Für Organisationen, die sich an ISO 27001 oder PCI DSS orientieren, ist es sowohl für die Einhaltung der Vorschriften als auch für ein effektives Risikomanagement von entscheidender Bedeutung zu verstehen, wo Penetrationstests vorgeschrieben sind und wo sie als bewährte Praxis gelten.

Penetrationstests in ISO 27001

ISO 27001 schreibt Penetrationstests nicht ausdrücklich vor. Stattdessen wird eine risikobasierte Methodik angewandt, d. h. Organisationen müssen Bedrohungen für ihre Informationsbestände identifizieren und geeignete Kontrollen zu deren Abschwächung einführen. Diese Flexibilität ermöglicht es Organisationen, ihren Sicherheitsansatz auf der Grundlage ihrer spezifischen Risikolandschaft anzupassen.

Penetrationstests spielen jedoch eine wichtige Rolle in diesem Modell und werden dringend empfohlen. Kontrollen wie technisches Schwachstellenmanagement und Sicherheitstests betonen die Notwendigkeit, Schwachstellen in Systemen und Anwendungen zu identifizieren. Penetrationstests sind eine der effektivsten Methoden, um dies zu erreichen, insbesondere bei Systemen, die mit dem Internet verbunden sind, bei kritischer Infrastruktur oder in Umgebungen, in denen sensible Daten verarbeitet werden.

In der Praxis erwarten die Zertifizierungsstellen oft den Nachweis von Sicherheitstests, wenn das Risiko dies rechtfertigt. Wenn die Risikobewertung einer Organisation glaubwürdige Angriffswege aufzeigt, werden Penetrationstests zu einer logischen und vertretbaren Kontrolle. An diesem Punkt sind sie im Rahmen des Informationssicherheitsmanagementsystems (ISMS) der Organisation tatsächlich erforderlich. Werden sie nicht durchgeführt, wenn das Risiko dies erfordert, kann dies zu Prüfungsfeststellungen oder Nichtkonformität führen.

Penetrationstests bei PCI DSS

Im Gegensatz zu ISO 27001 sind bei PCI DSS Penetrationstests zwingend vorgeschrieben. Gemäß Anforderung 11.4 von PCI DSS v4.0 müssen Organisationen mindestens einmal jährlich und nach jeder wesentlichen Änderung an Systemen oder Infrastrukturen sowohl interne als auch externe Penetrationstests durchführen.

Diese Anforderung ist präskriptiv und detailliert. Die Tests müssen die gesamte Umgebung der Karteninhaberdaten (Cardholder Data Environment, CDE) abdecken, einschließlich der Systeme, die Karteninhaberdaten speichern, verarbeiten oder beeinflussen können. Außerdem müssen sie sowohl interne als auch externe Perspektiven einbeziehen, um realistische Angriffsszenarien zu simulieren.

Segmentierungstests sind eine weitere Schlüsselkomponente. Verlassen sich Organisationen auf eine Netzwerksegmentierung, um das ZDE zu isolieren, muss durch Penetrationstests überprüft werden, ob diese Kontrollen wirksam sind. Diese Tests müssen mindestens einmal jährlich durchgeführt werden, bei Dienstleistern sogar noch häufiger, da sie unter Umständen alle sechs Monate getestet werden müssen.

PCI DSS legt auch Wert auf Qualität und Methodik. Unternehmen müssen branchenweit anerkannte Ansätze verwenden, sicherstellen, dass die Tester angemessen qualifiziert und unabhängig sind, und detaillierte Berichte erstellen. Entscheidend ist, dass alle identifizierten Schwachstellen behoben und erneut getestet werden müssen, um die Behebung zu bestätigen und zu zeigen, dass die Sicherheitskontrollen nicht nur vorhanden, sondern auch wirksam sind.

Kurz gesagt: Penetrationstests sind im Rahmen des PCI DSS nicht optional. Es handelt sich um eine definierte Compliance-Verpflichtung mit klaren Anforderungen an Umfang, Häufigkeit und Validierung.

Abstimmung der Konformität mit den Sicherheitsergebnissen

Obwohl ISO 27001 und PCI DSS unterschiedliche Ansätze verfolgen, verfolgen sie das gleiche Ziel: die Verringerung von Risiken und den Schutz sensibler Daten. ISO 27001 bietet Flexibilität und ermöglicht es Organisationen, selbst zu entscheiden, wann Penetrationstests erforderlich sind, während PCI DSS sie als Basiskontrolle vorschreibt.

In der Praxis werden Penetrationstests von vielen Unternehmen unabhängig von den Compliance-Anforderungen als Standardmaßnahme eingesetzt. Sie liefern reale Einblicke in die Art und Weise, wie Angreifer Schwachstellen ausnutzen könnten, und gehen über automatisches Scannen hinaus, um komplexe Angriffspfade und verkettete Schwachstellen aufzudecken.

Wie Integrity360 mit Penetrationstests unterstützen kann

Die Penetrationstests von Integrity360 sind so konzipiert, dass sie reale Cyberangriffe simulieren und eine strenge Bewertung der Cybersicherheitslage Ihres Unternehmens ermöglichen. Mit einem Team zertifizierter ethischer Hacker werden Tests durchgeführt, um ausnutzbare Schwachstellen zu identifizieren, bevor Bedrohungsakteure sie ausnutzen können, was Unternehmen einen proaktiven Vorteil beim Risikomanagement verschafft.

Anstatt sich nur auf einzelne Schwachstellen zu konzentrieren, bewertet Integrity360, wie Schwachstellen in Systemen, Netzwerken und Anwendungen kombiniert werden können, um praktikable Angriffswege zu schaffen. Dieser Ansatz bietet eine genauere Darstellung des realen Risikos und ermöglicht es Unternehmen, Abhilfemaßnahmen auf der Grundlage der geschäftlichen Auswirkungen zu priorisieren.

Diese Dienste unterstützen Unternehmen bei der Stärkung ihrer allgemeinen Widerstandsfähigkeit und erfüllen gleichzeitig wichtige gesetzliche Vorschriften und Compliance-Richtlinien, wie ISO 27001 und PCI DSS. Durch die Identifizierung und Validierung von Schwachstellen können Unternehmen ihre Sorgfaltspflicht nachweisen, die Auditbereitschaft unterstützen und sicherstellen, dass die Sicherheitskontrollen effektiv funktionieren.

Über die Einhaltung von Vorschriften hinaus spielen Penetrationstests eine direkte Rolle bei der Verringerung der Wahrscheinlichkeit kostspieliger Vorfälle. Die frühzeitige Identifizierung von Schwachstellen hilft, Datenschutzverletzungen, Betriebsunterbrechungen und finanzielle Verluste zu verhindern und gleichzeitig das Vertrauen von Kunden, Partnern und Interessengruppen zu stärken.

Die Experten von Integrity360 liefern detaillierte, strukturierte Berichte, die sowohl technische Teams als auch leitende Entscheidungsträger unterstützen. Die Ergebnisse werden nach klaren Prioritäten geordnet und mit praktischen Anleitungen zur Behebung versehen, die auf die Umgebung des Unternehmens zugeschnitten sind.

Ganz gleich, ob Sie sich auf ein Audit vorbereiten, neue Systeme einführen oder bestehende Schutzmaßnahmen verstärken wollen, Integrity360 bietet umsetzbare Erkenntnisse und fachkundige Unterstützung, damit Unternehmen sicher und konform bleiben.

Benötigen Sie Penetrationstests? Kontaktieren Sie uns und unsere Experten können Ihnen helfen.