Mit der richtigen Unterstützung können Entwickler Unternehmen zu einer hervorragenden PCI DSS 4.0-Konformität führen.

この記事のバージョンは、最初に掲載されました D-Zone. Hier aktualisiert und syndiziert.

Die Payment Card Industry Data Security Standard (PCI DSS) Version 4.0 verändert fast alles in Bezug auf die Sicherheit von Unternehmen und Organisationen (die Mehrheit), die elektronische Zahlungen akzeptieren. Und zweifellos wird diese Aktualisierung für die meisten Unternehmen eine Umwälzung bedeuten. Sie müssen viele ihrer Sicherheitsprozesse aktualisieren und neue Schutzmaßnahmen in Bereichen einführen, in denen die Umsetzung bisher vielleicht nur langsam vorangekommen ist, wie Verschlüsselung, Authentifizierung, Zugriffskontrolle und Schlüsselverwaltung.

Die neuen Anforderungen sind komplex, sodass Unternehmen verpflichtet sind, bis März 2025 vollständig konform zu sein. Diese Frist rückt jedoch schneller näher, als den meisten Menschen bewusst ist. Tatsächlich ergreifen viele vorausschauende Unternehmen bereits jetzt Maßnahmen, um Entwicklern zu helfen, die noch offenen Compliance-Anforderungen zu erfüllen.

Über die Grenzen des Trainings hinaus, das nicht an vorgefasste Meinungen gebunden ist

Da die Entwickler einer Organisation den Großteil des Codes erstellen, auf den die Infrastruktur basiert, ist es sinnvoll, dass sie bei der Implementierung der neuen PCI DSS 4.0-Anforderungen den Anfang machen. Allerdings benötigen die meisten Entwickler im Rahmen der aktuellen Programme zur Sensibilisierung für Sicherheitsfragen strategische Unterstützung, um ihre Fähigkeiten zu verbessern. So können sie die Erfahrungen sammeln, die für die Implementierung und Aufrechterhaltung des höheren Sicherheitsniveaus erforderlich sind, das der neue Standard verlangt.

Tatsächlich schreibt die Anforderung 12.6.2 des PCI DSS 4.0 vor, dass Organisationen ein formelles Sicherheitsprogramm implementieren und dieses mit den neuesten Bedrohungsinformationen und Abwehrtechnologien stets auf dem aktuellen Stand halten müssen.Nach den alten Standards konnten die Ziele auch mit grundlegenden Sicherheitsprogrammen und jährlichen Compliance-Schulungen im „Check-the-Box”-Format erreicht werden. Die neuen Standards verlangen jedoch noch mehr und schreiben auch Sicherheitsschulungsprogramme vor, die sich mit bestimmten Bedrohungen und Schwachstellen in der Unternehmensumgebung befassen. Wenn beispielsweise der Diebstahl personenbezogener Daten ein großes Problem für die Organisation darstellt, muss dies in den Schulungen behandelt werden.

Auch aus praktischer Sicht ist klar, dass selbst bei Einhaltung der neuen Standards minimale Schulungen nicht mehr ausreichen. Stattdessenmüssen Unternehmen ihren Entwicklern umfassende und agile Lernpfade anbieten, die ihnen vermitteln, wie sie bewährte Sicherheitsverfahren in ihrer täglichen Arbeit anwenden können. Anstatt sich auf die Mindestanforderungen zur Einhaltung der Vorschriften zu beschränken, können Unternehmen ihren Entwicklern die Ressourcen zur Verfügung stellen, die sie benötigen, um Sicherheit wirklich zu verstehen. So können Entwickler PCI DSS 4.0 einhalten und insgesamt fundiertere Sicherheitsentscheidungen treffen.

Glücklicherweise beziehen sich viele der neuen Anforderungen von PCI DSS 4.0 auf Bereiche, mit denen die meisten Entwickler bereits vertraut sind, darunter Authentifizierung, Verschlüsselung, Zugriffskontrolle und Schlüsselverwaltung. Wenn Entwicklern geeignete, relevante und vertraute Ressourcen zur Verbesserung ihrer Fähigkeiten zur Verfügung gestellt werden, können sich Organisationen leichter auf die neuen Standards und erhöhten Anforderungen von PCI DSS 4.0 vorbereiten.

PCI DSS 4.0 als Grundlage nutzen, um die allgemeine Sicherheit zu verbessern

Um die Einhaltung des neuen PCI DSS 4.0-Standards erfolgreich zu gewährleisten, ist es entscheidend, durch geeignete Sicherheitsschulungen auf die Bedürfnisse der Entwickler einzugehen. Die Bemühungen zur Stärkung der Cybersicherheit in Unternehmen enden jedoch nicht damit.Die Anforderungen sind zwar streng, aber da die meisten Unternehmen Anstrengungen unternehmen müssen, um diese zu erfüllen, gibt es keinen Grund, diese Maßnahmen nicht als Ausgangspunkt für die Verbesserung des allgemeinen Sicherheitsbewusstseins und der Schulungen zu nutzen. Dies hilft nicht nur den Unternehmen, die Compliance-Anforderungen zu erfüllen, sondern führt auch zur Schaffung einer positiven Sicherheitskultur, in der Best Practices Vorrang haben und alle Mitarbeiter des Unternehmens auf dasselbe sicherheitsorientierte Ziel hinarbeiten.

Es stimmt, dass das Lernen Zeit kostet, aber Entwickler werden sich mit solchen Anstrengungen beteiligen. Laut einer Umfrage von Evans Data befürwortet die überwiegende Mehrheit der mehr als 1.200 professionellen Entwickler, die weltweit aktiv sind, das Konzept, sicheren Code zu erstellen und eine bessere Sicherheitskultur in ihren Organisationen zu etablieren. Es ist offensichtlich, dass die meisten Entwickler den Übergang zu strategischem und unterstütztem sicherem Codieren und die Änderung der Sicherheitsprioritäten als Teil des Entwicklungsprozesses begrüßen.

Die in PCI DSS 4.0 vorgeschriebenen Sicherheitsupgrades bieten Unternehmen eine hervorragende Gelegenheit, in bewährte Sicherheitsverfahren und Schulungen zu investieren und eine bessere allgemeine Sicherheitskultur innerhalb ihrer Organisation zu etablieren.

Wenn Unternehmen in Programme investieren, die Secure-Coding-Fähigkeiten mit entsprechenden Tools und Schulungen verbinden, können Entwickler ihre Sicherheitsreife leichter verbessern. Dies trägt zur Förderung einer Sicherheitskultur bei, in der Entwickler fundiertere Entscheidungen treffen können, um die allgemeine Sicherheitsstruktur des Unternehmens weit über die neuen strengen PCI DSS 4.0-Standards hinaus zu verbessern.
‍