Software voor PCI DSS 4.0.1-naleving (volledige gids)

Kort samengevat: PCI DSS-compliancesoftware voor 4.0.1

• De dekkingskloof: 4.0.1 voegde een categorie toe die generieke PCI-suites niet dekken: browser-side scriptinventaris (6.4.3) en betaalpagina-tamperdetectie (11.6.1).
• Koperchecklist: Je koperchecklist: continue scriptinventaris, autorisatie-workflow, tamperdetectie op live pagina's, QSA-ready evidence-exports.
• Gratis versus betaald: Gratis niveaus dekken de basis. Boven Level 3 verdient het betaalde zich terug in operationele tijd.

Weinig tijd? Bekijk cside PCI Shield. Dit dekt alles hieronder in één deployment.

Je moet nu scripts van derden monitoren

Dit is wat je moet weten:

• PCI DSS 4.0.1 (specifiek vereiste 6.4.3) verplicht alle leveranciers om elk script op betaalpagina's te autoriseren, een inventaris van alle scripts bij te houden en de integriteit ervan te waarborgen. Vereiste 11.6 benadrukt de noodzaak om ongeautoriseerde wijzigingen op betaalpagina's te detecteren en erop te reageren, inclusief wijzigingen in HTTP-headers en pagina-inhoud.
• Organisaties moeten deze configuraties minimaal eens per zeven dagen controleren, of zoals bepaald door hun risicoanalyse.
• De PCI DSS 4.0.1-update vereist dat organisaties een inventaris bijhouden van alle systeemcomponenten die relevant zijn voor PCI DSS, inclusief maatwerksoftware en aangepaste software, maar ook scripts van derden.
• Bovendien moedigt PCI DSS 4.0.1 een verschuiving aan van jaarlijkse audits naar continue beveiligingsmonitoring, met regelmatige beoordelingen en updates van systeemcomponenten en software.

Zoals vermeld doet de gratis versie van cside dit allemaal. We laten je zien welke scripts wat uitvoeren en je kunt precies beheren wat je wilt blokkeren.

Onze betaalde versies verhogen de beveiliging wanneer er iets misgaat. Ze bieden aangepaste en geautomatiseerde blokkeerfuncties, andere manieren om meldingen te ontvangen en logexports, om er een paar te noemen.

De 6 grondbeginselen en 12 vereisten van PCI DSS 4.0.1

PCI DSS 4.0.1 is gebouwd op zes grondbeginselen die gericht zijn op het bevorderen van een veilige omgeving voor mensen die online transacties uitvoeren (en voor degenen die dit faciliteren):

1. Bouw en onderhoud een beveiligd netwerk voor kaarthoudergegevens (CHD).
2. Bescherm opgeslagen of verzonden kaarthoudergegevens (CHD).
3. Onderhoud een programma voor kwetsbaarheidsbeheer, inclusief beveiligingsbeleid en -tests.
4. Handhaaf strikte toegangscontroles op basis van zakelijke noodzaak.
5. Monitor en test netwerken continu op kwetsbaarheden.
6. Ontwikkel en onderhoud een uitgebreid informatiebeveiligingsbeleid en informeer medewerkers over hun rol bij de bescherming van CHD.

Allemaal goede maatregelen die op hun plaats moeten zijn om een veiligere omgeving te creëren voor mensen die op het web surfen!

Daarnaast zijn er 12 vereisten om compliant te zijn.

Houd er rekening mee dat sommige hiervan al in eerdere versies van PCI DSS waren opgenomen, dus de meesten van jullie zouden hier al mee begonnen moeten zijn. Als je bestaande frameworks voor je site gebruikt (tools zoals Shopify, Webflow, of boilerplates en bibliotheken), controleer dan of deze functies daarin zijn opgenomen.

Dat gezegd hebbende, hier zijn ze:

1. Installeer en onderhoud netwerkbeveiligingscontroles. Merchants moeten een beveiligd netwerk garanderen met behulp van Network Security Controls (NSC's) zoals firewalls, routers en robuuste cloudtoegangsmaatregelen. Deze controles moeten verkeer beheren op basis van vooraf gedefinieerde regels, met als doel de kaarthoudergegevensomgeving (CDE) te beschermen conform de PCI DSS-standaard.

2. Pas veilige configuraties toe op alle systeemcomponenten. PCI DSS v4.0 introduceert nieuwe vereisten voor rollen en verantwoordelijkheden bij het beveiligen van draadloze netwerkconfiguraties. Het implementeren van deze configuraties kan potentiële aanvalsoppervlakken en de kans op systeemcompromittering minimaliseren.

3. Bescherm opgeslagen accountgegevens (SAD). Bedrijven moeten beschermingsmethoden implementeren zoals encryptie, afkapping, maskering en hashing om gevoelige authenticatiegegevens (SAD) te beschermen en risico's te minimaliseren.

• Vermijd het opslaan van gevoelige authenticatiegegevens (SAD) tenzij noodzakelijk.
• Kap kaarthoudergegevens af als het volledige primaire rekeningnummer (PAN) niet vereist is.
• Verstuur geen onbeschermde PAN's via berichtentechnologieën voor eindgebruikers, zoals e-mail of instant messaging. Encryptie van gevoelige authenticatiegegevens (SAD) is niet vereist wanneer gegevens zich in vluchtig geheugen zoals RAM bevinden, maar moet worden verwijderd zodra het zakelijke doel is bereikt. Als SAD-opslag persistent wordt, zijn alle PCI DSS 4.0.1-vereisten, inclusief encryptie, van toepassing.

4. Gebruik sterke cryptografie om kaarthoudergegevens te beschermen tijdens verzending via openbare netwerken. Dit waarborgt de vertrouwelijkheid, integriteit en onweerlegbaarheid van de gegevens. Alle PAN-verzendingen moeten worden versleuteld om gegevenscompromittering te voorkomen.

• De gegevens versleutelen vóór verzending
• De sessie versleutelen waarover de gegevens worden verzonden

Verder moet het bedrijf zijn netwerkbeveiligingsparameters toetsen aan de toepasselijke PCI DSS 4.0.1-vereisten als het netwerk CHD opslaat, verwerkt of verzendt.

5. Bescherm alle systemen en netwerken tegen schadelijke software. PCI DSS 4.0.1 vervangt antivirussoftware door anti-malwaresoftware. Een ogenschijnlijk semantische wijziging, maar het vereist nu van entiteiten dat ze anti-malwareoplossingen implementeren om hun systemen te beveiligen tegen huidige en evoluerende malwarebedreigingen. Zoals:

• Virussen
• Wormen
• Trojans
• Spyware
• Ransomware
• Schadelijke code, scripts, links

We willen je er nogmaals aan herinneren dat cside alle scripts van derden die je gebruikt, inventariseert en beveiligt. Als deze gecompromitteerd raken, op je eigen website(s) of wereldwijd, ben je beschermd.

6. Maak en onderhoud veilige systemen en software. Bedrijven moeten softwarepatches toepassen op alle systeemcomponenten om misbruik van accountgegevens te voorkomen. PCI DSS 4.0.1 vereist Software Lifecycle-processen en veilig coderen voor maatwerksoftware. Coderepositories die applicatiecode of gegevens opslaan die de beveiliging van accountgegevens beïnvloeden, vallen binnen de scope van PCI DSS 4.0.1-beoordelingen.

7. Beperk de toegang tot systeemcomponenten en kaarthoudergegevens op basis van de zakelijke noodzaak. Deze vereiste verplicht bedrijven om controles te implementeren die ervoor zorgen dat toegang tot kritieke gegevens beperkt is tot uitsluitend bevoegd personeel, op basis van need-to-know en taakverdeling, waardoor ongeautoriseerde toegang wordt voorkomen.

8. Identificeer gebruikers en authenticeer toegang tot systeemcomponenten. Dit verplicht unieke gebruikersidentificatie en -authenticatie voor toegang tot systeemcomponenten. Dit zorgt voor verantwoording en traceerbaarheid van acties, en is van toepassing op alle accounts, inclusief POS-, beheer-, systeem- en applicatieaccounts.

9. Beperk fysieke toegang tot kaarthoudergegevens. Merchants en bedrijven moeten de fysieke toegang tot systemen die kaarthoudergegevens (CHD) verwerken beperken om inbreuken of verlies van de privacy van kaarthouders te voorkomen.

10. Log en monitor alle toegang tot systeemcomponenten en kaarthoudergegevens. PCI DSS 4.0.1 Vereiste 10 benadrukt het belang van auditlogs en het bijhouden van gebruikersactiviteiten in de kaarthoudergegevensomgeving (CDE) en systeemcomponenten. Dit maakt audittrails, tracking, waarschuwingen en analyse mogelijk bij een systeemcompromittering, en is van toepassing op alle gebruikersactiviteiten.

11. Test de beveiliging van systemen en netwerken regelmatig. Bedrijven zijn verplicht om regelmatig alle systeemcomponenten, processen en maatwerksoftware te testen om te waarborgen dat de controles het evoluerende dreigingslandschap adequaat aankunnen, conform PCI DSS.

12. Ondersteun informatiebeveiliging (IS) met organisatiebeleid en -programma's. Volgens de laatste vereiste moeten alle bedrijven een informatiebeveiligingsbeleid implementeren. Dit beleid moet personeel informeren over de gevoeligheid van betaalkaartgegevens en hun verantwoordelijkheid om deze te beschermen.

Wat als je niet compliant bent?

De meeste wijzigingen zijn pas actief vanaf 31 maart 2025, waarbij sommige al vereist zijn vanaf 31 maart 2024. Er is dus weinig tijd. Je kunt dit beter nu aanpakken, anders zijn er mogelijke gevolgen:

• Kaartverwerkers geven PCI-compliance- en non-compliancevergoedingen vaak door aan merchants, bij veel aanbieders. Het betalen van deze vergoedingen garandeert echter geen PCI DSS 4.0.1-compliance, en merchants moeten nog steeds de jaarlijkse SAQ invullen en aan andere vereisten voldoen om compliant te blijven.
• Bedrijven die niet voldoen aan PCI DSS 4.0.1 kunnen een maandelijkse non-complianceboete van de kaartverwerker krijgen. In ernstige gevallen kan non-compliance theoretisch leiden tot beëindiging van het merchantaccount.

Is PCI DSS 4.0.1 daadwerkelijk wetgeving?

Hoewel de PCI SSC geen wettelijke bevoegdheid heeft om naleving af te dwingen, moet elk bedrijf dat creditcards of betaalpassen accepteert of verwerkt zich aan deze standaarden houden, ongeacht het type bedrijf of de locatie, omdat de grote creditcardmaatschappijen naleving vereisen als voorwaarde voor het verwerken van hun kaarttransacties.

Het PCI-orgaan werd opgericht door American Express, Discover Financial Services, JCB International, MasterCard en Visa Inc. op 7 september 2006, met als doel het beheren van de voortdurende ontwikkeling van de Payment Card Industry Data Security Standard.

Dit betekent dat als jij (of een kaartverwerker die je gebruikt zoals Stripe, PayPal, Adyen, Paddle, …) een van deze kaarten accepteert, je je moet houden aan deze nieuwe PCI DSS 4.0.1-standaard. Anders loop je het risico op de hierboven genoemde gevolgen of zelfs afsluiting van de mogelijkheid om betalingen te accepteren.

Hoe zorg je ervoor dat je compliant bent

Dit zijn de stappen die je moet doorlopen:

1. Breng je CHD-stromen in kaart. Identificeer de beweging van kaarthoudergegevens (CHD) door je applicaties, systemen en personeel.
2. Vul je SAQ in. De Self-Assessment Questionnaire (SAQ) valideert of een bedrijf voldoet aan alle 12 vereisten voor PCI-compliance (zie de 12 vereisten hierboven).
3. Vul je AOC in. De Attestation of Compliance (AOC) is een document dat een leidraad biedt voor het bereiken van PCI-compliance en ervoor zorgt dat alle noodzakelijke stappen zijn voltooid.
4. Voer een kwetsbaarheidsscan uit. Op basis van de resultaten van de Self-Assessment Questionnaire (SAQ) heb je de mogelijkheid om de scan zelf uit te voeren of een Approved Scanning Vendor (ASV) in te huren.
5. Vul documenten in en dien ze in. Dien de Self-Assessment Questionnaire (SAQ), Attestation of Compliance (AOC) en Approved Scanning Vendor (ASV)-rapporten in bij de creditcardmerken die je ondersteunt of van plan bent te ondersteunen.
6. Monitor compliance regelmatig. En dit kun je doen met cside. Onze gratis versie maakt je compliant en plaatst de veiligheidsbarrières. Onze betaalde versies geven je meer flexibiliteit en nog meer veiligheid.

Bepaal je PCI-niveau. PCI-compliancevereisten worden bepaald door het aantal jaarlijks verwerkte transacties. De PCI DSS-compliance is verdeeld in vier niveaus, bepaald door het aantal kaarttransacties dat een bedrijf jaarlijks verwerkt. Deze niveaus bepalen welke stappen een bedrijf moet nemen om compliance te bereiken en te handhaven.

Enkele snelle vragen en antwoorden om de zaken helder te stellen

1. Hoe kan ik ervoor zorgen dat mijn scripts van derden voldoen aan PCI DSS 4.0.1? De PCI DSS 4.0.1-update verplicht organisaties een inventaris bij te houden van alle systeemcomponenten die relevant zijn voor PCI DSS, inclusief maatwerksoftware en scripts van derden. Het bevordert ook een overgang van jaarlijkse audits naar continue beveiligingsmonitoring met frequente beoordelingen en updates van systeemcomponenten en software. Ook hierbij kunnen we helpen. Onze gratis versie maakt je site compliant en veilig, onze betaalde versies verhogen de flexibiliteit en veiligheid.
2. Wanneer treedt PCI DSS v4.0 in werking? PCI DSS v4.0, van kracht vanaf 31 maart 2024, introduceert deze 64 nieuwe vereisten. Hoewel sommige onmiddellijk van kracht zijn, zullen de meeste pas van kracht worden op 31 maart 2025, waardoor organisaties een overgangsperiode van één jaar hebben om de meer uitdagende vereisten te implementeren. Vereisten met betrekking tot scripts van derden treden in werking in maart 2025.
3. Wat is de impact van PCI DSS 4.0.1 op kleine bedrijven of startups? PCI DSS 4.0.1 introduceert wijzigingen die van invloed zijn op alle entiteiten die kaarthoudergegevens verwerken, met mogelijke uitdagingen voor kleine bedrijven en startups vanwege beperkte middelen. Bekijk hierboven de PCI-niveaus.
4. Zijn er sancties voor non-compliance met PCI DSS 4.0.1? Non-compliance met PCI DSS 4.0.1 kan leiden tot sancties zoals boetes, verhoogde transactiekosten en zelfs intrekking van de mogelijkheid om kaartbetalingen te verwerken. Compliance is verplicht voor alle entiteiten die kaarthoudergegevens verwerken, en het niet naleven ervan kan leiden tot aanzienlijke financiële en reputatieschade. Het begrijpen en handhaven van compliance met deze vereisten is daarom cruciaal voor alle organisaties die betaalkaartransacties verwerken.
5. Wat zijn de beste praktijken voor continue beveiligingsmonitoring onder PCI DSS 4.0.1? Onder PCI DSS 4.0.1 kan continue beveiligingsmonitoring worden verbeterd door netwerksegmentatie te implementeren, automatisering te verkiezen boven traditionele steekproefmethoden en een zero-trust-mentaliteit te hanteren. Dit omvat dagelijkse verificatie van alle netwerkapparaten en het gebruik van geautomatiseerde tools voor continue risicodetectie en -prioritering. cside is gebouwd om ervoor te zorgen dat die specifieke PCI DSS 4.0.1-vereisten met betrekking tot scripts van derden worden nageleefd.

PCI-compliancetool: wat het moet doen

Een PCI-compliancetool voor de client-side heeft één taak die scanners en ASV's niet alleen kunnen uitvoeren: continu aantonen dat elk script op je betaalpagina's geautoriseerd en ongewijzigd is. Om te voldoen aan de PCI DSS 4.0.1-vereisten 6.4.3 en 11.6.1 moet de tool een volledige inventaris van scripts bijhouden met een zakelijke rechtvaardiging voor elk script, elke wijziging aan een script of aan kritieke HTTP-headers in de browser van de bezoeker detecteren, en bewijs opleveren dat een QSA accepteert. Een conforme PCI-compliancetool bekijkt de betaalpagina zoals de browser van de consument die daadwerkelijk rendert, niet een crawl of een scan van code in rust, omdat conditionele skimmers zich alleen tijdens runtime blootgeven.

Gerelateerd lezen

• How to comply with PCI 6.4.3 and PCI 11.6.1
• PCI DSS compliance checklist
• PCI DSS compliance cost by merchant level