Mit der richtigen Unterstützung können Entwickler Ihr Unternehmen zu einer hervorragenden PCI DSS 4.0-Konformität führen.

Eine Version dieses Artikels erschien ursprünglich auf DZone. Es wurde hier aktualisiert und veröffentlicht.

Die Version 4.0 des Payment Card Industry Data Security Standard (PCI DSS) wird fast alles verändern, was die Sicherheit von Unternehmen oder Organisationen betrifft, die elektronische Zahlungen akzeptieren (was die überwiegende Mehrheit ist). Diese Aktualisierung wird zweifellos für die meisten Unternehmen eine Umwälzung bedeuten und sie dazu zwingen, viele Sicherheitsprozesse zu aktualisieren und möglicherweise neue Schutzmaßnahmen in den Bereichen Verschlüsselung, Authentifizierung, Zugriffskontrolle, Schlüsselverwaltung und anderen Bereichen einzuführen, in denen bisher nur langsame Fortschritte erzielt wurden.

Aufgrund der Komplexität der neuen Anforderungen können Organisationen erst bis März 2025 vollständige Konformität erreichen. Dieser Stichtag wird jedoch früher kommen, als den meisten bewusst ist. Tatsächlich ergreifen viele vorausschauende Unternehmen bereits jetzt Maßnahmen, um ihre Entwickler in die Lage zu versetzen, sich in der noch offenen Compliance-Landschaft zurechtzufinden.

Über das Training hinaus, das sofort nach dem Auspacken verfügbar ist

Die Entwickler der Organisation schreiben den Großteil des Codes, auf dem ihre Infrastruktur basiert. Daher sind sie ein guter Ausgangspunkt für die Umsetzung der neuen PCI DSS 4.0-Anforderungen. Als Teil eines aktualisierten Sicherheitsbewusstseinsprogramms benötigen die meisten Entwickler jedoch strategische Unterstützung, um ihre Fähigkeiten zu verbessern. Damit soll sichergestellt werden, dass sie über die erforderliche Erfahrung verfügen, um das höhere Sicherheitsniveau zu erreichen, das für die Umsetzung und Aufrechterhaltung der neuen Standards erforderlich ist.

Tatsächlich verlangt PCI DSS 4.0 in Anforderung 12.6.2 von Organisationen, dass sie ein formelles Sicherheitsprogramm implementieren und dieses anhand der neuesten Bedrohungsinformationen und Abwehrtechnologien aktualisieren. Nach den älteren Standards reichten ein grundlegendes Sicherheitsprogramm und sogar eine jährliche Compliance-Schulung im Stil einer „Checkliste“ aus, um die Ziele zu erreichen. Die Anforderungen des neuen Standards gehen weit darüber hinaus und verlangen sogar, dass das Sicherheitsschulungsprogramm auf die spezifischen Bedrohungen und Schwachstellen in der Unternehmensumgebung zugeschnitten ist.Wenn beispielsweise Identitätsdiebstahl ein großes Problem für die Organisation darstellt, muss die Schulung dieses Problem behandeln.

Es ist offensichtlich, dass eine minimale Schulung sowohl aus praktischer Sicht als auch im Hinblick auf die Einhaltung der neuen Standards nicht mehr ausreicht. Stattdessen müssen Unternehmen ihren Entwicklern umfassende, agile Lernmöglichkeiten bieten, um ihnen beizubringen, wie sie bewährte Sicherheitsverfahren in ihrer täglichen Arbeit anwenden können. Indem sie über die Mindestanforderungen zur Einhaltung der Vorschriften hinausgehen und ihren Entwicklern die Ressourcen zur Verfügung stellen, die sie für ein echtes Verständnis der Sicherheit benötigen, können Unternehmen ihren Entwicklern helfen, insgesamt bessere Sicherheitsentscheidungen zu treffen und gleichzeitig PCI DSS 4.0 einzuhalten.

Die gute Nachricht ist, dass viele der neuen Anforderungen in PCI DSS 4.0 Bereiche betreffen, mit denen die meisten Entwickler bereits vertraut sind, wie Authentifizierung, Verschlüsselung, Zugriffskontrolle, Schlüsselverwaltung usw. Wenn Entwicklern geeignete, relevante und vertraute Ressourcen zur Verfügung gestellt werden, um ihre Fähigkeiten zu verbessern, können Unternehmen sie leichter auf die neuen Standards und größeren Verantwortlichkeiten vorbereiten, die mit den Anforderungen von PCI DSS 4.0 einhergehen.

PCI DSS 4.0 als Grundlage für die Verbesserung der Gesamtsicherheit nutzen

Obwohl die Erfüllung der Anforderungen der Entwickler durch eine gute Sicherheitsschulung der Schlüssel zur erfolgreichen Einhaltung der neuen PCI DSS 4.0-Standards ist, endet die Bemühung, Organisationen zu einer besseren Cybersicherheit zu bewegen, damit nicht unbedingt.Ja, diese Anforderungen sind streng, aber da die meisten Unternehmen Anstrengungen unternehmen müssen, um sie zu erfüllen, gibt es keinen Grund, diese Bemühungen nicht als Sprungbrett für eine bessere allgemeine Sicherheitsbewusstsein und -schulung zu nutzen. Dies hilft Unternehmen nicht nur bei der Erfüllung der Compliance-Anforderungen, sondern fördert auch eine positive Sicherheitskultur, in der bewährte Verfahren Priorität haben und sichergestellt wird, dass alle Mitarbeiter des Unternehmens auf dasselbe Ziel hinarbeiten: Sicherheit an erster Stelle.

Natürlich gibt es eine gewisse Lernkurve, aber Entwickler sind wahrscheinlich bereit, diese Anstrengungen zu unternehmen. In Evans' Datenumfrage unter mehr als 1.200 weltweit aktiven professionellen Entwicklern sprach sich die überwiegende Mehrheit für die Erstellung sicherer Codes und die Schaffung einer besseren Sicherheitskultur in Unternehmen aus. Offensichtlich begrüßen die meisten Entwickler eine strategische Umstellung auf sicheres Codieren während des Entwicklungsprozesses und eine Neufestlegung der Sicherheitsprioritäten.

Die in PCI DSS 4.0 festgelegten Sicherheitsupgrades bieten Unternehmen einen perfekten Anlass, in die Verbesserung von Sicherheitsbestpraktiken und Schulungen zu investieren und eine bessere allgemeine Sicherheitskultur innerhalb der Organisation zu etablieren.

Wenn Entwicklerunternehmen in ein Programm investieren, das es ihnen ermöglicht, sichere Programmierkenntnisse mit entsprechenden Tools und Schulungen zu kombinieren, können Entwickler leichter ein höheres Sicherheitsniveau erreichen. Dies wiederum trägt zur Schaffung einer Sicherheitskultur bei, in der Entwickler bessere Entscheidungen treffen können, wodurch sich die allgemeine Sicherheit des Unternehmens verbessert und sogar weit über die strengen neuen PCI DSS 4.0-Standards hinausgeht.
‍