PCI DSS: der Scan ist nur der Anfang
Wer Zahlungskartendaten verarbeitet, braucht mehr als einen bestandenen Scan: einen definierten Geltungsbereich, begründete Ausnahmen, dokumentierte Klärungen und den Nachweis, dass die Kette der Quartalsscans nicht abgerissen ist. isidaten führt Anforderungskatalog, Umgebung und Scanverwaltung zusammen.
Was PCI DSS fordert
PCI DSS gilt für jede Stelle, die Karteninhaberdaten speichert, verarbeitet oder überträgt. Der Standard umfasst 12 Anforderungen, gebündelt in sechs Zielbereichen von der Netzwerksicherheit über den Schutz der Kontodaten bis zur Informationssicherheitsleitlinie. Für die externe Angriffsfläche verlangt Anforderung 11.3.2 vierteljährliche Schwachstellenscans durch einen Approved Scanning Vendor. In der Praxis scheitert die Konformität selten am Scan selbst, sondern an dem, was ihn umgibt: einem Scanumfang, der nicht begründet ist, ausgenommenen Komponenten ohne Erklärung oder einer Lücke zwischen zwei Quartalen.
Wie isidaten PCI DSS abbildet
Jede Anforderung trifft auf ein Modul, das auf derselben Objektbasis arbeitet wie das Risikoregister. So bleibt der Nachweis verbunden, statt über Werkzeuge kopiert zu werden.
Anforderungen bewerten und belegen
Der Anforderungskatalog liegt OSCAL-nativ vor. Das Cockpit zeigt Werkzeugabdeckung und Erfüllungsgrad je Anforderung, mit manueller Übersteuerung, wo eine Bewertung fachlich abweicht.
Zum Modul: Security AutomationAngriffsfläche kennen, bevor der ASV scannt
Der Readiness-Abgleich stellt die eigene Sicht auf die externe Angriffsfläche neben den Scanumfang. So fällt vor dem Quartalsscan auf, was fehlt.
Zum Modul: Attack Surface ManagementNetzwerksegmentierung nachweisen
Firewall-Regeln über mehrere Hersteller hinweg dokumentieren, denn die Abgrenzung der Karteninhaber-Datenumgebung steht und fällt mit ihnen.
Zum Modul: Firewall-ManagementSchwachstellen behandeln
Befunde aus Scans bewerten und ihre Behandlung dokumentieren, statt sie nur zu sammeln.
Zum Modul: SchwachstellenmanagementSysteme gehärtet halten
Konfigurationen laufend gegen Härtungs-Benchmarks prüfen, darunter ein PCI-DSS-Profil, statt einmal im Jahr.
Zum Modul: Security Configuration ManagementRichtlinien führen
Die Informationssicherheitsleitlinie und die zugehörigen Regelungen als gelenkte Dokumente mit Freigabe und Kenntnisnahme führen.
Zum Modul: RichtlinienmanagementHäufige Fragen
Für wen gilt PCI DSS?
Für jede Stelle, die Karteninhaberdaten speichert, verarbeitet oder überträgt, also Händler ebenso wie Dienstleister. Der Umfang der Nachweispflichten hängt von der Einstufung und vom Transaktionsvolumen ab; die Anforderungen an die Absicherung der Karteninhaber-Datenumgebung gelten unabhängig davon.
Was ist ein ASV-Scan?
Ein externer Schwachstellenscan durch einen vom PCI Security Standards Council zugelassenen Anbieter, einen Approved Scanning Vendor. Anforderung 11.3.2 verlangt ihn vierteljährlich sowie nach wesentlichen Änderungen. Ein Ergebnis gilt 90 Tage, danach ist der nächste Scan fällig.
Ersetzt isidaten den ASV?
Nein. Den Scan führt weiterhin ein zugelassener Anbieter durch. isidaten verwaltet, was darum herum liegt: Scanumfang mit Begründung für Ausnahmen, Befunde mit den Bewertungsregeln, Rescan-Ketten, Attestierungen, Berichtsablage und Erinnerungen 30, 14 und 7 Tage vor Fälligkeit.
Enthält der Katalog die Originaltexte des PCI SSC?
Nein. Übernommen ist allein die offizielle Nummerierung; die Anforderungstexte sind eigene deutsche Zusammenfassungen. Lizenzierte Originaltexte lassen sich über die OSCAL-Katalogverwaltung nachpflegen. PCI DSS ist eine Marke des PCI Security Standards Council, LLC.
Mehr dazu im isidaten-Journal
Bereit, Ihre Compliance zu vereinfachen?
Vereinbaren Sie eine unverbindliche Demo und erleben Sie isidaten an Ihren eigenen Anwendungsfällen – persönlich und ohne Verpflichtung.