Download - Travel ONE

titelthema.datensicherheit
Der PCI DSS kompakt
Der Payment Card Industry Data Security Standard (PCI DSS) ist der Standard, den die
Kreditkartenunternehmen für alle an diesem Prozess beteiligten Unternehmen entwickelt
haben. In der Touristik sind alle CRS und Ypsilon.net mit ihren Rechenzentren und allen
Anwendungen anhand eines Onsite-Audits zertifiziert.
Tipps für Reisebüros:
Die internen Prozesse sollten überprüft werden, sodass die Daten nicht dort
gespeichert werden, wo sie nicht von den in das System integrierten Mechanismen
geschützt werden.
Reisebüros sollten eine Auswahl der für den Zugriff auf die Kreditkartendaten
berechtigten Mitarbeiter vornehmen.
Es sollen interne Standards für den sicheren Umgang mit Kreditkartendaten
entwickelt werden, inner- und außerhalb der Rechensysteme.
Die Reisebüros sind für die internen Prozesse und Sicherheitsvorkehrungen verantwortlich,
um die PCI DSS-Standards zu erfüllen. (Quelle: Sabre)
Dazu gibt es weitere Zertifikate für die zertifizierte Software (Payment Applications)
und die zertifizierten Kreditkartenterminals (POS).
(PAN) – das ist die Zahlungskartennummer
–, mit der
der Kartenaussteller und das
Karteninhaberkonto identifiziert
werden können, sowie
die Daten, die mit der PAN
gespeichert werden. Dies
sind der Name des Karteninhabers,
der Servicecode und
das Ablaufdatum der Karte.
Authentisierungsdaten wie
die Daten der Magnetstreifen,
die PINs und die Kartenprüfwerte
(Card Validation Code
Version 2, kurz CVC2) dürfen
nach der Authentisierung
nicht in den Händlersystemen
gespeichert werden. Die
insgesamt 283 Richtlinien
des PCI DSS umfassen Server,
Anwendungen oder Komponenten
eines Netzwerks wie
beispielsweise Firewall oder
Router. Aufgelistet werden
dabei insgesamt zwölf übergeordnete
Anforderungen in
sechs Bereichen.
Händler oder
Dienstleister.
Der PCI DSS unterscheidet
zwischen Dienstleistern
und Händlern. Unter Händler
fallen in der Touristik
beispielsweise Airlines, zu
den Dienstleistern gehören
» Acht Prozent der Deutschen sehen die
Kreditkarte als sicherstes Bezahlverfahren.«
Rechenzentren wie die CRS
oder andere Technikanbieter.
Bei den Händlern gibt
es eine weitere Abstufung
in die Level eins bis vier. Bei
den Dienstleistern sind es
zwei Level, die Einteilung
erfolgt nach der Zahl der
Kreditkartentransaktionen.
»Die Händler der Level drei
und vier müssen einmal
jährlich einen Fragebogen
ausfüllen sowie gegebenenfalls
vierteljährliche PCI DSS
Security Scans der externen
IT-Systeme von einem Approved
Scanning Vendor
durchführen lassen, um das
Zertifikat zu erhalten«, erklärt
Andreas Duchmann,
ein Mitarbeiter der USD AG –
eines der Unternehmen, die
als akkreditierter Auditor
die Überpüfung der Unternehmen
durchführen. Das
Gleiche gelte auch für die
Dienstleister der Stufe zwei.
Für Händler des Levels
eins und zwei sowie Dienstleister
des Levels eins ist ein
Onsite-Audit erforderlich. Das
heißt, es erfolgt eine Vor-Ort-
Überprüfung. Sie umfasse die
Überprüfung der technischen
Sicherheit von Server-, Netzwerk-
und Firewall-Systemen
und Applikationen sowie die
Prüfung relevanter Dokumente
und Sicherheitsprozesse
durch einen Qualified
Security Assessor, so Duchmann
weiter.
12
31.5.2013 travel.one