So erhalten Sie in 6 Schritten ein PCI-Konformitätszertifikat • BUOM

25. November 2021

Der Schutz vertraulicher Kundeninformationen kann Unternehmen dabei helfen, einen guten Ruf aufrechtzuerhalten, das Vertrauen der Verbraucher aufzubauen und das Risiko von Sicherheitsverletzungen zu verringern. Die Einhaltung der Branchenstandards für Zahlungskarten ist wichtig für Unternehmen, die Transaktionen mit Debit- und Kreditkarten durchführen möchten. Das Erlernen der Kartenanforderungen und Best Practices wird Unternehmen dabei helfen, die richtigen Verfahren einzuhalten und die Sicherheit wichtiger Kundeninformationen zu gewährleisten.

In diesem Artikel erklären wir, was PCI DSS ist, führen die Gründe für den Erhalt eines Konformitätszertifikats auf und schlagen eine Reihe von Schritten vor, die Sie unternehmen können, um sicherzustellen, dass Ihr Unternehmen relevante Best Practices und etablierte Vorschriften versteht.

Was ist PCI DSS?

Der Payment Card Industry Data Security Standard (PCI DSS) ist eine Reihe grundlegender Sicherheitsstandards, die große Kreditkartenunternehmen befolgen müssen. Empfehlungen tragen dazu bei, das Risiko von Diebstahl und Betrug zu verringern. Unternehmen, die Kredit- und Debitkartentransaktionen abwickeln, müssen häufig ihre Compliance nachweisen, um weiterhin erfolgreich Zahlungen annehmen zu können. Compliance stellt sicher, dass Unternehmen Best Practices wie die Installation von Firewalls, den Einsatz von Antivirensoftware und die Verschlüsselung von Datenübertragungen zuverlässig umsetzen können.

Abhängig von der Größe Ihres Unternehmens und der Anzahl der von Ihnen verarbeiteten Transaktionen müssen Sie möglicherweise bestimmte Compliance-Level erreichen. Es gibt vier Ebenen:

• Stufe 1: Die Compliance-Zertifizierung der Stufe 1 bedeutet, dass Unternehmen mehr als 6 Millionen Kredit- oder Debitkartentransaktionen pro Jahr verarbeiten. Dies ist die höchste Compliance-Ebene.

• Zweites Level. Die Compliance der Stufe 2 ist für Unternehmen gedacht, die jährlich zwischen 1 und 6 Millionen Transaktionen verarbeiten.

• Drittes Level. Die PCI-DSS-Konformität der Stufe 3 gilt für Unternehmen, die zwischen 20.000 und 1 Million Transaktionen pro Jahr verarbeiten.

• Stufe vier: Die letzte Konformitätsstufe ist Stufe vier. Dies ist die niedrigste Stufe und umfasst Unternehmen, die weniger als 20.000 Transaktionen pro Jahr abwickeln.

Warum eine PCI-Compliance-Zertifizierung erhalten?

Es gibt viele Gründe, den Erwerb einer PCI-Compliance-Zertifizierung in Betracht zu ziehen, darunter:

Erweiterter Zugang zu Handelsabwicklungsanbietern

Einer der Hauptgründe für die Zertifizierung ist die Abwicklung von Soll- und Habentransaktionen für Ihr Unternehmen. Die meisten Unternehmen, die Karten als Zahlungsmittel akzeptieren möchten, nutzen Händlerabwickler. Viele Händler verlangen von Unternehmen die Einhaltung von Anforderungen, um das mit der Bereitstellung von Kreditkartenzahlungsoptionen verbundene Risiko zu verringern. Compliance-Zertifikate zeigen Lieferanten und Händlern, dass sie der Sicherheit der Online-Transaktionen Ihres Unternehmens vertrauen können.

Es gibt viele Gründe, warum Unternehmen Kreditkartendaten verarbeiten, speichern oder übermitteln möchten, und Compliance kann ihnen dabei helfen, dies erfolgreich und korrekt zu tun. Die Compliance-Zertifizierung hilft Ihnen, Ihr Geschäftsangebot zu erweitern und Ihren Kunden mehr Zahlungsoptionen anzubieten.

Erhöhte Unternehmenssicherheit

Compliance ist nicht nur eine Anforderung für die meisten Händler und Kreditkartenunternehmen, sondern kann Ihnen auch zusätzliche Sicherheit bieten. Die PCI-Zertifizierung hilft Unternehmen, die Sicherheit ihrer Daten zu schützen. Durch die Einhaltung bewährter Praktiken und Vorschriften können Unternehmen das Risiko von Datenschutzverletzungen verringern und zum Schutz der sensiblen Finanzinformationen ihrer Kunden beitragen. Regelmäßige Audits helfen Unternehmen außerdem dabei, ihre Sicherheitsbemühungen zu überwachen und Risiken zu erkennen, bevor sie problematisch werden.

Steigerung des Kundenvertrauens

Wenn Unternehmen Wert auf die Sicherheit und den Datenschutz der Daten ihrer Kunden legen, können sich Verbraucher sicherer fühlen, bei künftigen Transaktionen zum Unternehmen zurückzukehren. Indem Sie zeigen, dass Ihnen Gesetze und Vorschriften am Herzen liegen, können Sie Kunden, Lieferanten und Anbietern versichern, dass Sie Best Practices priorisieren und Best Practices in Ihren Prozessen befolgen. Indem Sie sich um die Kundeninformationen kümmern und Ihr Bestes tun, um die Werte Ihres Unternehmens und Ihrer Kunden in Einklang zu bringen, können Sie Ihren Ruf als Unternehmen verbessern.

Reduzierung des Bußgeldrisikos

Compliance kann Unternehmen dabei helfen, unnötige Gebühren oder kostspielige Konsequenzen zu vermeiden. Datenschutzverletzungen können das Vertrauen der Kunden, die finanzielle Sicherheit des Unternehmens und den Ruf des Unternehmens beeinträchtigen. Darüber hinaus können Unternehmen, bei denen festgestellt wird, dass sie gegen die Vorschriften verstoßen oder die nicht ordnungsgemäß zertifiziert sind, mit Geldstrafen von Handelsabwicklungsanbietern, Klagen betroffener Kunden oder Umsatzeinbußen rechnen.

So erhalten Sie ein PCI-Compliance-Zertifikat

Wenn Sie an der Erlangung eines PCI-Compliance-Zertifikats interessiert sind, können Sie folgende Schritte unternehmen:

1. Bestimmen Sie Ihr Zertifizierungsniveau

Unterschiedliche PCI-Konformitätsstufen können sich auf die Anforderungen auswirken, die zur Einhaltung der PCI-Richtlinien erfüllt werden müssen. Recherchieren Sie anhand von Richtlinien, welches Niveau für Ihr Unternehmen am besten geeignet ist. Die von Ihnen gewählte Stufe hängt möglicherweise sowohl von der Anzahl der persönlichen Transaktionen als auch von E-Commerce-Transaktionen ab. Berücksichtigen Sie daher unbedingt beide, wenn Sie die Stufenoptionen prüfen. Jede Zertifizierungsstufe stellt besondere Anforderungen und erfordert die Einhaltung festgelegter Richtlinien. Für die erfolgreiche Umsetzung von Verfahren sind möglicherweise häufige Aktivitäten wie vierteljährliche Compliance-Überprüfungen und jährliche Bewertungen erforderlich.

2. PCI DSS-Anforderungen verstehen

Die Einhaltung kann von Ihrer Fähigkeit abhängen, die angegebenen PCI DSS-Anforderungen und -Verfahren einzuhalten. Der Payment Card Industry Security Standards Council listet 12 Komponenten für den sicheren Umgang mit Kundendaten auf. Die 12 Anforderungen adressieren mehrere Ziele im Zusammenhang mit der Sicherung von Unternehmensnetzwerken, dem Schutz vertraulicher Karteninhaberinformationen, der Minderung von Risiken und Schwachstellen, dem Testen von Netzwerken und dem erfolgreichen Schutz von Informationen.

Hier sind 12 Anforderungen:

1. Installieren, konfigurieren und warten Sie eine effektive Firewall.

2. Entwickeln Sie eine Unternehmensrichtlinie, die darlegt, wie Sie Sicherheit und Compliance gewährleisten möchten.

3. Testen Sie die Sicherheitssysteme und -prozesse Ihres Unternehmens regelmäßig.

4. Beschränken Sie den Zugriff auf sensible Daten und Informationen.

5. Stellen Sie sicher, dass jede Person, die Zugriff auf den Computer hat, über einen eindeutigen Identifikationscode verfügt.

6. Überwachen Sie alle Aktivitäten im Zusammenhang mit dem Zugriff auf Karteninhaberinformationen oder Netzwerkressourcen.

7. Beschränken Sie den Zugriff auf Karteninhaberinformationen auf Mitarbeiter, die diese Informationen kennen müssen.

8. Installieren Sie Antivirensoftware und aktualisieren Sie Ihre Software regelmäßig.

9. Entwickeln und pflegen Sie sichere Systeme.

10. Verschlüsseln Sie alle Informationen mit sensiblen Daten während der Übertragung.

11. Schützen Sie gespeicherte Daten, Karteninformationen oder sensible persönliche Informationen.

12. Verwenden Sie die Originalpasswörter und ersetzen Sie alle vom Anbieter bereitgestellten Zugangsschlüssel.

3. Füllen Sie das ROC oder SAQ aus

Füllen Sie unter Berücksichtigung der oben genannten Richtlinien den Fragebogen zur Selbsteinschätzung (SAQ) oder den Compliance-Bericht (ROC) aus. Der SAQ ist ein Tool, mit dem Vertriebsmitarbeiter Ihre Selbsteinschätzungsantworten überprüfen können. Einige Unternehmen, insbesondere größere, wenden sich an einen qualifizierten Sicherheitsgutachter (Qualified Security Assessor, QSA), der ihnen bei der genauen Beurteilung ihres aktuellen Compliance-Niveaus helfen kann. ROC ist für Tier-1-Unternehmen gedacht, die sich Sicherheitsaudits unterziehen. Die meisten ROCs sind ein Jahr gültig.

4. Beweisen Sie Ihren Status und Ihr Engagement für Compliance-Standards

Für die vollständige PCI-Konformität müssen Unternehmen außerdem eine Compliance-Bescheinigung (Atestation of Compliance, AOC) bestehen, die ihren Status formalisiert. QSAs schließen in der Regel ein AOC ab, um die Einhaltung zu bestätigen und eine schriftliche Dokumentation bereitzustellen, die den Einsatz bewährter Verfahren belegt. Welche Version von SAQ und AOC Sie auswählen und ausfüllen, kann von der Art Ihres Unternehmens und der spezifischen Ebene abhängen. Führen Sie daher bei der Durchführung dieser Prozessschritte unbedingt gründliche Recherchen durch.

5. Führen Sie vierteljährliche Scans durch

Auf den meisten Compliance-Ebenen müssen Unternehmen ihre Abläufe und Prozesse regelmäßig überprüfen, um sicherzustellen, dass sie konform bleiben und etablierte Best Practices einhalten. Sie können einen zugelassenen Scanneranbieter (ASV) beauftragen, um sicherzustellen, dass Ihre Scans zuverlässig und genau sind und den PCI-Richtlinien entsprechen. Anbieter führen externe Audits mit zugelassenen Sicherheitstools durch, um Risiken oder Schwachstellen in Ihrem System zu identifizieren. Sobald Sie potenzielle Schwachstellen identifiziert haben, können Sie diese beheben, um Hacking-Möglichkeiten auszuschließen. Regelmäßiges Scannen, jedes Geschäftsquartal oder alle 90 Tage, kann Ihnen dabei helfen, die kontinuierliche Sicherheit Ihrer Systeme sicherzustellen.

6. Melden Sie die Einhaltung der Vorschriften an Banken und Zahlungsunternehmen

Der letzte Schritt besteht darin, den Interessenten, beispielsweise Ihrer Bank oder dem von Ihnen genutzten Kartenunternehmen, alle relevanten Unterlagen zur Verfügung zu stellen. Dazu gehören Ihre SAQ-, AOC- und ASV-Scans. Stellen Sie nach dem Einreichen Ihrer Dokumente sicher, dass diese eingehen und akzeptiert werden. Dies kann Ihnen helfen, eine erfolgreiche Zertifizierung sicherzustellen und es Ihnen leichter machen, mit der effizienten Abwicklung von Transaktionen zu beginnen.

Bitte beachten Sie, dass keines der in diesem Artikel genannten Unternehmen oder Zertifizierungen mit Indeed verbunden ist.