Mit der richtigen Unterstützung können Entwickler Ihrem Unternehmen dabei helfen, eine über den PCI DSS 4.0-Standard hinausgehende Konformität zu erreichen.

Eine Version dieses Artikels wurde ursprünglich veröffentlicht in Zone Dveröffentlicht. Er wurde aktualisiert und hier veröffentlicht.

Die Version 4.0 des Datensicherheitsstandards der Zahlungskartenindustrie (PCI DSS) wird fast alles an der Sicherheit für jedes Unternehmen oder jede Organisation verändern, die elektronische Zahlungen akzeptiert, was die große Mehrheit von ihnen ausmacht. Und täuschen Sie sich nicht: Diese Aktualisierung wird die meisten Unternehmen verändern und sie dazu zwingen, viele ihrer Sicherheitsprozesse zu aktualisieren und möglicherweise neue Schutzmaßnahmen in Bezug auf Verschlüsselung, Authentifizierung, Zugriffskontrolle, Schlüsselverwaltung und andere Bereiche zu implementieren, deren Einführung sie zuvor vielleicht hinausgezögert haben.

Aufgrund der Komplexität der neuen Anforderungen haben Unternehmen bis März 2025 Zeit, um die vollständige Konformität zu erreichen. Diese Frist wird jedoch schneller verstreichen, als die meisten Menschen denken. Tatsächlich ergreifen viele zukunftsorientierte Unternehmen bereits jetzt Maßnahmen, um ihren Entwicklern die Navigation durch die anstehende Compliance-Landschaft zu erleichtern.

Über die Ausbildung hinaus

Die Entwickler eines Unternehmens schreiben den Code, auf dem ein Großteil seiner Infrastruktur basiert. Daher ist es nur logisch, dass sie ein guter Ausgangspunkt für die Umsetzung der neuen PCI DSS 4.0-Anforderungen sind. Die meisten Entwickler benötigen jedoch strategische Unterstützung, um ihre Fähigkeiten im Rahmen eines aktualisierten Sicherheitsbewusstseinsprogramms zu verbessern. Dadurch wird sichergestellt, dass sie über die erforderliche Erfahrung verfügen, um die höheren Sicherheitsstandards der neuen Norm umzusetzen und aufrechtzuerhalten.

Tatsächlich verlangt die Anforderung 12.6.2 des PCI DSS 4.0 von Unternehmen, ein formelles Sicherheitsprogramm zu implementieren und dieses mit den neuesten Informationen zu Bedrohungen und Abwehrtechniken auf dem aktuellen Stand zu halten. Mit dem alten Standard reichten grundlegende Sicherheitsprogramme oder sogar jährliche Compliance-Schulungen vom Typ „Abhaken von Checklisten” aus, um das Ziel zu erreichen. Der neue Standard geht noch viel weiter und verlangt sogar, dass Sicherheitsschulungen sich mit den spezifischen Bedrohungen und Schwachstellen innerhalb der Unternehmensumgebung befassen. Wenn beispielsweise Identitätsdiebstahl ein ernstes Problem für ein Unternehmen darstellt, muss die Schulung darauf eingehen.

Es ist klar, dass eine minimale Schulung nicht mehr ausreicht, weder aus praktischer Sicht noch um die neue Norm zu erfüllen. Unternehmen müssen Entwicklern stattdessen umfassende und agile Lernpfade anbieten, in denen sie lernen, bewährte Sicherheitsverfahren in ihrer täglichen Arbeit anzuwenden. Indem sie über die Mindestanforderungen zur Einhaltung der Vorschriften hinausgehen und den Entwicklern die Ressourcen zur Verfügung stellen, die sie benötigen, um Sicherheit wirklich zu verstehen, können Unternehmen ihren Entwicklern die Möglichkeit geben, insgesamt bessere Sicherheitsentscheidungen zu treffen und gleichzeitig die PCI DSS 4.0-Norm einzuhalten.

Die gute Nachricht ist, dass viele der neuen Anforderungen der PCI DSS 4.0-Norm Bereiche betreffen, mit denen die meisten Entwickler bereits vertraut sind, wie Authentifizierung, Verschlüsselung, Zugriffskontrolle, Schlüsselverwaltung usw. Wenn Entwickler über geeignete, relevante und vertraute Ressourcen zur Weiterentwicklung ihrer Fähigkeiten verfügen, können Unternehmen sie leichter auf die neuen Standards und die erhöhten Anforderungen vorbereiten, die PCI DSS 4.0 mit sich bringt.

Die PCI DSS 4.0-Norm als Brücke zu einer besseren Gesamtsicherheit nutzen

Obwohl es unerlässlich ist, den Anforderungen der Entwickler durch eine gute Sicherheitsschulung gerecht zu werden, um die neue Norm PCI DSS 4.0 erfolgreich zu erfüllen, dürfen die Bemühungen, eine Organisation zu einer besseren Cybersicherheit zu entwickeln, nicht dabei stehen bleiben. Ja, die Anforderungen sind streng, aber da die meisten Organisationen sich bemühen müssen, diese zu erfüllen, gibt es keinen Grund, diese Bemühungen nicht als Sprungbrett zu nutzen, um das Sicherheitsbewusstsein und die Schulungen im Allgemeinen zu stärken. Dadurch kann ein Unternehmen nicht nur die Compliance-Anforderungen erfüllen, sondern auch eine positive Sicherheitskultur fördern, die bewährte Verfahren in den Vordergrund stellt und sicherstellt, dass alle Mitglieder des Unternehmens auf dasselbe sicherheitsorientierte Ziel hinarbeiten.

Natürlich gibt es eine Lernkurve, aber die Entwickler werden einer solchen Anstrengung wahrscheinlich zustimmen. In einer Umfrage von Evans unter mehr als 1.200 professionellen Entwicklern, die weltweit aktiv sind, gab die überwiegende Mehrheit an, dass sie das Konzept der Erstellung von sicherem Code und der Einführung einer besseren Sicherheitskultur in ihren Organisationen unterstützen. Es ist klar, dass die meisten Entwickler einen strategischen und nachhaltigen Übergang zu sicherer Programmierung und eine Neudefinition der Sicherheitsprioritäten im Rahmen des Entwicklungsprozesses befürworten.

Die durch den PCI DSS 4.0 vorgeschriebenen Sicherheitsupgrades sind ein idealer Anlass für Unternehmen, in die Verbesserung von Best Practices und Sicherheitsschulungen zu investieren und eine umfassendere Sicherheitskultur in ihrer Organisation zu etablieren.

Entwickler können leichter ein hohes Sicherheitsniveau erreichen, wenn ihre Unternehmen in ein Programm investieren, das es ihnen ermöglicht, ihre Kenntnisse im Bereich sicheres Programmieren mit relevanten Tools und Schulungen zu verbinden. Dies kann wiederum dazu beitragen, eine Sicherheitskultur zu schaffen, in der Entwickler besser in der Lage sind, Entscheidungen zu treffen, die die allgemeine Sicherheitslage ihres Unternehmens weit über die neuen strengen PCI DSS 4.0-Standards hinaus verbessern.
‍