Die Aussage, dass ein Drittanbieter „PCI-konform“ ist, ist keine endgültige Feststellung, sondern der Ausgangspunkt für weitere Überprüfungen.
Für viele Unternehmen bedeutet die Überprüfung durch einen Drittanbieter nach wie vor, eine Konformitätsbescheinigung (Attestation of Compliance, AOC) einzuholen, diese in einem Repository zu speichern und davon auszugehen, dass keine weitere Überprüfung erforderlich ist. Der PCI DSS verlangt jedoch mehr als nur den Nachweis, dass ein Anbieter zu einem bestimmten Zeitpunkt eine Bewertung durchgeführt hat.
Sie müssen feststellen, ob der Anbieter in den Geltungsbereich fällt, welche Dienste bewertet wurden, welche Verantwortlichkeiten er übernommen hat, ob seine Validierung noch aktuell ist und ob die Nachweise tatsächlich die Dienste abdecken, die Ihr Unternehmen in Anspruch nimmt.
Das PCI Security Standards Council hat klargestellt, wie Drittanbieter im Rahmen einer PCI-DSS-Bewertung in den Geltungsbereich einbezogen, validiert und dokumentiert werden sollten. Die Leitlinien heben einen wichtigen Punkt hervor: Anbieter müssen keine Kontodaten speichern, verarbeiten oder übertragen, um in den Geltungsbereich zu fallen. Sie können auch deshalb in den Geltungsbereich fallen, weil ihre Dienste zur Erfüllung der PCI-DSS-Anforderungen beitragen oder die Sicherheit der Karteninhaberdatenumgebung beeinträchtigen könnten.
Dies hat erhebliche Auswirkungen auf Händler, Dienstleister und Prüfer.
Im Rahmen der PCI-DSS-Prüfung eines Kunden ist eine Beziehung zu einem externen Dienstleister dann relevant, wenn der Dienstleister Dienstleistungen erbringt, die:
Gerade beim dritten Punkt unterschätzen Unternehmen häufig den Umfang ihrer Verpflichtungen.
Ein Anbieter muss keine Primärkontonummer (Primary Account Number, PAN) einsehen, um deren Sicherheit zu beeinträchtigen. Ein Managed-Security-Service-Anbieter, Cloud-Anbieter, Identitätsanbieter, Hosting-Unternehmen, Anwendungsmanagement-Anbieter oder Fernsupport-Anbieter verarbeitet zwar möglicherweise keine Zahlungsdaten direkt, doch sein Zugriff oder seine Dienste könnten dennoch die Sicherheit der Systeme im Geltungsbereich beeinträchtigen.
Das bedeutet, dass die richtige Frage nicht einfach lautet:
Verarbeitet dieser Anbieter Kartendaten?
Sondern:
Könnten die Systeme, das Personal, die Zugriffsrechte oder die Dienstleistungen dieses Anbieters die Sicherheit von Kontodaten beeinträchtigen oder uns dabei helfen, eine PCI-DSS-Anforderung zu erfüllen?
Wenn die Antwort „Ja“ lautet, müssen die entsprechenden Dienste, Zugriffspfade, Systemabhängigkeiten und vom Anbieter verwalteten Verantwortlichkeiten im PCI-DSS-Geltungsbereich und bei der Bewertung des Kunden berücksichtigt werden.
Die PCI-DSS-Konformität gilt für einen definierten Geltungsbereich, einen bestimmten Dienst und einen bestimmten Zeitraum.
Ein Anbieter kann mehrere Produkte, Plattformen oder Dienstleistungsbereiche betreiben. Seine Konformitätsbescheinigung (AOC) deckt möglicherweise einen davon ab, nicht jedoch die Dienstleistung, die Ihr Unternehmen nutzt. Der bewertete Umfang kann auf bestimmte juristische Personen, Dienstleistungen, Umgebungen, Standorte, Regionen oder Bereitstellungsmodelle beschränkt sein, wie in der AOC und den begleitenden Bewertungsunterlagen dokumentiert.
Die Aussage „Unser Anbieter ist PCI-konform“ sagt für sich genommen nur sehr wenig aus.
Sie müssen dennoch Folgendes feststellen:
Ohne diese Analyse kann ein AOC ein trügerisches Vertrauen wecken.
Eine Organisation kann zwar über ein gültiges Dokument verfügen, sich jedoch auf eine Dienstleistung verlassen, die außerhalb des geprüften Geltungsbereichs des Anbieters liegt.
Ein externer Dienstleister hat in der Regel zwei Möglichkeiten, seine PCI-DSS-Verantwortlichkeiten nachzuweisen.
Der Anbieter kann eine jährliche PCI-DSS-Prüfung durchführen und seinen Kunden entsprechende Nachweise vorlegen, in der Regel ein AOC.
Je nach seinen Validierungsanforderungen kann der Anbieter Folgendes durchführen:
Dies ist für Kunden in der Regel der einfachste Weg, da der Anbieter seinen Geltungsbereich bereits ermittelt, die anwendbaren Kontrollmaßnahmen bewertet und das Ergebnis dokumentiert hat.
Der Kunde muss das AOC jedoch dennoch sorgfältig prüfen. Der Erhalt des Dokuments entbindet ihn nicht von der Pflicht, sich zu vergewissern, dass es den betreffenden Dienst abdeckt.
Hat der Dienstleister seine eigene jährliche Bewertung nicht abgeschlossen, kann er an der PCI-DSS-Bewertung eines Kunden teilnehmen.
Der Anbieter muss dem Prüfer des Kunden ausreichende Nachweise, Personal, Systeme und Prozesse zur Verfügung stellen, damit dieser die entsprechenden PCI-DSS-Prüfverfahren durchführen und zu einer fundierten Schlussfolgerung gelangen kann. Die Verantwortlichkeiten des Anbieters werden dann im Rahmen des Compliance-Berichts dieses Kunden bewertet. Dabei handelt es sich nicht um eine einfache Erklärung des Anbieters. Es sind detaillierte Nachweise und Prüfungen durch den Prüfer erforderlich. Außerdem steht diese Option nicht jedem Händler zur Verfügung.
Ein Händler kann sein eigenes SAQ nicht dazu verwenden, die interne PCI-DSS-Konformität eines nicht validierten Dienstleisters zu überprüfen. Das SAQ des Händlers deckt die relevante Umgebung des Händlers und die für diesen Händler geltenden Anforderungen ab.
Vom Händler sollte nicht verlangt werden, dass er:
Von einem Anbieter, der einen SAQ-Händler betreut, wird erwartet, dass er seine eigene Compliance durch ein SAQ D für Dienstleister oder ein ROC nachweist.
Wenn also ein Anbieter ohne eigene Validierung einem SAQ-Händler mitteilt, er könne sich einfach „auf die Bewertung des Kunden stützen“, sollte der Händler diese Aussage hinterfragen.
Die Vorgehensweise, die Kontrollmaßnahmen des Dienstleisters in die Kundenbewertung einzubeziehen, gilt für Organisationen, die ein ROC ausfüllen und sich dafür entscheiden, diese Verantwortlichkeiten des Dienstleisters direkt zu bewerten. Es handelt sich dabei nicht um eine allgemeingültige Alternative zur Validierung durch den Dienstleister.
Eine Konformitätsbescheinigung ist ein wichtiger Nachweis, jedoch nur, wenn sie ordnungsgemäß geprüft wird.
Es reicht nicht aus, lediglich den Namen des Anbieters und das Datum des Abschlusses der Prüfung zu überprüfen. Im Rahmen Ihrer Sorgfaltspflicht sollten Sie sich vergewissern, dass die AOC für die betreffende Dienstleistung, Umgebung und Geschäftsbeziehung gilt.
Überprüfen Sie, ob die im AOC genannte juristische Person auch diejenige ist, die Ihre Dienstleistung erbringt.
Große Konzerne können über mehrere Tochtergesellschaften tätig sein. Die Bewertung einer Muttergesellschaft gilt nicht automatisch für jede Tochtergesellschaft oder jeden regionalen Geschäftsbereich.
Prüfen Sie die Beschreibung der bewerteten Dienstleistungen.
Der Anbieter bietet möglicherweise mehrere Cloud-Umgebungen, Hosting-Dienste, Zahlungsprodukte oder Managed Services an. Die AOC muss den konkreten Dienst abdecken, den Sie nutzen, und nicht lediglich einen anderen Dienst desselben Unternehmens.
Die PCI-DSS-Validierung ist nicht dauerhaft gültig.
Ein AOC sollte nicht auf unbestimmte Zeit in den Akten verbleiben, ohne dass überprüft wird, ob der PCI-DSS-Konformitätsstatus des Anbieters noch aktuell ist und ob aktualisierte Validierungsunterlagen vorliegen.
Stellen Sie fest, welche Version des PCI DSS bei der Bewertung des Anbieters verwendet wurde.
Dies hilft bei der Feststellung, ob die Validierung des Anbieters auf der geltenden Version des PCI DSS basiert und für den Bewertungs- und Berichtszeitraum des Kunden geeignet ist.
Aus der Vereinbarung und den Begleitunterlagen sollte klar hervorgehen, welche PCI-DSS-Anforderungen:
Ein AOC überträgt nicht die gesamte Verantwortung auf den Anbieter. Die Kunden bleiben dafür verantwortlich, ihren Teil der Kontrollumgebung zu verstehen und zu betreiben.
Jeder Dienstleister, der die PCI-DSS-Kriterien für den Geltungsbereich erfüllt, sollte in Abschnitt 4.4 des Compliance-Berichts dokumentiert werden.
Dazu gehören Anbieter, die:
Gegebenenfalls sollten die Dienste, Verbindungen, Zugriffsrechte und Abhängigkeiten des Anbieters auch in den Abschnitten des ROC berücksichtigt werden, die sich mit dem Umfang, den Systemkomponenten, den Netzwerkverbindungen, der Segmentierung, den Datenflüssen und den bewerteten Standorten befassen.
Entscheidend ist dabei die Konsistenz.
Die im ROC aufgeführten Anbieter sollten mit folgenden Punkten übereinstimmen:
Ein Anbieter sollte nicht in einem Dokument aufgeführt sein, in den anderen jedoch fehlen.
Wenn ein Drittanbieter für eine PCI-DSS-Anforderung verantwortlich ist, kann die Anforderung als „umgesetzt“ gemeldet werden.
Diese Schlussfolgerung erfordert jedoch entsprechende Nachweise.
Die Dokumentationsunterlagen zur Bewertung sollten Folgendes enthalten:
„In Place“ ist keine Abkürzung für „der Anbieter hat uns mitgeteilt, dass die Konformität gegeben ist“.
Es handelt sich um eine dokumentierte Bewertungsschlussfolgerung, die durch Verträge, Validierungsnachweise und Tests gestützt wird.
Fehlen diese Elemente, ist das Ergebnis möglicherweise nicht vertretbar.
Die PCI-DSS-Anforderung 12.8 regelt, wie Unternehmen mit Drittanbietern umgehen, die Zugriff auf Kontodaten haben oder deren Sicherheit beeinträchtigen könnten.
Sie verlangt von Organisationen, die Beziehung kontinuierlich zu überwachen, anstatt die Zusicherung des Anbieters lediglich als jährliche Dokumentensammlung zu betrachten.
Anforderung 12.8.1 schreibt eine Liste der relevanten externen Dienstleister vor, einschließlich einer Beschreibung der von jedem Dienstleister erbrachten Leistungen.
Dieses Verzeichnis sollte die aktuelle Situation im Bereich der Karteninhaberdaten widerspiegeln. Es sollte aktualisiert werden, wenn Dienstleistungen eingeführt, geändert oder eingestellt werden.
Anforderung 12.8.2 schreibt schriftliche Vereinbarungen mit den jeweiligen Anbietern vor.
In diesen Vereinbarungen sollte die Verantwortung des Dienstleisters für den Schutz der Kontodaten oder für die PCI-DSS-Anforderungen, die er im Auftrag des Kunden verwaltet, festgehalten werden.
Vage Formulierungen in Verträgen können zu Unklarheiten darüber führen, wer für bestimmte Kontrollmaßnahmen verantwortlich ist.
Gemäß Anforderung 12.8.3 müssen Organisationen einen Prozess für die Beauftragung von Dienstleistern unterhalten, der eine angemessene Sorgfaltsprüfung vor Beginn der Geschäftsbeziehung umfasst.
PCI-DSS-Aspekte sollten daher bereits bei der Beschaffung und der Einbindung berücksichtigt werden und nicht erst zu Beginn der jährlichen Bewertung behandelt werden.
Vor Vertragsunterzeichnung sollten Unternehmen folgende Punkte klären:
Der Umfang der Sorgfaltsprüfung sollte in einem angemessenen Verhältnis zu den Dienstleistungen, den Zugriffsrechten, den verarbeiteten Daten, den technischen Abhängigkeiten und den potenziellen Auswirkungen auf das CDE stehen.
Die meisten Beanstandungen bei Drittanbietern sind nicht darauf zurückzuführen, dass Unternehmen überhaupt keine Dokumentation vorweisen können.
Sie sind vielmehr auf eine Dokumentation zurückzuführen, die auf den ersten Blick ausreichend erscheint, bis man sie genauer unter die Lupe nimmt.
Ein älteres AOC befindet sich weiterhin im Compliance-Repository, aber niemand hat überprüft, ob der Anbieter seine letzte Bewertung abgeschlossen hat.
Das Dokument ist gültig, bezieht sich jedoch auf ein anderes Produkt, Hosting-Modell, einen anderen Standort, eine andere Region oder eine andere juristische Person.
Die Drittanbieterliste des Unternehmens stimmt nicht mehr mit den aktuellen Systemen, Integrationen, Zahlungsabläufen oder Cloud-Diensten überein.
Der Kunde geht davon aus, dass der Anbieter eine Kontrollmaßnahme verwaltet, während in der Dokumentation des Anbieters angegeben ist, dass die Verantwortung beim Kunden liegt.
Anforderungen werden ausschließlich auf der Grundlage des vom Anbieter gemeldeten Status als „In Place“ gekennzeichnet, ohne dass der betreffende Dienst, die Zuständigkeitsverteilung, Validierungsnachweise oder Tests zur Untermauerung der Schlussfolgerung angegeben werden.
Der Anbieter verfügt über keine unabhängige Validierung und erwartet vom Händler, dass dieser seine Kontrollmaßnahmen in ein SAQ aufnimmt, obwohl der Händler nicht für die Bewertung der Umgebung des Anbieters verantwortlich ist.
Diese Lücken bleiben oft verborgen, bis die formelle Bewertung bereits im Gange ist. In dieser Phase kann die Behebung dieser Lücken bedeuten, dass unter erheblichem Zeitdruck Lieferanten kontaktiert, Verträge überprüft, der Umfang neu definiert und Nachweise gesammelt werden müssen.
Ein effektives Management von Drittanbietern erfordert einen wiederholbaren Prozess, der die Bereiche Beschaffung, Recht, Informationssicherheit, Zahlungsverkehr und Compliance miteinander verbindet.
Erstellen Sie zunächst ein vollständiges Verzeichnis aller Anbieter, die entweder Kontodaten verarbeiten oder deren Sicherheit beeinträchtigen könnten. Ordnen Sie jeden Anbieter den von ihm erbrachten Dienstleistungen, den Systemen, auf die er Zugriff hat, sowie den relevanten PCI-DSS-Anforderungen zu.
Holen Sie für jeden betroffenen Anbieter aktuelle Validierungsnachweise ein und vergewissern Sie sich, dass diese die von Ihnen genutzte Dienstleistung abdecken. Dokumentieren Sie, welche Kontrollmaßnahmen der Anbieter verwaltet und welche weiterhin in Ihrer Verantwortung liegen.
Diese Überprüfung sollte nicht nur einmalig erfolgen und dann vergessen werden. Die Dienstleistungen der Anbieter ändern sich. Verträge ändern sich. Plattformen werden migriert. Ein Anbieter kann seinen bewerteten Umfang ändern oder eine Dienstleistung durch eine andere ersetzen.
Ein ausgereifter Prozess umfasst daher:
Das Ziel besteht nicht lediglich darin, Dokumente zu sammeln. Vielmehr soll sichergestellt werden, dass die Kontrollen, Verantwortlichkeiten und Validierungsmaßnahmen des Anbieters Ihre eigene PCI-DSS-Compliance unterstützen.
Drittanbieter können die Festlegung des PCI-DSS-Anwendungsbereichs und die Bewertung erheblich erschweren, insbesondere wenn die Verantwortlichkeiten auf mehrere Anbieter, Plattformen und interne Teams verteilt sind.
Die Spezialisten für Zahlungsverkehrskonformität von Integrity360 können Unternehmen dabei unterstützen:
Integrity360 bietet seit 2009 Dienstleistungen im Bereich der Zahlungssicherheit an und unterstützt Unternehmen bei der Erfüllung der Anforderungen in den Bereichen PCI DSS, 3DS, P2PE, Secure Software Framework, Token Service Provider, PIN-Sicherheit sowie Kartenproduktion und -bereitstellung.
Der PCI-DSS-Status eines Anbieters ist wichtig, darf jedoch nicht ohne den jeweiligen Kontext betrachtet werden.
Sie müssen wissen, was geprüft wurde, wann die Prüfung stattfand, welche Dienste darin enthalten waren und ob die Verantwortlichkeiten des Anbieters eindeutig durch Verträge und Nachweise abgesichert sind.
Ein vorliegendes AOC ist hilfreich.
Ein aktuelles, relevantes und auf die jeweilige Dienstleistung anwendbares AOC kann eine vertretbare PCI-DSS-Bewertung untermauern, wenn es zusammen mit der Zuweisung der Verantwortlichkeiten, den vertraglichen Verpflichtungen, den kundenseitigen Kontrollen und den entsprechenden Testnachweisen betrachtet wird.
Wenden Sie sich an Integrity360, um den Umfang Ihrer externen Dienstleister zu überprüfen, Ihre Nachweise zu validieren und sich auf Ihre nächste PCI-DSS-Bewertung vorzubereiten.