PCI-conforme bestandsoverdracht: Essentiële vereisten & effectieve nalevingsstrategieën

PCI-naleving speelt een cruciale rol bij het versterken van de integriteit en beveiliging van creditcardgegevens die bedrijven verwerken, beheren en delen met vertrouwde derden. Telkens wanneer bedrijven deze gegevens delen, lopen ze het risico deze bloot te stellen aan onbevoegde gebruikers. Ongeautoriseerde toegang kent vele vormen: malware-aanvallen, ransomware-aanvallen, bedrijfsspionage, verkeerde bezorging, phishing en meer. Deze risico’s vereisen dat bedrijven geavanceerde beveiligingsmaatregelen nemen die verder gaan dan standaard firewallbescherming. PCI-naleving bestaat om ervoor te zorgen dat creditcardgegevens worden beschermd tegen onbevoegde toegang, wat kan leiden tot misbruik van deze gevoelige gegevens voor fraude of identiteitsdiefstal. Van overdracht tot opslag biedt beveiligde bestandsoverdracht organisaties een robuuster beveiligingskader, een noodzaak om PCI-naleving aan te tonen.

Dus als je op zoek bent naar een PCI-conforme oplossing voor bestandsoverdracht, biedt deze Blog Post je de essentiële vereisten en strategieën voor naleving. Een PCI-conforme, beveiligde oplossing voor bestandsoverdracht beperkt niet alleen het risico op een datalek, maar ook het risico op niet-naleving, wat zowel op korte termijn (boetes en sancties, bedrijfsstilstand, rechtszaken) als op lange termijn (verlies van klantvertrouwen en merkschade) kostbaar kan zijn. De risico’s van niet-naleving zijn dus aanzienlijk.

Overzicht PCI-naleving

De Payment Card Industry Data Security Standard (PCI DSS) is een kader dat bedoeld is ter ondersteuning van iedereen die betalingen accepteert via creditcards of betaalkaarten. Afgedwongen door een consortium van creditcardverwerkers zoals Visa, Mastercard en American Express, is PCI DSS niet wettelijk verplicht op nationaal niveau, maar vormt het een integraal onderdeel van het verwerken van elke creditcardbetaling.

PCI DSS omvat 12 beveiligingsvereisten:

1. Installeer en onderhoud een firewallconfiguratie om kaarthoudergegevens te beschermen
2. Gebruik geen door leveranciers geleverde standaardwachtwoorden en andere beveiligingsparameters
3. Bescherm opgeslagen kaarthoudergegevens
4. Versleutel de overdracht van kaarthoudergegevens via open, openbare netwerken
5. Gebruik en update regelmatig antivirussoftware of -programma’s
6. Ontwikkel en onderhoud veilige systemen en applicaties
7. Beperk de toegang tot kaarthouderinformatie op basis van zakelijke noodzaak
8. Ken een unieke ID toe aan elke persoon met computer-toegang
9. Beperk fysieke toegang tot kaarthouderinformatie
10. Volg en monitor alle toegang tot netwerkbronnen en kaarthoudergegevens
11. Test regelmatig beveiligingssystemen en -processen
12. Onderhoud een beleid dat informatiebeveiliging voor al het personeel behandelt

Fysieke winkels en e-commercehandelaren en -retailers maken zich vaak het meest zorgen over PCI, en andere bedrijven die betalingen accepteren maar geen handelaar zijn, schakelen vaak externe betalingsverwerkers in die zelf PCI-conform zijn. Banken die creditcards uitgeven besteden de verwerking van transacties vaak uit en eisen het hoogste niveau van PCI-naleving van de uitbesteder.

Kaarthoudergegevens omvatten creditcardnummers, CVV-codes, vervaldatums, informatie van een EMV-chip of magneetstrip en alle persoonlijke gegevens over de kaarthouder. Sancties voor niet-naleving van PCI kunnen onder meer bestaan uit:

1. Boetes tot en met $100.000 per maand totdat aan de naleving is voldaan.
2. Schade aan je handelsrekening als gevolg van niet-naleving, waardoor het duur of zelfs onmogelijk kan worden om kaartbetalingen te verwerken.
3. De negatieve impact op je handelsrekening als gevolg van fraude of terugboekingen die niet worden opgemerkt door conforme technologische standaarden.

Deze risico’s en sancties zijn alleen PCI-specifiek. Een datalek waarbij kaarthoudergegevens betrokken zijn, zou waarschijnlijk leiden tot boetes, sancties en gevolgen vanuit andere klant-, consument- of burgergerichte privacywetten zoals de EU’s GDPR, California’s CCPA, Duitsland’s BDSG, Canada’s PIPEDA, de Britse DPA 2018 en vele anderen.

Je blijft verantwoordelijk voor het aantonen van PCI-naleving als je een externe betalingsverwerker gebruikt, aangezien zij ook verplicht zijn PCI-naleving aan te tonen. Dat betekent dat elke oplossing voor beveiligde bestandsoverdracht of beveiligde bestandsoverdracht die jij of de verwerker gebruikt om kaarthoudergegevens uit te wisselen, ook PCI-conform moet zijn.

Hoe bereik je PCI-naleving

PCI-conform worden is een proces in meerdere stappen dat een grondige beoordeling van je bestaande systemen en processen vereist.

De eerste stap is vaststellen welke typen betaalkaarten je accepteert en hoe de transacties worden verwerkt. Dit vereist een beoordeling van alle verschillende onderdelen van je systeem, inclusief software, hardware en netwerken. Zodra je weet waar de gevoelige gegevens zijn opgeslagen en hoe ze door je systeem stromen, kun je onderzoeken welke PCI DSS-vereisten van toepassing zijn.

De volgende stap is beoordelen in hoeverre je bestaande systemen voldoen aan de PCI DSS. Dit vereist meestal een beoordeling van alle hardware, software en processen die deel uitmaken van je systeem. Dit omvat uiteraard elk systeem, elke oplossing of applicatie die wordt gebruikt om creditcardgegevens te delen of op te slaan. Voorbeelden van bestandsoverdracht zijn Microsoft Outlook en Gmail, terwijl voorbeelden van bestandsopslag Google Drive, Microsoft OneDrive en SharePoint, Box en Dropbox zijn. Het is belangrijk om te zoeken naar eventuele zwakke plekken in je systemen en oplossingen die niet voldoen aan de eisen van PCI DSS.

Nadat de beoordeling is afgerond, kun je beginnen met het implementeren van de benodigde wijzigingen om ervoor te zorgen dat je systeem voldoet aan de vereisten van de PCI DSS. Dit kan variëren van het upgraden van hardware en software tot het implementeren van aanvullende beveiligingsmaatregelen, zoals firewalls of encryptie. Je moet er ook voor zorgen dat je een gegevensbeveiligingsbeleid hebt waarin staat hoe je klantgegevens beschermt en hoe je reageert op een datalek.

Nadat alle wijzigingen zijn doorgevoerd, moet je deze testen en monitoren om te zorgen dat ze voldoen aan de vereisten van de PCI DSS en zo veilig mogelijk blijven. Dit is ook het moment om een regelmatig auditrooster voor naleving te ontwikkelen, zodat je systeem in de toekomst compliant blijft.

Nadat je alle stappen hebt voltooid om PCI-conform te worden, dien je een aanvraag in bij een van de door de Payment Card Industry Security Standards Council (PCI SSC) geaccrediteerde organisaties. Zij beoordelen je systeem en verstrekken je een Certificate of Compliance als ze vaststellen dat je voldoet aan PCI.

Beveiligde bestandsoverdracht en PCI-naleving

PCI-naleving, evenals andere wettelijke nalevingswetten en -normen, heeft leveranciers van software voor bestandsoverdracht ertoe aangezet hun protocollen fundamenteel te herzien, waarbij beveiliging nu voorrang krijgt boven functionaliteit en gebruiksgemak. Deze oplossingen bieden nu, in diverse mate, uitgebreide controles op het gebied van encryptie en sleutelbeheer, toegangscontrole en regelmatige kwetsbaarheidsbeoordelingen. Een PCI-conforme oplossing voor beveiligde bestandsoverdracht zorgt ervoor dat kaarthoudergegevens worden opgeslagen, verwerkt en verzonden via een beveiligd netwerk. Dit biedt zowel bedrijven, medewerkers als klanten geruststelling en creëert een veilig communicatiekanaal voor gevoelige creditcardgegevens.

Vereisten voor beveiligde bestandsoverdracht voor PCI-naleving

De vereisten voor PCI-conforme systemen voor bestandsoverdracht zijn gericht op strikte beveiligingsprotocollen. Organisaties die niet aan deze vereisten voldoen, kunnen aanzienlijke gevolgen ondervinden, waaronder boetes, rechtszaken, klantenverlies en meer in het geval van een datalek waarbij kaarthoudergegevens en persoonlijk identificeerbare informatie (PII) van klanten worden blootgesteld. Laten we hieronder enkele van de vereisten voor beveiligde bestandsoverdracht voor PCI-naleving nader bekijken.

Gegevensencryptie voor PCI-naleving

De encryptievereisten van PCI DSS zijn toonaangevende beveiligingsmaatregelen die bedrijven moeten implementeren om creditcardinformatie te beschermen wanneer deze wordt opgeslagen en gedeeld. De PCI DSS-vereisten voor encryptie zijn niet alleen complex, maar ook behoorlijk genuanceerd. Ten eerste moet encryptie worden gebruikt om alle gegevens die als “gevoelige authenticatiegegevens” zijn geclassificeerd te beschermen, waaronder primaire rekeningnummers (PAN’s) of de volledige magneetstripgegevens van de credit- of betaalkaart. Daarnaast moet de encryptie voldoen aan een goedgekeurde industrienorm, zoals AES-encryptie voor gegevens in rust en TLS voor encryptie van gegevens tijdens verzending.

Encryptie is ook vereist voor alle gegevens die via openbare netwerken worden verzonden. Dit betekent dat alle gegevens die van de ene naar de andere machine worden verzonden, moeten worden versleuteld, evenals alle handelaren die online betalingen willen accepteren. Alle gegevens moeten worden versleuteld wanneer ze het vertrekpunt verlaten en wanneer ze hun bestemming bereiken. Dit omvat alle gegevens die zijn opgeslagen in een database waarin persoonlijke informatie van klanten wordt bewaard.

Toegangscontroles voor PCI-naleving

Een andere belangrijke PCI-vereiste voor beveiligde bestandsoverdracht is het gebruik van sterke toegangscontroles. Door het toepassen en handhaven van rolgebaseerde machtigingen en rolgebaseerde toegangscontrole zorgen bedrijven ervoor dat alleen medewerkers met een zakelijke noodzaak toegang hebben tot deze gevoelige informatie.

Multi-factor authentication (MFA) zorgt er bovendien voor dat alleen geautoriseerde medewerkers toegang hebben tot kaarthoudergegevens om de identiteit van de gebruiker te verifiëren. Het is ook sterk aanbevolen dat alle medewerkers die toegang hebben tot de database unieke tokens of wachtwoorden krijgen die gebruikt moeten worden om toegang te krijgen tot de database.

Aanvullende vereisten voor beveiligde bestandsoverdracht voor PCI-naleving

Organisaties moeten aan diverse aanvullende PCI DSS-vereisten voldoen, naast encryptie en toegangscontroles. Deze omvatten het implementeren van een incident response plan, het versterken van netwerkbeveiliging, het uitvoeren van regelmatige audits en beveiligingscontroles en het documenteren van een gedetailleerd informatiebeveiligingsbeleid. Daarnaast moeten bedrijven fysieke beveiligingsmaatregelen nemen om systemen met kaarthoudergegevens te beschermen, bewustwordingstrainingen voor medewerkers verplicht stellen en alle beveiligingsprocedures goed documenteren.

Uitdagingen bij PCI-naleving

PCI-naleving brengt echter ook een eigen reeks unieke uitdagingen met zich mee. De complexiteit en kosten die gepaard gaan met het opzetten van een PCI-conforme infrastructuur vormen een aanzienlijke belemmering voor veel organisaties, vooral kleinere bedrijven. Ook het waarborgen van regelmatige updates en het uitvoeren van systematische audits volgens PCI-standaarden kan arbeidsintensief en tijdrovend zijn. Bovendien kunnen bedrijven in de valkuil van gemakzucht of een vals gevoel van veiligheid trappen nadat ze PCI-conform zijn geworden. Het is daarom essentieel te begrijpen dat PCI-naleving geen eenmalige inspanning is, maar een continu proces dat voortdurende controle en periodieke verbeteringen vereist.

Hoe bereik je PCI-naleving met beveiligde bestandsoverdracht

Ervoor zorgen dat je oplossing voor beveiligde bestandsoverdracht PCI-conform is, is essentieel voor bedrijven omdat het kaarthoudergegevens beveiligt, risico’s beperkt en klantvertrouwen opbouwt. Hier zijn enkele praktische stappen en strategieën die bedrijven sterk moeten overwegen in hun inspanningen om PCI-naleving te bereiken met beveiligde bestandsoverdracht:

.table-content td {
text-align: left;
}

PCI-conforme bestandsoverdracht en risicobeheer voor leveranciers

Een externe leverancier kan beveiligde bestandsoverdracht- en opslagmogelijkheden bieden die aan PCI voldoen en het volgende ondersteunen:

1. Beveiligde bestandsoverdracht: Dit omvat AES-128- of AES-256-encryptie voor gegevens in rust en TLS 1.2 of hoger voor gegevens tijdens verzending.
2. Audit logging: Uitgebreide audit logs bieden ononderbroken bewijs van elk beveiligingsincident voor diagnostische of preventieve doeleinden. Dit geeft je bovendien extra middelen om aan te tonen dat je voldoet aan de vereisten tijdens een beoordeling of audit.
3. Firewallbescherming: PCI DSS vereist een firewall om toegang tot servers te beschermen, en je oplossing voor beveiligde bestandsoverdracht moet dit ook doen, inclusief speciale bescherming voor het delen over de firewallgrens en het beschermen van kaarthoudergegevens.
4. Beveiligde methoden voor bestandsoverdracht met externe gebruikers: PCI-conforme e-mail maakt gebruik van encryptie en is daarom een veilig kanaal voor het delen van kaarthoudergegevens en andere gevoelige inhoud in overeenstemming met PCI DSS. Beveiligde webformulieren, mappen en virtuele dataruimten (VDR’s) kunnen ook worden gebruikt om kaarthoudergegevens te delen, mits ze voldoen aan de PCI-vereisten.

Kiteworks helpt organisaties PCI DSS-naleving aan te tonen met PCI-conforme bestandsoverdracht

Het Kiteworks Private Content Network, een FIPS 140-2 Level gevalideerd platform voor beveiligde bestandsoverdracht en file transfer, consolideert e-mail, bestandsoverdracht, webformulieren, SFTP, beheerde bestandsoverdracht en next-generation digital rights management, zodat organisaties elk bestand kunnen beheren, beschermen en volgen zodra het de organisatie binnenkomt of verlaat.

Het Kiteworks-platform wordt door organisaties gebruikt om te voldoen aan diverse nalevingsstandaarden en -verplichtingen, waaronder PCI DSS 4.0.

FIPS 140-2 gecertificeerde encryptie verhoogt de beveiliging van het Kiteworks-platform, waardoor het geschikt is voor organisaties die gevoelige gegevens verwerken, zoals betaalkaartinformatie. Daarnaast worden activiteiten van eindgebruikers en beheerders gelogd en zijn deze toegankelijk, wat cruciaal is voor PCI DSS 4.0-naleving, waarbij het volgen en monitoren van alle toegang tot netwerkbronnen en kaarthoudergegevens vereist is.

Kiteworks biedt ook verschillende toegangsrechten tot alle mappen op basis van de machtigingen die door de eigenaar van de map zijn ingesteld. Deze functie helpt bij het implementeren van sterke toegangscontrolemaatregelen, een belangrijke vereiste van PCI DSS 4.0.

Kiteworks-inzetopties omvatten on-premises, gehost, privé, hybride en FedRAMP virtual private cloud. Met Kiteworks beheer je de toegang tot gevoelige inhoud; bescherm je deze wanneer deze extern wordt gedeeld met geautomatiseerde end-to-end encryptie, multi-factor authentication en beveiligingsintegraties; zie, volg en rapporteer je alle bestandsactiviteiten, namelijk wie wat naar wie, wanneer en hoe verstuurt. Toon ten slotte naleving aan met regelgeving en standaarden zoals GDPR, HIPAA, CMMC, Cyber Essentials Plus, IRAP en vele anderen.

Wil je meer weten over Kiteworks voor PCI DSS 4.0-naleving? Plan dan vandaag nog een aangepaste demo.