PCI DSS 4.0: Die wichtigsten Änderungen

Nach über vier Jahren Entwicklungszeit ist Ende März 2022 Version 4.0 des „Payment Card Industry Data Security Standard“ (PCI DSS) veröffentlicht worden. Die lange Entwicklungszeit und der Abstand zur vorherigen Hauptversion lassen schon erahnen, dass die neue Version signifikante Änderungen und Neuerungen mit sich bringt.

1 Min. Lesezeit
© adbobe.stock.com/wladimir1804

Nach über vier Jahren Entwicklungszeit ist Ende März 2022 Version 4.0 des „Payment Card Industry Data Security Standard“ (PCI DSS) veröffentlicht worden. Die lange Entwicklungszeit und der Abstand zur vorherigen Hauptversion lassen schon erahnen, dass die neue Version signifikante Änderungen und Neuerungen mit sich bringt. Sie schließt in vielen Fällen Lücken, die in der Sicherheitsarchitektur von Kreditkartenumgebungen im Laufe der letzten Jahre identifiziert wurden, stellen die Autoren des in der Zeitschrift <kes> erschienen Beitrags „PCI DSS 4.0: Das Warten ist vorbei“ fest.

Beispielsweise wurde im DSS 4.0 eine neue Anforderung ergänzt, durch die das Kopieren der Kreditkartennummer im Rahmen eines Remotezugriffs technisch unterbunden werden muss, sofern für den jeweiligen Benutzer kein Business-Need für diese Funktion besteht. Auch wurde die Thematik zur Nutzung von Multi-Factor-Authentication (MFA) im DSS weiter verschärft: PCI DSS 4.0 führt nun die vollständige Verpflichtung zur Nutzung von MFA beim Zugriff auf das Cardholder-Data-Environment (CDE) ein. Insgesamt gebe es 64 neue Security-Anforderungen – die Autoren Christopher Kristes und Torsten Schlotmann stellen die wichtigsten Änderungen vor.

Der Artikel „PCI DSS 4.0: Das Warten ist vorbei“ ist in der <kes> – Zeitschrift für Informations-Sicherheit erschienen.

Er ist kostenfrei unter www.kes.info/aktuelles/kes/pci-dss-40-das-warten-ist-vorbei/ verfügbar.

Andere interessante Fachbeiträge

Ist Security-Awareness Zeitverschwendung?

Anfang der 2000er war die goldene Zeit der Awareness – es gab zahlreiche Tagungen in aller Welt, Gesamtpakete zur Steigerung der Awareness von Mitarbeitern mit Kantinen-Events (Security-Day), Tassen, Kugelschreibern und Postern. Heutzutage gibt es meist 08/15-Vorträge für die Mitarbeiter oder ein todlangweiliges computerbased Training. Ist daher die Zeit der Awareness vorbei? Ist es wirklich so, wie der „IT-Guru“ Bruce Schneider sagt: „Security-Awareness ist Zeitverschwendung“?

PCI DSS 4.0: Die wichtigsten Änderungen

Nach über vier Jahren Entwicklungszeit ist Ende März 2022 Version 4.0 des „Payment Card Industry Data Security Standard“ (PCI DSS) veröffentlicht worden. Die lange Entwicklungszeit und der Abstand zur vorherigen Hauptversion lassen schon erahnen, dass die neue Version signifikante Änderungen und Neuerungen mit sich bringt.

Welches Security Assessment sollte ich als Unternehmen durchführen?

„Reicht ein Schwachstellenscan? Oder doch lieber ein Penetrationstest? Aber nur auf die im Internet exponierten Systeme, die sind am kritischsten.“ NEIN! Insbesondere wenn ein Unternehmen noch nie ein technisches Security Assessment (z. B. Penetrationstest) durchgeführt hat, gibt es viel Fehlinformationen zu der Thematik und einen Fokus auf die falschen oder nur einen kleinen Teil der Cyberrisiken.