Payment Card Industry Data Security Standard
Der Payment Card Industry Data Security Standard (PCI DSS) ist ein Sicherheitsstandard zum Schutz von Kreditkartentransaktionen.
Er entstand aus fünf früheren Sicherheitsprogrammen, die von den größten Kreditkartenunternehmen aufgestellt wurden und alle ähnliche Ziele verfolgten. Im Jahr 2004 wurde die erste Version des PCI DSS eingeführt, die von den bekanntesten Anbietern übernommen wurde. Seitdem wurden die Vorschriften mehrfach überarbeitet und aktualisiert. Jede Firma, die Daten im Zusammenhang mit Kreditkartentransaktionen von den wichtigsten Kreditkartenunternehmen verarbeiten will, muss ihre Netzwerk- und Serverinfrastruktur gemäß den PCI DSS-Anforderungen konfigurieren. Andernfalls können sie die Berechtigung zur Speicherung und Verarbeitung von Kreditkartentransaktionsdaten verlieren.
Die sechs PCI DSS-Ziele
Das Aufrechterhalten der Sicherheit der für die Zahlungsabwicklung genutzten Infrastrukturen und Verhinderung des personenbezogenen Datenmissbrauchs
Pflege eines sicheren Netzwerks und sicherer Systeme
Umfasst den Einsatz von Technologien wie Firewalls und legt fest, dass werkseitig vorgegebene Authentifizierungsdaten und Sicherheitsparameter auf Netzwerksystemen geändert werden müssen.
Systemschutz vor Schwachstellen und gefährlichen Aktivitäten
Verlangt den Einsatz regelmäßig aktualisierter Anti-Malware-Software, genauso wie die Entwicklung sicherer Anwendungen und die dessen Verwendung.
Regelmäßige Netzwerküberwachung und Prüfung
Es müssen Maßnahmen ergriffen werden, um sicherzustellen, dass die Sicherheitsprozesse in den Netzwerken ordnungsgemäß funktionieren und dass der Zugang zu den Netzwerkressourcen und den Daten der Karteninhaber verfolgt wird.
Schutz der Kartenbesitzerdaten
Es wird die Einrichtung von Kontrollmechanismen zum Schutz gespeicherter Daten vor Hackerangriffen und die Verwendung wirksamer Verschlüsselungsmethoden für die Datenübertragung verlangt.
Eingeschränkter Zugriff auf System- und Betriebsinformationen
Der Zugriff auf die Daten des Karteninhabers wird nach dem „Kenntnis nur, wenn nötig“-Prinzip geregelt.
Umsetzung, Aufrechterhaltung und Durchsetzung formaler Sicherheitsrichtlinien
Verlangt, dass eine Informationssicherheitsrichtlinie von allen Mitarbeitern befolgt wird, sowie Audits und Sanktionen bei Nichteinhaltung.
Mit dem Load Balancer von Kemp die PCI-Konformität verbessern
Webbasierte Anwendungen sind das Hauptziel von Cyberangriffen, da die Angreifer hier große Profite machen können. Unternehmen, bei denen es zu Sicherheitsverletzungen kommt, bei denen Karteninhaberdaten beschädigt werden, können erhebliche Verluste erleiden. Technologien, die webbasierte Anwendungen bedienen und bereitstellen, müssen die PCI DSS- Bestimmungen einhalten. Load Balancer beschleunigen, skalieren und ermöglichen die Bereitstellung von Webanwendungen. Angesichts ihrer Wichtigkeit für die Anwendungsbereitstellung und der wichtigen Stellung zwischen Clients und Workload-Servern erwarten viele Kunden, dass Load Balancer Mechanismen bereitstellen, die Unternehmen bei der Einhaltung des PCI DSS unterstützen.
Kemp's LoadMaster wird mit Unterstützung für Multi-Cloud- und Hybrid-Cloud-Umgebungen geliefert und dessen Einrichtung ist auf einer Vielzahl von Plattformtypen möglich. Dies ermöglicht den Kunden, ihre Anwendungsinfrastrukturen zu skalieren und zu optimieren. Integrierte Distributed Denial of Service (DDoS) Mitigation, Intrusion Prevention/Intrusion Detection (IPS/IDS), Authentifizierungsüberprüfung und Web Application Firewalling (WAF) helfen den Kunden, die implementierten Anwendungen zu schützen. Da der Load Balancer den eingehenden Datenverkehr auch bei verschlüsselten Datenströmen überprüfen muss, ist er ideal für diese Art von Diensten. Kemp behauptet nicht, dass LoadMaster eine bestimmte Umgebung vollständig PCI DSS-konform macht, sondern hilft den Kunden, dessen Anforderungen zu erfüllen.
LoadMaster unterstützt Kunden bei der Einhaltung der PCI DSS-Vorschriften für Anwendungsbereitstellungen
- Anforderung 1.2: Verweigerung des Datenverkehrs von nicht vertrauenswürdigen Netzwerken und Hosts
- Anforderung 2: Verwenden Sie keine vom Hersteller bereitgestellten Vorgaben für Systemkennwörter und andere Sicherheitsparameter.
- Anforderung 3.3: Kontonummern bei der Anzeige verdecken
- Anforderung 3.5: Schützen der Verschlüsselungscodes vor Veröffentlichung und Missbrauch
- Anforderung 4.1: Verwendung starker Verschlüsselungstechniken und Sicherheitsprotokolle
- Anforderung 6.6: Prüfung und Behebung von Anwendungsschwachstellen oder Implementierung einer Web Application Firewall