DePCI DSS-Naleving-Checklistis geen statisches Dokument, sondern een kontinuierlicher Proces, de jaarlijks en bij Elke essentiële Infrastructuurwijziging erneuert worden moet. Voor Handelaar en KMU betekent het Verwalten Deze Checklist Tijd, Ressourcen en technisches Know-how. De praktischste Aanpak is niet, Alle 250+ Vereisten te vervullen, sondern De Bereik viaTokenisatiete verkleinen en zich op de wirklich notwendigen Controles te konzentrieren.
8 Schlüsselpunkte de PCI DSS-Naleving-Checklist
De Praktische Checklist voor Handelaar, de Kartenzahlungen accepteren:
- Bereik-Definition:Identifizieren U Alle Systemen, de Kaarthoudergegevens opslaan, verwerken of übertragen (CDE). Dokumentieren U Netzwerkdiagramme en Datenflussmapping.
- SAQ-Bestimmung:Ermitteln U gemeinsam met Uw Acquirer, Welke Self-Assessment Questionnaire voor Uw Zahlungskanal en Uw Integrationsarchitektur geldt (SAQ A, A-EP, B, C, D).
- Schwachstellenscans:Wanneer Uw SAQ vereist, vierteljährliche ASV-Scans (Approved Scanning Vendor) voor Alle externen IPs in het Bereik durchführen.
- Penetratietests:Voor Level-2-Handelaar en höher: jaarlijkse Penetratietests voor CDE-Perimeter en Applicaties, de Betalingsgegevens verwerken.
- Zugangskontrolle:Introductie van MFA (Multi-factor-authenticatie) voor Alle Toegangen op de CDE. Implementatie een "Least Privilege"-Prinzips.
- Protokollverwaltung:Aktivierung van Auditprotokollen voor Alle Toegangen op CDE-Systemen. Protokollaufbewahrung voor mindestens 12 Maanden, davon 3 Maanden direct beschikbaar.
- Versleuteling:Versleuteling van Kaarthoudergegevens bij de Übertragung (TLS 1.2 of höher) en in het Ruhezustand voor gespeicherte Gegevens.
- Incident-Response-Plan:Dokumentieren en jaarlijks testen U De Notfallplan voor Sicherheitsvorfälle met Kaartgegevens, einschließlich Benachrichtigungsverfahren voor Acquirer en zuständige Behörden.
Hoe Tokenisatie 90 % Deze Checklist elimineert
Voor Handelaar, dePCI Proxy EUIntegreren, vereinfacht zich de Checklist erheblich. Da geen PAN in de Händlersystemen vorhanden is, entfallen de meisten CDE-specifieke Vereisten: geen Netzwerksegmentierung, geen ASV-Scans voor Zahlungssysteme, geen CDE-specifieke Penetratietests. De Handelaar qualifiziert zich typischerweise voorSAQ A, het alleen een Bruchteil de Vereisten van SAQ D heeft.
De verbleibenden Pflichten konzentrieren zich op de Website-Beveiliging (HTTPS, geen bösartigen Skripte op Checkout-Pagina's), de fysieke Beveiliging van de Händlerstandorts en fundamentele Zugangskontrolle voor administrative Systemen. Dies zijn Controles, de een Bedrijf Elke Größe met de normalen IT-Managementprozessen verwalten kan, zonder spezialisierte PCI-Experts einzustellen.
PCI DSS v4 Neuigkeiten in de Checklist
PCI DSS v4.0, het 2024 volledig in Kraft getreten is, heeft mehrere Nieuwe Vereisten eingeführt, de de Checklist beeinflussen. De belangrijkste voor E-Commerce-Handelaar:
- Vereiste 6.4.3: Alle JavaScript-Skripte op Betaalpagina's moeten genehmigt en op Manipulationen überwacht worden. Dies betreft SAQ-A-Handelaar, de externe Skripte (Analytics, Chat, Werbung) op Pagina's met Zahlungsformularen laden.
- Vereiste 11.6.1: Nieuwe Überwachungsanforderungen voor niet autorisierte Änderungen op Betaalpagina's, de Handelaar effektiv zwingen, Monitoring-Oplossingen voor clientseitigen Code te implementeren.
- Vereiste 8.4.2: MFA nun voor Alle Toegangen op de CDE vereist, einschließlich interner Toegangen, niet alleen externer.
Veelgestelde vragen
Hoe oft moet de PCI DSS-Checklist aktualisiert worden?
De formale PCI DSS-Bewertung (SAQ of QSA-Audit) moet mindestens eenmalig pro Jaar erneuert worden. Schwachstellenscans moeten vierteljährlich durchgeführt worden, wanneer dies van Uw SAQ verlangt wordt. Penetratietests zijn jaarlijks of na essentiële Infrastructuurwijzigingen vereist. Unabhängig van deze formalen Terminen moet de interne Documentatie bij Elke essentiële Änderung de Zahlungsinfrastruktur aktualisiert worden.
Kan ik het SAQ selbst ausfüllen?
Ja. Het SAQ is een Selbstbewertungsinstrument: is Het geen Gesetz, het de Einbeziehung een externen Beraters vorschreibt. In de Praxis aanbevelen wij, de Eerste SAQ met Ondersteuning een PCI-Beraters of -Beraterunternehmens auszufüllen, om sicherzustellen, dat de Klassifizierung korrekt is. In De Folgejahren kan het SAQ intern met het gleichen Verfahren aktualisiert worden.
Wat passiert, wanneer ik het SAQ niet einreiche?
De SAQ-Einreichungspflicht is vertraglich vereinbart tussen het Handelaar en het Acquirer. Wanneer U de Naleving-Documentatie niet einreichen, riskieren U, dat de Acquirer U in een höhere Gebührenkategorie einstuft, en in schwerwiegenden Fällen kan Het de Fähigkeit naar de Kartenakzeptanz einschränken of aussetzen. Acquirer kunnen ook maandelijkse Niet-Naleving-Gebühren erheben.
Vereinfachen U Uw PCI DSS-Checklist met Tokenisatie: SAQ A, minimaler Perimeter, maximale Beveiliging.Ontdek PCI Proxy EU.
Hulp nodig bij PCI-naleving?
Ons team helpt u uw CDE in kaart te brengen, het juiste SAQ te kiezen en tokenisatie te implementeren met gegevensresidentie in de EU.
Neem contact op