Wie viel von PCI DSS v4.0.1 deckt ISO 27001 tatsächlich ab?

Organisationen, die Kartenzahlungen annehmen und bereits ein ISO-27001-ISMS betreiben, erwarten oft, dass PCI DSS nur eine kleine Erweiterung ist. Die Zahlen sprechen eine andere Sprache. Hier sehen Sie, wie ISO 27001 mit dem gesamten PCI DSS v4.0.1 übereinstimmt, Anforderung für Anforderung, und warum die Lücke größer ist, als die thematische Überschneidung vermuten lässt.

Die zentrale Kennzahl

Von den 260 PCI DSS-Anforderungen sind 77 (30%) auf etwas in ISO 27001 zugeordnet, 76 sind nur lose verwandt und 107 haben keine Zuordnung in unseren Daten. Lückenbericht öffnen →

Weniger als ein Drittel der PCI-DSS-Anforderungen ist einem Element in ISO 27001 zugeordnet, und eine ähnlich große Zahl ist nur lose verwandt. Nahezu jedes PCI-Thema findet sich irgendwo in Anhang A, daher handelt es sich nicht um eine Lücke bei den Themen, sondern um eine Lücke bei den Details.

Wo die Überschneidung liegt

PCI DSS-Abschnitt	Zugeordnet	Lose verwandt	Keine Zuordnung
Requirement 1: Install and maintain network security controls	4 von 19	3	12
Requirement 2: Apply secure configurations to all system components	2 von 11	3	6
Requirement 3: Protect stored account data	8 von 29	7	14
Requirement 4: Protect cardholder data with strong cryptography during transmission	2 von 6	2	2
Requirement 5: Protect all systems and networks from malicious software	4 von 13	5	4
Requirement 6: Develop and maintain secure systems and software	10 von 19	3	6
Requirement 7: Restrict access to system components and cardholder data by business need to know	3 von 12	3	6
Requirement 8: Identify users and authenticate access to system components	6 von 29	15	8
Requirement 9: Restrict physical access to cardholder data	8 von 27	9	10
Requirement 10: Log and monitor all access to system components and cardholder data	6 von 27	10	11
Requirement 11: Test security of systems and networks regularly	3 von 21	6	12
Requirement 12: Support information security with organizational policies and programs	21 von 37	10	6
Appendix A: additional requirements	0 von 10	0	10

Haben ISO 27001, benötigen PCI DSS. Anforderung für Anforderung: Lückenbericht öffnen →

Die Überschneidungen konzentrieren sich auf die Teile von PCI DSS, die wie jeder Sicherheitsstandard gelesen werden können: Richtlinien und Rollen zu Beginn jeder Anforderung, Risiko und Governance in Anforderung 12, Grundsätze der Zugriffskontrolle in Anforderung 7 sowie Incident Response. Das Managementsystem und Anhang A von ISO 27001 decken diese Bereiche gut ab.

Warum der größte Teil von PCI DSS neue Arbeit bedeutet

PCI DSS ist präskriptiv, während ISO 27001 risikobasiert ist. Anhang A verlangt „technische Schwachstellen managen“; PCI DSS legt fest, wie, wie oft und mit welchem Scanner. Die Zeilen ohne Zuordnung werden vor allem von Anforderungen wie diesen bestimmt:

• Umgang mit Karteninhaberdaten (Anforderung 3): was nach der Autorisierung niemals gespeichert werden darf, das Maskieren der PAN bei der Anzeige, ihre unlesbare Speicherung an allen Orten und detaillierte Verfahren für das Schlüsselmanagement.
• Festgelegte Häufigkeiten: interne Schwachstellenscans alle drei Monate und nach wesentlichen Änderungen, externe Scans durch einen Approved Scanning Vendor, Protokollprüfungen sowie Zugriffsprüfungen alle sechs Monate.
• Spezifische technische Einstellungen: MFA für jeden Zugriff auf die Karteninhaberdaten-Umgebung, Sitzungs-Timeouts, Passwortlängen und Schwellenwerte für Kontosperrungen.
• Zahlungsspezifische Kontrollen: Verwaltung der Skripte auf Zahlungsseiten und Erkennung von Manipulationen sowie die Prüfung von Kartenlesegeräten auf Manipulation.
• Gezielte Risikoanalysen: Mit Version 4.0 wurden Risikoanalysen eingeführt, die die Häufigkeit bestimmter Aktivitäten festlegen, was wiederum dokumentiert werden muss.

ISO 27001 überlässt Ihnen die Wahl all dessen im Rahmen der Risikobehandlung. PCI DSS entscheidet dies für Sie.

Was ein ISMS weiterhin bringt

Das zugeordnete Drittel ist nicht trivial. Ein ISMS, das die Karteninhaberdaten-Umgebung in den Geltungsbereich einbezieht, liefert das Richtlinienwerk, die Risikobewertung, die Rollen, das Lieferantenmanagement, die Incident Response und das interne Audit, auf die die PCI-Konformität Jahr für Jahr angewiesen ist. Anforderung 12 liest sich wie eine Zusammenfassung der Kapitel 4 bis 10 von ISO, und Organisationen mit einem ISMS finden die Governance-Seite von PCI DSS meist unkompliziert.

So planen Sie

1. Bringen Sie die Karteninhaberdaten-Umgebung in den Geltungsbereich des ISMS und nehmen Sie PCI DSS in Ihre rechtlichen und vertraglichen Anforderungen auf (A.5.31).
2. Erstellen Sie den ISO-27001-→-PCI-DSS-Lückenbericht und behandeln Sie jede nicht zugeordnete Anforderung als Kontrolle, die es zu gestalten gilt, und nicht als Zuordnung, die es zu finden gilt.
3. Reduzieren Sie den Geltungsbereich vor dem Aufbau der Kontrollen: Segmentierung, Tokenisierung und ausgelagerte Zahlungsseiten können große Teile von PCI DSS aus dem Geltungsbereich herausnehmen.
4. Übernehmen Sie die Häufigkeiten von PCI in Ihre ISMS-Kontrollen, sodass eine Kontrolle beide Anforderungen erfüllt: ISO ist durch jede gut begründete Häufigkeit zufriedengestellt, also wählen Sie die von PCI.

Der Vergleich ISO 27001 vs. PCI DSS listet jede Anforderung in beide Richtungen auf. Der Text von PCI DSS unterliegt dem Urheberrecht des PCI SSC, daher sind die Titel der Anforderungen auf dieser Website unsere eigenen kurzen Zusammenfassungen.

Fragen

Ersetzt die ISO-27001-Zertifizierung PCI DSS?

Nein. Kartenmarken verlangen eine PCI-DSS-Validierung (einen Report on Compliance oder einen Self-Assessment Questionnaire) unabhängig von einer ISO-Zertifizierung. Ein ISMS hilft beim Betrieb des Programms, doch die meisten PCI-Anforderungen sind konkreter als die Vorgaben in Anhang A.

Welche PCI-DSS-Anforderungen deckt ISO 27001 am besten ab?

Governance und Richtlinien (Anforderung 12), Grundsätze der Zugriffskontrolle (7) und Incident Response sind gut zugeordnet. Die Lücken konzentrieren sich auf spezifische technische Einstellungen, Häufigkeiten und den Umgang mit Kontodaten.