Warning: main(templates/google-analytics/add.php) [function.main]: failed to open stream: No such file or directory in /hp/ah/aa/ch/www/main.php on line 41

Warning: main() [function.include]: Failed opening 'templates/google-analytics/add.php' for inclusion (include_path='.:/opt/php4/usr/share/php') in /hp/ah/aa/ch/www/main.php on line 41

Warning: main(templates/google-add/add.php) [function.main]: failed to open stream: No such file or directory in /hp/ah/aa/ch/www/main.php on line 54

Warning: main() [function.include]: Failed opening 'templates/google-add/add.php' for inclusion (include_path='.:/opt/php4/usr/share/php') in /hp/ah/aa/ch/www/main.php on line 54
Internet-Zeitschrift für Compliance, Risisikomanagement, Governance und Datenschutz


Compliance mit dem PCI-Standard


Report: Viele Unternehmen erfüllen PCI-Sicherheitsstandards nicht dauerhaft
Fehlende Compliance führt zu höherem Datenmissbrauchsrisiko sowie zu finanziellen Verlusten und Imageschäden

(28.02.14) - Die Mehrzahl der Unternehmen kann im Anschluss an die alljährliche Prüfung auf Einhaltung des Payment Card Industry (PCI) Data Security Standard (DSS) den Compliance-Status auf Dauer nicht halten. Dies belegt ein neuer Report von Verizon. Damit steigen die Risiken für Datenmissbrauch sowie finanzielle Verluste und Imageschäden.

Der "Verizon 2014 PCI Compliance Report" bestätigt, dass Transaktionen mit Zahlungskarten nach wie vor das Hauptziel von Angreifern sind. Ebenso scheint die Häufigkeit solcher Verletzungen zuzunehmen. Laut The Nilson Report überschritt der weltweite Betrug mit Kreditkarten allein im Jahr 2012 die Marke von 11 Mrd. US-Dollar.

Dem Report zufolge sind in den meisten Fällen die Datenverletzungen bei Kartenzahlungen nicht auf Versagen der Sicherheitstechnologie oder der Einhaltung des Payment Card Industry Data Security Standard zurückzuführen. Vielmehr ist eine mangelnde Umsetzung entsprechender Compliance- und Sicherheitsmaßnahmen der Grund. "Wir beobachten immer wieder, dass viele Unternehmen PCI Compliance als Ereignis betrachten, das einmal im Jahr relevant ist. Ihnen scheint nicht klar zu sein, dass Compliance tagtäglich 365 Tage im Jahr im Mittelpunkt stehen muss", sagte Rodolphe Simonetti, Managing Director, PCI Practice bei Verizon Enterprise Solutions.

Der Bericht hat allerdings auch Positives zu vermelden: Die Zahl der Unternehmen, denen auf Anhieb Compliance mit dem PCI-Standard bescheinigt werden konnte, hat zugenommen. 2013 erfüllten über 82 Prozent der Firmen zum Zeitpunkt ihres alljährlichen Baseline-Assessments mindestens 80 Prozent des PCI-Standards; 2012 waren es gerade einmal 32 Prozent.

Aufgrund unterschiedlicher gesetzlicher Meldevorschriften für Datenverletzungen, gesetzlichen Anforderungen und Unterschiede in deren Umsetzung, ergaben sich regionale Unterschiede. Gemessen an der Erfüllung der PCI-Kriterien zu mindestens 80 Prozent belegte die Asien-Pazifikregion mit 75 Prozent Platz 1, gefolgt von den USA mit 56 Prozent und Europa mit 31 Prozent.

Zu den Bereichen, in denen Unternehmen die meisten Schwierigkeiten haben, auf Anhieb PCI Compliance zu schaffen, gehören Sicherheitstests (23,8 Prozent), Sicherheitsüberwachung und die Fähigkeit, wirksam Datenverletzungen zu erkennen und darauf zu reagieren (17 Prozent), und schließlich der Schutz gespeicherter sensibler Daten (55,6 Prozent).

"Alles weniger als 100 Prozent Compliance ist für Unternehmen heutzutage ein Problem", sagte Simonetti. "Immer wieder beobachten wir, wie sich Firmen durch Non-Compliance für den Diebstahl von Kreditkarteninformationen exponieren. Das kostet sie unter Umständen Hunderte Millionen Dollar, wenn man alle Schäden hineinrechnet; ganz zu schweigen vom Vertrauensverlust der Kunden und dem Imageschaden der Marke. Unternehmen müssen darüber nachdenken, wie sie in ihrer Umgebung PCI Compliance aufrechterhalten, sei es durch verstärkten Mitteleinsatz oder durch die Zusammenarbeit mit einem Anbieter von Managed Security Services."

Report analysiert detailliert jeden der 12 PCI-Anforderungen
Darüber hinaus untersucht der Report im Detail, in wieweit Unternehmen die 12 PCI-Kriterien im Einzelnen erfüllen. Es werden Empfehlungen abgegeben, die Unternehmen nutzen können, Compliance zu erreichen und zu behalten. Außerdem wird erklärt, was Non-Compliance bei einzelnen Anforderungen im Hinblick auf mögliche Datenverletzungen bedeutet.

Simonetti weist darauf hin, dass geplante PCI-Compliance-Maßnahmen mit den wichtigsten unternehmensweiten Governance-, Sicherheits- und Compliance-Programmen integriert werden sollten. Außerdem sollten sie weitestgehend automatisiert werden, damit dies kostengünstig und nachhaltig geschehe.

Erkenntnisse des PCI-Reports basieren auf realen PCI-Assessments
Der Bericht basiert auf den Erkenntnissen aus Hunderten von PCI-DSS-Assessments, die ein Verizon Team von PCI Qualified Security Assessors von 2011 bis 2013 vorgenommen hat. Ähnlich wie die Verizon Berichtsreihe "Data Breach Investigations Report (DBIR)" basiert der PCI Compliance Report auf der Arbeit an realen Fällen. Es ist nach aktuellem Kenntnisstand der bislang einzige Bericht dieser Art innerhalb der Branche. Der diesjährige Bericht (der Dritte der Reihe) analysiert PCI Data Security Assessment-Daten mit Schwerpunkt auf Einzelhandel, Finanzdienstleistungen sowie Gastgewerbe in Nordamerika, Europa und der Asien-Pazifikregion. (Verizon Communications: ra)

Verizon Communications: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Kostenloser Compliance-Newsletter
Ihr Compliance-Magazin.de-Newsletter hier >>>>>>


Meldungen: Studien

  • Zukunft der Arbeit spaltet Führung & Mitarbeiter

    NTT hat die 2021er-Ausgabe ihres "Global Workplace Report" veröffentlicht. Die Studie liefert detaillierte Informationen zu den Bereichen Employee Experience - also den Erfahrungen der Mitarbeiter an ihrem Arbeitsplatz -, vernetzte Digitalisierung sowie Arbeitsplatzgestaltung und bietet damit wichtige Gestaltungsansätze für die Zukunft der Arbeit, auf die sich Unternehmen auf der ganzen Welt nach der Pandemie einstellen müssen. Die Daten zeigen, dass die meisten Organisationen zwar erkannt haben, welche Maßnahmen sie für die Modernisierung ihrer Arbeitsmodelle in den einzelnen Sektoren priorisieren müssen, viele sind aber noch nicht in der Lage, diese effektiv umzusetzen. Die Befragung von weltweit 1.146 leitenden Angestellten sowie 1.400 Mitarbeitern belegt, dass eine Mehrheit der Befragten die während der Pandemie erfolgte Zunahme von Remote-Arbeit kritisch beurteilt. 74 Prozent sehen dadurch die Unternehmensleistung beeinträchtigt und 76 Prozent bezeichnen Homeoffice als Herausforderung für die Angestellten. Und für 60 Prozent der Personalchefs hat sich das Wohlbefinden der Mitarbeiter im Laufe der Pandemie verschlechtert.

  • Zu geringe Breitbandgeschwindigkeit

    Am 01.12.2021 trat die Novelle des Telekommunikationsgesetzes (TKG) in Kraft. Verbraucher erhalten dann ein Minderungsrecht, wenn ihr Internet langsamer ist als vertraglich vereinbart. Der vzbv hat ausgerechnet, welche Beträge Verbraucher im Zeitraum 2019/2020 zu viel bezahlten. Mit der TKG-Novelle erhalten Verbraucher ein Minderungsrecht, wenn die Internetgeschwindigkeit langsamer ist als vertraglich vereinbart. Der Verbraucherzentrale Bundesverband e.V. (vzbv) hat mit Daten der Bundesnetzagentur ausgerechnet, wie viel Verbraucher im Zeitraum 2019/2020 in gängigen Breitband-Tarifen monatlich zu viel zahlten. Untersucht wurden die größten Breitband-Internetanbieter Telekom, Vodafone, Telefónica und 1&1.

  • Weiterhin ein Gefühl der Einsamkeit

    Eine Kaspersky-Studie hat ergeben, dass 60 Prozent der in Deutschland befragten Angestellten sich nicht isoliert fühlen, wenn sie aus der Ferne arbeiten. Mehr als ein Viertel (26 Prozent) gab sogar an, remote besser mit ihren Kollegen kommunizieren zu können. Eine große Herausforderung für Arbeitgeber: Die weit verbreitete Nutzung von Kommunikationsdiensten, die nicht zu den offiziellen Unternehmenskanälen gehören, ermöglicht bessere Verbindungen, erhöht jedoch gleichzeitig auch die Risiken, die von unkontrollierten IT-Ressourcen ausgehen. Die epidemiologische Situation und die darauf folgenden Abriegelungsmaßnahmen rund um den Globus haben den Kommunikationsaspekt im Privat- und Arbeitsleben stark beeinflusst. Soziale Isolation sowie mangelnde Kommunikation mit Kollegen gehörten zu den am meistdiskutierten Bedenken von Mitarbeitern, die unternehmensextern tätig sind.

  • Komplexität erschwert Sicherheit

    Digitalisierung, Remote-Arbeit und zunehmende Cloud-Nutzung wirken sich auf die Sichtbarkeit von Cyberbedrohungen und die Reaktion auf Cybervorfälle aus. Dabei stellen der Datenschutz sowie eine zunehmend komplexe Infrastruktur für die Hälfte der europäischen Unternehmen eine Herausforderung dar. Diese Ergebnisse gehen aus dem aktuellen "IT Security Economics Report" von Kaspersky hervor. Im Jahr 2020 haben Lockdowns und die damit verbundene Fernarbeit den Einsatz digitaler Technologien in Unternehmen gefördert. Laut McKinsey & Company haben die Digitalisierung in Kunden- und Lieferketteninteraktionen sowie der Anteil digitaler oder digital gestützter Produkte zugenommen. Damit war auch die Einführung neuer IT-Dienste und Änderungen der IT-Infrastruktur verbunden.

  • Interner Schutz von Whistleblowern

    Mitte Dezember tritt die EU-Whistleblowing-Richtlinie in Kraft und verpflichtet einen Großteil der Unternehmen zur Implementierung eines internen Meldekanals. Jedoch sind viele betroffene Unternehmen noch nicht ausreichend vorbereitet, wie aus dem Whistleblowing Report 2021 hervorgeht. Für diesen befragte die Fachhochschule Graubünden in Zusammenarbeit mit der Münchner EQS Group 1.239 Unternehmen in Deutschland, Schweiz, Frankreich und Großbritannien zur Verwendung von internen Meldekanälen.