Studie Sicherheit in der Kreditkartenindustrie

Sicherheit in der Kreditkartenindustrie Studie 2008 zum Payment Card Industry Data Security Standard (PCI DSS) in Deutschland, Österreich und der Schweiz Die Studie im Hintergrund Zielsetzung Überblick Um dem Diebstahl bzw. Miss- Fundierte Informationen über die Relevanz brauch von Kreditkartendaten von PCI DSS sind bislang im deutsch- Gegenstand vorzubeugen, initiierten VISA sprachigen Raum kaum verfügbar. Gewinnung von Infor- und MasterCard früh eigene, in- mationen über Bedeu- ternational geltende Sicher- Welche Beachtung genießt PCI DSS? tung, Kosten und Nut- heitsprogramme. Glauben die Unternehmen, dass die zen des PCI DSS Standards im deutsch- Durchsetzung von PCI DSS die Sicherheit sprachigen Raum. Mit dem Ziel der Vereinheit- von Kreditkartendaten verbessert? Wie lichung und der verbesserten lange dauert der Zertifizierungsprozess? Zielgruppe Durchsetzung von IT Sicher- Was kostet die Zertifizierung bzw. die Be- heitsanforderungen in der Kre- seitigung identifizierter Mängel? Welche Unternehmen aus Deutschland, Öster- ditkartenindustrie wurde 2005 Anforderungen werden an Auditoren ge- reich und der Schweiz, der »Payment Card Industry Da- stellt und wie zufrieden sind die Unter- die Kreditkartendaten ta Security Standard« (PCI nehmen mit den erbrachten Leistungen? verarbeiten, übertragen DSS) definiert. PCI DSS wird Diese und andere Fragen werden in der oder speichern. Dies sind vor allem Händler heute von allen namhaften Kre- Studie adressiert. (Merchants), Händler- ditkartenunternehmen als ge- banken (Acquirer) und meinsamer Sicherheitsstandard Dienstleister (Service anerkannt und eingefordert. Ne- Provider) unterschied- licher Art. ben VISA und MasterCard sind dies insbesondere American Die Teilnehmer Express, JCB und Discover Fi- Durchführung nancial Services. Ansprechpartner aus 57 Unternehmen Befragung des zustän- nahmen an der Studie teil. Die Unterneh- digen Mitarbeiters bzw. men agieren im Kreditkartenmarkt als Ac- Manager des teilneh- PCI DSS gilt grundsätzlich für quirer, Merchants oder Payment Service menden Unterneh- alle Unternehmen, die Kreditkar- mens. Provider. tendaten verarbeiten, übertra- gen oder speichern. Über 90 Prozent dieser Unternehmen sind Wahrung strenger europaweit tätig, über die Hälfte – zumeist Vertraulichkeit im Konzernverbund – weltweit. Den Studienteilneh- mern wurde verbindlich Mit freundlicher Unterstützung von: zugesichert, ihre Aus- Über 80 Prozent der teilnehmenden Unter- sagen streng vertrau- nehmen verarbeiten, übertragen oder lich zu behandeln. speichern mehr als 1 Mio. Kreditkarten- Diese Zusage verbietet transaktionen pro Jahr; mehr als 60 Pro- die Weitergabe von direkt oder indirekt zent der Teilnehmer nennen über 6 Mio. zurechenbaren Ergeb- Transaktionen und ordnen sich damit der nissen. höchsten Kategorie von PCI DSS zu. Seite 1 von 3 © Copyright usd.de AG 2008 Ergebnisse  Bedeutung von PCI DSS Die PCI DSS-Studie adressiert ein weites Nahezu alle befragten Unternehmen sind Feld von Sicherheitsanforderungen tech- von der Notwendigkeit zum Schutz der nischer und organisatorischer Art. Um die Kreditkartendaten überzeugt und begrei- Qualität der Ergebnisse sicherzustellen, fen in diesem Zusammenhang PCI DSS wurden die teilnehmenden Ansprechpart- überwiegend als wichtig bzw. sehr wichtig. ner gebeten, nur solche Fragen zu beant- worten, die sie konkret beantworten konn- Keines der im Rahmen von PCI DSS defi- ten. Hieraus resultiert bei einzelnen Fra- nierten 12 Kontrollziele wurde von einem gen ein relativ hoher Anteil von Teilneh- der Teilnehmer in seiner Bedeutung als mern, die keine Antwort abgaben. gering geschätzt.  PCI DSS für Teilnehmer verbindlich  Einhaltung des Standards gefordert Alle teilnehmenden Unternehmen verar- Rund zwei Drittel der befragten Unterneh- beiten, übertragen oder speichern Kredit- men fordern von Kunden, Partnern bzw. kartendaten und haben damit aus Sicht Service Providern bereits den Nachweis der Kreditkartenorganisationen die Pflicht, der PCI DSS Compliance und erhöhen so die Anforderungen von PCI DSS zu erfül- die Relevanz des Standards weiter. len. Nahezu alle teilnehmenden Unter- nehmen arbeiten mit VISA (95%) und/oder Fordert Ihr Unternehmen die PCI DSS Compliance MC (85%) zusammen. Mit Abstand folgen von seinen Kunden, Partnern oder Dienstleistern? JCB, Maestro und Amex. Welche Kreditkartendaten werden von 62 % Ihrem Unternehmen verarbeitet, gespeichert oder übertragen? 8% 31 %  IT Sicherheit wird ernst genommen  Teilnehmende Unternehmen In jedem der teilnehmenden Unternehmen überwiegend bereits einmal zertifiziert ist ein dedizierter Mitarbeiter für das The- Knapp 80 Prozent der teilnehmenden Un- ma "IT Sicherheit" verantwortlich. In über ternehmen wurden bereits mindestens 80 Prozent der Unternehmen ist das eine einmal nach PCI DSS zertifiziert und ver- Fulltime-Aufgabe. 76 Prozent der IT Si- fügen infolgedessen über eigene Erfah- cherheitsverantwortlichen berichten direkt rungen mit dem Standard und seiner prak- an den Vorstand, der Rest an die Manage- tischen Anwendung. Die bereits zertifizier- mentebene darunter. Diese Zahlen bewei- ten Unternehmen zeigen sich mit dem Zer- sen den hohen Stellenwert des Themas in tifizierungsprozess zufrieden oder sehr den teilnehmenden Unternehmen und un- zufrieden. terstreichen die Führungsrolle der Kredit- kartenindustrie in Sachen IT Sicherheit. Der Standard ist nachweislich in der Branche angekommen und gewinnt zunehmend an Bedeutung. Seite 2 von 3 © Copyright usd.de AG 2008  Zertifizierungsdauer zwischen einem  Reale Kosten der Zertifizierung Monat und sechzehn Monaten Nur 38 Prozent der bereits zertifizierten Hinsichtlich der Projektdauer zur Errei- Unternehmen machten Angaben zu den chung der PCI Compliance ergibt sich kein Kosten ihrer Zertifizierung. Es fällt den einheitliches Bild. Durchschnittlich benötig- Unternehmen also ganz offensichtlich ten die Unternehmen 7 Monate bis zur schwer, den Aufwand für die Erreichung Erreichung der PCI Compliance, wobei die der PCI Compliance zu quantifizieren oder Antworten von einem Monat bis zu 16 Mo- sie wollen aus anderen Gründen keine naten reichten. Aussage treffen. Die Auswertung der Antworten ergibt, eine  Zufriedenheit mit den Auditoren Bandbreite zwischen 15.000 Euro und Der Auditor bzw. QSA wurde den bereits knapp 100.000 Euro für die Summe aus zertifizierten Unternehmen überwiegend internem Aufwand, externen Beratungs- (62%) von ihrem Acquirer empfohlen.