PCI DSS v4.0 is de meest uitgebreide Revisie van de Standaarden sinds zijn Introductie. Met64 Nieuwe Vereistenen fundamentele Änderungen op het Struktur- en Implementierungsansatz stelt v4 een erhebliche Uitdaging voor Handelaar uit, de zich op v3.2.1 ingesteld hatten. Deze Gids voert via Alle essentiële Änderungen en legt uit, Wat concreet te tun is.
Structurele Änderungen in PCI DSS v4
De Belangrijkste Structurele Änderung in PCI DSS v4 is de Introductie van deCustomized Approach: Neben het traditionellen "Defined Approach" (Naleving de specifieke Vereisten) kunnen Bedrijf nu aantonen, Hoe u het Beveiligingsdoel een Vereiste via een anderen Aanpak vervullen. Het biedt Flexibiliteit voor cloud-native Architekturen, vereist maar deutlich Meer Documentatie-inspanning.
PCI DSS v4 heeft ook de Terminologie aangepast: "Firewall" werd te "Netwerkbeveiligingscontrole" hernoemd, om moderne Aanpakken Hoe WAF, Microsegmentatie en Cloud-Sicherheitsgruppen einzuschließen. "Antivirus" werd te "Anti-Malware" uitgebreid.
Nieuwe Vereisten na Gebied
Betaalpagina's-Beveiliging (Vereisten 6.4.3, 11.6.1)
Handelaar moeten Alle op de Betaalpagina geladenen JavaScript-Scripts inventariseren en autoriseren. Een Mechanismus naar de Detectie ongeautoriseerde Änderungen naar Betaalpagina's-Scripts en -Headern moet geïmplementeerd worden. Deze Vereisten gelden ook voor SAQ-A-Handelaar en richten zich tegen Magecart-Skimming-Aanvallen.
Multi-factor-authenticatie (Vereiste 8.4)
MFA is nu voor Alle niet-console-gebaseerde Beheerstoegangen in de CDE verplicht, ook voor interne Gebruikers. v3.2.1 vereiste MFA alleen voor Remote-Toegang. Deze Uitbreiding betreft Beheerders, de intern op CDE-Systemen toegang krijgen.
Anti-Phishing en E-mailauthenticatie (Vereisten 5.4.1, 12.5.3)
Handelaar moeten automatisierte Mechanismen naar de Detectie en naar het Bescherming van Medewerkers voor Phishing-Aanvallen implementeren. DMARC-Implementatie is als best practice aanbevolen (sommige SAQ's vereisen u direct).
Sicherheitskontroll-Uitval (Vereisten 10.7.2, 10.7.3)
Uitval kritieke Beveiligingscontrollen (Firewalls, IDS/IPS, SIEM, Anti-Malware) moeten direct gedetecteerd en gemeld worden. moet een formeller Proces voor de Reactie op dese Uitval aanwezig zijn.
Wat van v3.2.1 na v4 geändert werd: Vergleich
Viele Vereisten worden inhaltlich verstärkt of uitgebreid:
- Schwachstellenmanagement: Stärkere Vereisten naar Patch-Fristen, besonders voor kritische Kwetsbaarheden in CDE-Systemen (max. 1 Monat)
- Zugriffskontrolle: Strengere Vereisten naar het Prinzip de minimalen Rechte en regelmatige Überprüfung van Zugriffsrechten
- Kryptografie: Explizites Verbod veralteter Logs (TLS 1.0, 1.1) en schwacher Algorithmen
- Dienstverlener-Management: Jaarlijkse schriftliche Bestätigung de PCI DSS-Verantwortlichkeiten aller Dienstverlener
Veelgestelde vragen
Wanneer ik al v3.2.1-konform Wat, moet ik alles neu implementeren?
Niet alles. Viele Vereisten in v4 zijn Erweiterungen of Klarstellungen al bestehender Vereisten. De genuinen Neuheiten zijn hauptsächlich de Betaalpagina's-Skript-Vereisten (6.4.3, 11.6.1), de MFA-Uitbreiding voor Alle CDE-Toegangen, de Phishing-Bescherming-Vereisten en de verstärkten Überwachungsanforderungen. Een Gap-analyse tegen v3.2.1 toont, Wat concreet neu geïmplementeerd worden moet.
Verkleint Tokenisatie ook de v4-Naleving-Last?
Ja, erheblich. Viele Nieuwe v4-Vereisten (Schwachstellenmanagement, MFA, Logging, Überwachung) gelden alleen voor CDE-Systemen. Met een minimierten CDE via Tokenisatie entfallen Deze Vereisten voor de meisten interne Systemen. De Vereisten 6.4.3 en 11.6.1 (Betaalpagina's-Scripts) gelden ook voor SAQ-A-Handelaar, zijn maar wezenlijk einfacher te implementeren als een Volledige SAQ-D-Naleving.
PCI DSS v4 vervullen met minimalem Aufwand: Via Reduzierung de CDE op het Nötigste entfallen viele Nieuwe Vereisten uit Uw Verantwortungsbereich.PCI Proxy EU Ontdekken.
Hulp nodig bij PCI-naleving?
Ons team helpt u uw CDE in kaart te brengen, het juiste SAQ te kiezen en tokenisatie te implementeren met gegevensresidentie in de EU.
Neem contact op