Was sind die PCI DSS-Anforderungen im Jahr 2023?

Der PCI DSS enthält zahlreiche Anforderungen, die alle Händler erfüllen müssen, um die Einhaltung der Vorschriften zu gewährleisten. Der erste Schritt ist der Schutz von Karteninhaberdaten durch die Installation und Wartung einer Firewall-Konfiguration. Wir erklären Ihnen, was das bedeutet und wie unser Service Ihnen hilft.

Diese Anforderung ist die technisch anspruchsvollste von allen PCI DSS-Standards. Die Installation und Wartung einer Firewall-Konfiguration mag oberflächlich betrachtet einfach klingen, aber wie Sie im Folgenden feststellen werden, ist diese Anforderung mit einer Menge Aufwand verbunden.

Was erwartet PCI, wenn es um die Installation und Wartung einer Firewall-Konfiguration geht?

Als Erstes müssen Sie Konfigurationsstandards für Router und Firewall festlegen und installieren, die Folgendes umfassen müssen

1. Ein formelles Verfahren für die Prüfung und Genehmigung aller Netzwerkverbindungen und Änderungen an Router- und Firewall-Konfigurationen.
2. Ein Diagramm, das alle Netzwerke, Netzwerkgeräte und Systemkomponenten identifiziert. Dieses Diagramm muss die Verbindungen zwischen der Karteninhaberdatenumgebung (Cardholder Data Environment, CDE) und allen anderen Netzen, einschließlich der drahtlosen Netze, enthalten.
3. Außerdem benötigen Sie ein Diagramm, das den Fluss der Karteninhaberdaten über alle Ihre Netzwerke und Systeme hinweg zeigt.
4. Für jede Internetverbindung muss eine Firewall vorhanden sein. Dies gilt auch zwischen einer entmilitarisierten Zone (DMZ) und der internen Netzzone.
5. Zur Verwaltung von Netzwerkkomponenten benötigen Sie eine Beschreibung aller Gruppen, Rollen und Zuständigkeiten.
6. Für die Nutzung aller zulässigen Dienste, Ports und Protokolle sowie für alle Sicherheitsmaßnahmen, die für unsichere Protokolle verwendet werden, sind eine geschäftliche Begründung und Dokumentation erforderlich.
7. Sie müssen alle Router- und Firewall-Regelsätze mindestens alle sechs Monate überprüfen.

Verstehen Sie diese Anforderung:

Sie müssen sich darüber im Klaren sein, dass sowohl Router als auch Firewalls eine entscheidende Rolle spielen, wenn es um die Eingangs- und Ausgangspunkte des Netzwerks geht. Sie gewähren den autorisierten Netzwerkzugang und blockieren unerwünschte Zugriffe, weshalb die Implementierung von Firewalls und Routern unerlässlich ist. Die Punkte a-g sind im Wesentlichen die Richtlinien von PCI für die Schritte, die unternommen werden müssen, um sicherzustellen, dass diese erste Verteidigungslinie so stark ist, wie sie sein muss.

Schauen wir uns also an, wie die Punkte a-g umgesetzt werden können:

1. 1. Formales Test-/Genehmigungsverfahren – Dies ist von entscheidender Bedeutung, da es dazu beiträgt, Sicherheitsprobleme zu vermeiden, die durch eine Fehlkonfiguration des Netzes, der Firewall oder des Routers entstehen. Sie müssen sicherstellen, dass nur autorisierte Benutzer (mit einem Passwort) Änderungen vornehmen dürfen und dass diese Änderungen aufgezeichnet und aufbewahrt werden.
   2. Diagramme zur Identifizierung von Netzwerken, Netzwerkgeräten und Systemkomponenten – Diese Diagramme beschreiben die Netzwerkkonfiguration und können verwendet werden, um die Standorte aller Netzwerkgeräte zu identifizieren. Ohne sie können Geräte unwissentlich von Sicherheitskontrollen ausgenommen werden, was ein ernsthaftes Risiko darstellen kann. Sie sollten automatisch Netzwerkdiagramme erstellen und aktualisieren.
   3. Flussdiagramm der Karteninhaberdaten – Hier wird der Ort aller Karteninhaberdaten innerhalb des Netzes angegeben. So können Sie Daten effektiver verwalten.
   4. Firewalls für alle Internetverbindungen – Dies verringert die Wahrscheinlichkeit, dass eine böswillige Person über ein ungeschütztes Netzwerk in Ihr Netzwerk eindringt, da der Zugang besser überwacht und kontrolliert wird. Stellen Sie sicher, dass eine PCI-konforme Firewall für jede Internetverbindung sowie zwischen einer DMZ und der internen Netzwerkzone installiert ist.
   5. Beschreibung aller Gruppen, Rollen und Zuständigkeiten – Dadurch wird sichergestellt, dass alle Mitarbeiter wissen, wer für was zuständig ist. Diese Rollen können über ein zentrales Verwaltungssystem verwaltet werden.
   6. Dokumentation und geschäftliche Rechtfertigung für alle zugelassenen Dienste, Ports und Protokolle – Damit können Sie alle anderen Protokolle, Ports oder Dienste entfernen oder deaktivieren.
   7. Überprüfen Sie den Router- und Firewall-Regelsatz alle sechs Monate – eine ständige Aktualisierung ist erforderlich, um die PCI DSS-Standards kontinuierlich zu erfüllen.

Sie müssen auch Router- und Firewall-Konfigurationen erstellen, die Verbindungen zwischen CDE-Systemkomponenten und nicht vertrauenswürdigen Netzwerken einschränken. Dies beinhaltet:

1. Der ein- und ausgehende Datenverkehr muss eingeschränkt werden, damit die Umgebung der Karteninhaberdaten nur das Notwendigste enthält. Alle anderen, nicht zusammenhängenden Verkehre müssen getrennt geführt werden.
2. Die Konfigurationsdateien des Routers müssen gesichert und synchronisiert werden.
3. Kontrollieren Sie den Datenverkehr durch die Installation von Perimeter-Firewalls zwischen dem ZDE und allen drahtlosen Netzen. Konfigurieren Sie diese Firewalls so, dass sie nur autorisierten Datenverkehr zwischen dem ZDE und der drahtlosen Umgebung zulassen.

Verstehen Sie diese Anforderung:

Der zweite Schritt besteht darin, die Firewall richtig zu konfigurieren, damit sie ordnungsgemäß funktioniert und den Netzwerkverkehr auf sichere und effektive Weise kontrolliert. Sie müssen sicherstellen, dass ein Netzwerkschutz zwischen dem internen, vertrauenswürdigen Netzwerk und allen externen, nicht vertrauenswürdigen Netzwerken installiert ist. Wenn Sie dies nicht tun, sind Sie anfällig für einen Angriff.

1. 1. Einschränkung des ein- und ausgehenden Datenverkehrs – Dies ist notwendig, um sicherzustellen, dass böswillige Angreifer keinen Zugang zu Ihrem Netzwerk erhalten, indem sie Dienste, Ports oder Protokolle auf nicht autorisierte Weise oder über nicht autorisierte IP-Adressen verwenden. Erreichen Sie dies durch die Schaffung einer Umgebung für Karteninhaberdaten, in der der gesamte ein- und ausgehende Datenverkehr mit Ausnahme von Zahlungstransaktionen unterbunden wird.
   2. Sichern und synchronisieren Sie Router-Konfigurationsdateien – Startkonfigurationsdateien werden häufig übersehen, da sie nur selten verwendet werden. Wenn sie jedoch nicht mit denselben Sicherheitseinstellungen aktualisiert werden, kann ein Cyberkrimineller einen Weg hinein finden.
   3. Installieren Sie Perimeter-Firewalls zwischen allen drahtlosen Netzwerken und dem ZDE – Böswillige nutzen oft die drahtlose Technologie aus, um an Kartendaten zu gelangen. Aus diesem Grund sind Firewalls erforderlich, um den Zugriff von drahtlosen Netzwerken auf die Karteninhaberdatenumgebung zu beschränken.

Ein direkter öffentlicher Zugang zwischen den Komponenten des ZUE-Systems und dem Internet muss verboten werden. Das müssen Sie tun:

1. Eingehender Datenverkehr muss auf Systemkomponenten beschränkt werden, die autorisierte, öffentlich zugängliche Dienste, Protokolle und Ports bereitstellen. Implementieren Sie eine DMZ, um dies zu erreichen.
2. Innerhalb der DMZ muss der eingehende Internetverkehr auf IP-Adressen beschränkt werden.
3. Direkte Verbindungen zwischen dem ZUE und dem Internet, ob inbound oder outbound, müssen verboten werden.
4. Sie müssen alle gefälschten Quell-IP-Adressen aufspüren und blockieren, damit sie nicht in das Netz gelangen können. Führen Sie zu diesem Zweck Maßnahmen gegen Spoofing ein.
5. Unerlaubter ausgehender Verkehr vom ZDE ins Internet sollte nicht zugelassen werden.
6. Es sollten nur “etablierte” Verbindungen ins Netz zugelassen werden.
7. Alle Systemkomponenten, die Karteninhaberdaten speichern, müssen von der DMZ und anderen nicht vertrauenswürdigen Netzwerken getrennt und stattdessen in einer internen Netzwerkzone untergebracht werden.
8. Routing-Informationen und private IP-Adressen dürfen nicht an Unbefugte weitergegeben werden.

Verstehen Sie diese Anforderung:

In den beiden vorangegangenen Schritten wurde der Schwerpunkt auf den Schutz durch Firewalls gelegt. Die Firewall schützt im Wesentlichen die Verbindungen zwischen den öffentlichen Systemen und dem ZDE. All dies wird jedoch völlig wertlos sein, wenn Sie den direkten Zugang zwischen öffentlichen Systemen und dem ZUE zulassen.

1. 1. Implementierung einer DMZ – Diese verwaltet die Verbindungen zwischen dem Internet und den Diensten, die Unternehmen der Öffentlichkeit zur Verfügung stellen müssen. Dadurch wird verhindert, dass Cyberkriminelle über das Internet auf Ihr internes Netz zugreifen. Schränken Sie den gesamten Datenverkehr ein, um sicherzustellen, dass Sie die Vorschriften einhalten.
   2. Beschränken Sie den eingehenden Datenverkehr auf IP-Adressen in der DMZ – so wird sichergestellt, dass Unbefugte keinen Zugriff haben. Verbieten Sie direkte Verbindungen zwischen dem Internet und dem CDE – Dies verhindert den ungefilterten Zugriff zwischen vertrauenswürdigen und nicht vertrauenswürdigen Umgebungen. Angenommen, ein Cyberkrimineller verschafft sich Zugang zu sensiblen Informationen; er kann sie nicht von Ihrem Netzwerk an einen nicht vertrauenswürdigen externen Server senden. Sie können dies erreichen, indem Sie den gesamten ein- und ausgehenden Datenverkehr mit Ausnahme des Zahlungsverkehrs sperren.
   3. Implementieren Sie Anti-Spoofing-Maßnahmen – Böswillige Angreifer versuchen oft, eine IP-Adresse zu imitieren, damit Sie glauben, sie käme aus Ihrem eigenen Netzwerk. Es müssen Maßnahmen ergriffen werden, um dies zu verhindern.
   4. Verbieten Sie nicht autorisierten ausgehenden Datenverkehr vom CDE zum Internet – Sie müssen den Datenverkehr so kontrollieren, dass nur autorisierte Kommunikation zugelassen wird. Sie können dies tun, indem Sie den gesamten ein- und ausgehenden Verkehr mit Ausnahme des Zahlungsverkehrs sperren.
   5. Lassen Sie nur bestehende Verbindungen in das Netzwerk zu – Sie benötigen eine Firewall, die eine Stateful Packet Inspection durchführt. Dazu gehört, dass der Status jeder Verbindung durch die Firewall aufrechterhalten wird, damit Sie wissen, ob eine Antwort autorisiert ist oder ob ein Cyberkrimineller versucht, die Firewall auszutricksen, um einen Weg hinein zu finden.
   6. Trennen Sie Systemkomponenten, die Karteninhaberdaten speichern, von der DMZ – Wenn Karteninhaberdaten innerhalb der DMZ gespeichert werden, gibt es weniger Ebenen, in die Cyberkriminelle eindringen können. Das macht es ihnen leichter, sich Zugang zu verschaffen. Die Daten der Karteninhaber müssen sich in einem getrennten Netz befinden.
   7. Routing-Informationen und private IP-Adressen dürfen nicht an Unbefugte weitergegeben werden – Sie müssen sicherstellen, dass private IP-Adressen offengelegt werden, da sonst ein Hacker die IP-Adresse herausfinden und Zugang zu Ihrem Netzwerk erhalten könnte. Verlangen Sie, dass sich alle Benutzer anmelden, und stellen Sie sicher, dass ein Administrator an jedem Standort die Freigabe autorisiert, und Sie sollten Routing-Protokolle und Werbung verbieten.

Auf allen Geräten und Mobiltelefonen der Mitarbeiter , die eine Verbindung zum Internet herstellen, muss eine persönliche Firewall-Software installiert werden , wenn sie für den Zugang zum Netz oder außerhalb des Netzes verwendet werden.

Verstehen Sie diese Anforderung:

Eine persönliche Firewall ist erforderlich, um Mobiltelefone und Geräte im Besitz von Mitarbeitern vor Angriffen aus dem Internet zu schützen. Dies ist unbedingt erforderlich, da diese Geräte anfälliger für Sicherheitsverletzungen sind, da sie sich außerhalb der Unternehmens-Firewall befinden, und somit zu einem bevorzugten Ziel für Hacker werden. Wenn Ihre Mitarbeiter ihre Laptops für Arbeitszwecke nutzen und außerhalb des Netzes eine Verbindung herstellen, sind Sie dafür verantwortlich, dass sie eine persönliche Firewall-Software installiert haben.

Betriebliche Verfahren und Sicherheitsrichtlinien für die Verwaltung von Firewalls müssen dokumentiert und allen betroffenen Parteien bekannt sein.

Verstehen Sie diese Anforderung:

Um sicherzustellen, dass Sie den unbefugten Zugriff auf das Netzwerk weiterhin verhindern, müssen Sie die Richtlinien und Verfahren für Firewalls und Router verwalten und dafür sorgen, dass sie gut dokumentiert und aktualisiert werden.