PCI DSS

Was ist der PCI DSS Standard?

PCI DSS ist eine Bezugsquelle für Sicherheitsanforderungen, die darauf ausgelegt sind, die Vertraulichkeit von Bankkarten und Kreditkarten zu gewährleisten, wenn diese in IT-Systemen verwendet werden. Die Referenzquelle wird vom PCI Council, einem Branchenverband von Kreditkartenunternehmen, der VISA, Mastercard, American Express, JCB und Discovery umfasst, erstellt und aufrechterhalten.

Jede Bank, die Karten an Kunden ausgibt, die über ein Bankkonto verfügen, oder die Transaktionen für Händler eingeht, kann eine vertragliche Definition der Sicherheitsanforderungen vorlegen, die ihre Kunden und Partner erfüllen müssen. Der PCI DSS Standard definiert ein gemeinsames Sicherheitsniveau, das die meisten Anforderungen abdeckt. PCI DSS wurde zur Referenz für die Sicherheit elektronischer Zahlungssysteme, und die Einhaltung dieser Norm wurde zu einer systematischen Anforderung für Nutzer von Online-Zahlungssystemen. Jede Partei in der Hosting-Kette des Online-Zahlungssystems trägt eine Mitverantwortung für die Kontrolle der globalen Sicherheit der Plattform. Diese Verpflichtungen werden vertraglich von den Kartenmarken auf alle an der elektronischen Zahlungsplattform beteiligten Akteure übertragen.

Der PCI DSS Standard enthält offiziell mehr als 250 Kontrollen und Sicherheitsfunktionen, die eingehalten werden müssen, um Kartendaten sicher zu verarbeiten. Diese Kontrollen werden in sechs Gruppen unterteilt:

• Gesichertes Netzwerk und System aufbauen und aufrechterhalten

• Schutz der Karteninhaberdaten

• Verwendung eines Programms zur Verwaltung von Sicherheitslücken

• Implementierung strikter Maßnahmen zur Zugriffskontrolle

• Netzwerke regelmäßig überwachen und testen

• Einhaltung einer Datensicherheitsrichtlinie

So werden Sie PCI DSS-konform

Die PCI DSS Konformität (Compliance) gilt für die gesamte elektronische Zahlungsplattform und wird vom Händler eingehalten, indem er die PCI DSS-konformen Bausteine seines Dienstleisters verwendet. Dies bedeutet, dass jede an der Nutzung der Plattform beteiligte Partei die für ihre Tätigkeiten relevanten Anforderungen der Norm erfüllt und diese Konformität ihren Kunden nachweist.

Im Rahmen der PCI DSS Zahlungsinfrastruktur von OVHcloud ist OVHcloud für die Sicherheit der Infrastruktur verantwortlich, während Sie für die Sicherheit der von uns gehosteten virtuellen Maschinen, die Nutzung der virtuellen Netzwerkfunktionen und die Anwendungsschichten auf Ihren virtuellen Maschinen verantwortlich bleiben. PCI DSS Compliance ist somit eine gemeinsame Aufgabe, die Sicherheitsmaßnahmen Ihrer Software und Ihrer Systemplattform mit denen der Private Cloud Infrastruktur von OVHcloud zu kombinieren.

Die Konformität mit PCI DSS kann mit einer Compliance-Bestätigung (Attestation of Compliance oder AoC) zertifiziert werden, die entweder über einen Selbstbeurteilungsfragebogen oder per Audit durch ein oder mehrere QSA-Unternehmen (Qualified Security Assessor) durchgeführt wird.

Der PCI DSS Compliance-Prozess Ihrer Plattform folgt einem strukturierten Ablauf, dessen genaue Eigenschaften und Anforderungen von mehreren Faktoren abhängen:

•     Anzahl der jährlich durchgeführten Transaktionen
•     Typ(en) der akzeptierten Bankkarte(n)
•     Acquirer Bank(en)
•     Komplexität der elektronischen Zahlungsinfrastruktur.

PCI DSS-konform zu werden, bedeutet, sich an die Beteiligten zu wenden, um deren genaue Erwartungen zu verstehen. OVHcloud empfiehlt Ihnen, Ihre Acquirer-Bank und/oder ein QSA-Unternehmen zu kontaktieren, um Sie bei diesem Vorgang zu unterstützen.

Die OVHcloud Plattform wird jährlich von einem QSA-Unternehmen überprüft. Die Audit-Dokumente stehen Ihnen zur Verfügung, damit Sie diese einsehen können:

•     Sie sehen direkt, welche Anforderungen durch unsere Zertifizierung erfüllt werden
•     Legen Sie die Anforderungen fest, die erfüllt werden müssen
•     Zeigen Sie Ihrem QSA, dass alle anwendbaren Anforderungen von OVHcloud anerkannt sind und dem PCI DSS Standard entsprechen.

OVHcloud kann Ihnen auch dabei helfen, die Anforderungen zu erfüllen, und zwar mithilfe seines Expertenteams und der von OVHcloud angebotenen Dokumentation:

•     Erstellung einer PCI DSS Verantwortungsmatrix
•     Besondere Vertragsbedingungen mit Details zum Verantwortungsbereich von OVHcloud
•     Ein Muster von Spezifikationen für die Durchführung der obligatorischen Intrusionstests.