierter Bericht.
Nachbesserung und Tests
Wir arbeiten mit Ihren Teams an den Lücken und führen die Penetrations- und Segmentierungstests im Umfang durch.
Begleitung der Bewertung
Wir koordinieren die Bewertung durch den QSA, einen unserer langjährigen Partner oder einen QSA Ihrer Wahl, oder helfen beim Ausfüllen des SAQ, und bei etwaigen Feststellungen.
Was Sie erhalten
- Datenflussdiagramme und Abgrenzung des Geltungsbereichs
- Gap-Analyse mit priorisiertem Maßnahmenplan
- Empfehlungen und Testergebnisse zur Segmentierung
- Berichte zu Penetrationstests mit Proofs of Concept
- SAQ-Arbeitsdatei mit Verweisen auf Nachweise
- Nachweisverzeichnis für Ihren Prüfer
Black Fox bereitet Sie vor und unterstützt Sie, stellt aber selbst keine Zertifikate, Testate oder offiziellen Bewertungen aus. Ist ein Zertifikat oder Bericht das Ziel, koordinieren wir das Audit mit unseren langjährigen Zertifizierungspartnern oder einer Stelle Ihrer Wahl, sodass die Arbeit in einem Auftrag von Anfang bis Ende läuft.
Fragen
Sind Sie QSA?
Nein. Black Fox ist weder Qualified Security Assessor noch Approved Scanning Vendor. Wir bereiten Sie vor und führen die Tests durch, die ein qualifizierter interner oder externer Tester durchführen darf. Ein QSA übernimmt die formale Bewertung, ein ASV die externen Schwachstellenscans, die von einem ASV stammen müssen. Wir koordinieren diese Bewertung mit einem unserer langjährigen Partner oder einem QSA Ihrer Wahl.
Brauchen wir einen QSA, oder genügt ein SAQ?
Das hängt von Ihrer Rolle, Ihrem Transaktionsvolumen und den Vorgaben Ihres Acquirers oder der Kartenorganisationen ab. Fragen Sie zuerst Ihren Acquirer. Wir helfen Ihnen zu verstehen, welcher SAQ-Typ zu Ihren Zahlungskanälen passt.
Nimmt Segmentierung Systeme aus dem Geltungsbereich?
Ja, wenn sie die Karteninhaberdaten-Umgebung tatsächlich abschottet und das durch Tests belegt ist. Ungetestete Segmentierung verkleinert den Geltungsbereich nicht.
Entfällt PCI DSS, wenn wir Zahlungen auslagern?
Der Geltungsbereich schrumpft, oft deutlich, aber selten auf null. Die Seiten, Skripte und Systeme, die Kunden zum Zahlungsanbieter leiten, bleiben meist in Ihrer Verantwortung.
Verwandte Leistungen
- Managed SecuritySchwachstellenmanagementRegelmäßige Schwachstellenprüfungen von Black Fox Security: Scans, Triage, Priorisierung nach Ausnutzbarkeit und Exposition, Nachverfolgung und Trendberichte.
- Managed SecuritySystemhärtungSystemhärtung von Black Fox Security: Endgeräte, Server und Netzwerke, sichere Konfigurationsbaselines, Aufbau von Monitoring und persönliche Sicherheit.
Finden Sie die Grenzen Ihrer Kartendaten-Umgebung
Erzählen Sie uns, wie Sie Zahlungen annehmen. Wir zeigen Ihnen, was in den Geltungsbereich gehört und was nicht.