Vergleich
ISO 27001 vs. PCI DSS: ein Managementsystem vs. präskriptive Vorgaben für Kartendaten
ISO/IEC 27001:2022 · PCI DSS v4.0.1 · Daten 2026-10-27
Nach Paul Gillet · Aktualisiert 2026-10-17
PCI DSS v4.0.1 ist eine vertragliche Anforderung der Kartenmarken für alle, die Karteninhaberdaten speichern, verarbeiten oder übertragen. Der Standard ist präskriptiv: Er umfasst rund 250 definierte Anforderungen mit Prüfverfahren und wird je nach Ihrer Stufe von einem Qualified Security Assessor oder über einen Self-Assessment Questionnaire validiert. ISO/IEC 27001 ist risikobasiert: Sie wählen Maßnahmen für einen selbst definierten Geltungsbereich aus und begründen diese.
Ein ISO-27001-ISMS bildet eine solide Grundlage für PCI-Arbeiten. Governance, Risikobewertung, Richtlinien, Zugriffskontrolle, Protokollierung und Vorfallmanagement lassen sich übernehmen, und der Risikoprozess von ISO unterstützt bei den gezielten Risikoanalysen von PCI DSS v4.
Beim Übergang von ISO zu PCI DSS sollten Sie mit vielen nicht zugeordneten und nur lose verwandten Anforderungen rechnen. Das liegt nicht daran, dass ISO schwächer wäre, sondern daran, dass PCI genau vorschreibt, was zu tun ist und wie oft: Regeln für die Netzwerksicherheitskontrollen in der Karteninhaberdatenumgebung, Schutz gespeicherter Kontodaten und PANs, spezifische Authentifizierungs- und MFA-Anforderungen, vierteljährliche Scans und jährliche Penetrationstests, Dateiintegritätsüberwachung und Kontrollen für Skripte auf Zahlungsseiten. Hinzu kommt eine Einschränkung der Datenlage: Das PCI-Crosswalk des NIST deckt nur einen Teil des Standards ab, daher haben einige PCI-Anforderungen keine veröffentlichte Verknüpfung zu anderen Inhalten.
Beim Übergang von PCI DSS zu ISO ist die Abdeckung von Anhang A gut; die Lücke liegt im Managementsystem: ISMS-Geltungsbereich, Ziele, dokumentierte Informationen, internes Audit und Managementbewertung.
Auf einen Blick
| ISO 27001 | PCI DSS | |
|---|---|---|
| Was geschützt wird | Alle Informationen im ISMS-Geltungsbereich | Zahlungskontodaten und die sie umgebenden Systeme |
| Grad der Präskriptivität | Risikobasiert: Sie wählen die Maßnahmen | Präskriptiv: konkrete Anforderungen, viele mit festen Intervallen |
| Wer es verlangt | Kunden und Ausschreibungen | Kartenmarken, über Verträge mit Acquirern |
| Bewertung | Zertifizierungsstelle | QSA-Report on Compliance oder Self-Assessment Questionnaire |
| Turnus | Jährliche Überwachungsaudits, Rezertifizierung alle drei Jahre | Jährlich, mit vierteljährlichen externen Scans |
ISO 27001 für PCI DSS nutzen
Ein ISMS, das die Karteninhaberdatenumgebung in seinen Geltungsbereich einbezieht, deckt einen großen Teil der Richtlinien-, Risiko- und Governance-Arbeit von PCI DSS ab, und viele technische Bereiche passen zusammen. Der neue Aufwand betrifft meist die spezifischen PCI-Einstellungen und -Intervalle: vierteljährliche externe Scans durch einen Approved Scanning Vendor, MFA für alle Zugriffe auf die Karteninhaberdatenumgebung, Kontrollen für Skripte auf Zahlungsseiten, Rhythmen für die Protokollprüfung und Details zum Schlüsselmanagement. Die Liste „Keine Zuordnung“ unten zeigt, wo Sie suchen sollten.
Wer was benötigt
PCI DSS gilt für jede Organisation, die Zahlungskartendaten speichert, verarbeitet oder überträgt oder deren Sicherheit diese Daten beeinflussen kann, da die Kartenmarken dies über Acquiring-Verträge verlangen. Wie validiert wird, hängt von Ihrer Stufe ab: Die größten Händler und Dienstleister benötigen einen jährlichen Report on Compliance durch einen Qualified Security Assessor; die meisten anderen füllen einen Self-Assessment Questionnaire aus. ISO 27001 ist freiwillig und umfassender: Der Standard deckt die gesamte Informationssicherheit einer Organisation ab, nicht nur Kartendaten, und endet in einem Zertifikat, das Kunden kennen.
Den PCI-Geltungsbereich verkleinern, bevor Maßnahmen aufgebaut werden
Die günstigste PCI-DSS-Anforderung ist diejenige, die für Sie nicht gilt. Bevor Sie ISO-Maßnahmen auf PCI abbilden, verkleinern Sie die Karteninhaberdatenumgebung:
- Zahlungsseite auslagern. Ein E-Commerce-Shop, der auf die Zahlungsseite eines PCI-konformen Zahlungsdienstleisters weiterleitet oder diese einbettet, hält Kartendaten von den eigenen Servern fern und kann für den kürzesten Fragebogen, SAQ A, in Frage kommen.
- Tokenisieren. Ersetzen Sie gespeicherte Kartennummern durch Token Ihres Zahlungsdienstleisters, sodass Sie nie primäre Kontonummern speichern.
- Segmentieren. Isolieren Sie die Systeme, die mit Kartendaten arbeiten müssen, von allen anderen, und testen Sie die Segmentierung.
Jedes System, das aus dem Geltungsbereich genommen wird, entfernt auf einmal Dutzende Anforderungen.
Kosten und Aufwand
Für eine ISO-zertifizierte Organisation hängen die Kosten von PCI DSS fast vollständig vom Geltungsbereich ab. Bei vollständig ausgelagerter Zahlungsseite kann der Aufwand aus einem kurzen Fragebogen und wenigen Maßnahmen bestehen. Befinden sich Kartendaten in den eigenen Systemen, ist mit erheblichem Aufwand bei den Anforderungen 3 (gespeicherte Daten), 8 (Authentifizierung), 10 (Protokollierung) und 11 (Tests) zu rechnen, dazu kommen vierteljährliche externe Scans durch einen Approved Scanning Vendor und auf höheren Stufen eine QSA-Bewertung. Der Governance-Aufwand ist gering, da das ISMS bereits den größten Teil der Anforderung 12 abdeckt.
Zeitplan
Planen Sie zuerst die Verkleinerung des Geltungsbereichs; sie kann den Zeitplan grundlegend verändern. Für eine Umgebung im Geltungsbereich benötigt eine ISO-zertifizierte Organisation üblicherweise drei bis neun Monate, um PCI-spezifische technische Lücken vor der ersten Bewertung zu schließen; vierteljährliche Scans müssen vor dem Bewertungstermin laufen. Richten Sie die festen PCI-Intervalle (vierteljährliche Scans, halbjährliche Überprüfungen, jährliche Tests) am ISMS-Kalender aus, damit das interne Audit sie zusammen mit allem anderen prüft.
Praxisbeispiel: ein Online-Händler
Ein mittelgroßer Online-Händler ist für seine E-Commerce-Plattform nach ISO 27001 zertifiziert und verarbeitet Kartenzahlungen auf eigenen Servern. Sein Acquirer verlangt eine PCI-DSS-Validierung. Die Lückenanalyse zeigt eine starke Überschneidung bei Governance, Reaktion auf Vorfälle und Lieferantenmanagement, aber große Lücken bei Anforderung 3 (gespeicherte Kontodaten), 6.4 (Sicherheit der Zahlungsseite) und 11 (ASV-Scans und Penetrationstests).
Der Händler gestaltet den Checkout zunächst neu, indem er eine eingebettete Zahlungsseite seines Zahlungsdienstleisters nutzt, und tokenisiert gespeicherte Karten. Seine eigenen Systeme verarbeiten keine Kartennummern mehr, der größte Teil der Lücken entfällt, und er validiert über einen kurzen Self-Assessment Questionnaire. Seine ISO-Maßnahmen decken den Rest ab, wobei die PCI-Intervalle in die bestehenden Verfahren aufgenommen werden.
Häufige Fehler
- Abbilden vor der Festlegung des Geltungsbereichs. Maßnahmen für eine Karteninhaberdatenumgebung aufbauen, die Tokenisierung oder eine ausgelagerte Zahlungsseite hätte entfernen können.
- ISO-Intervalle verwenden. Eine jährliche Zugriffsüberprüfung genügt ISO; PCI DSS verlangt alle sechs Monate. Richten Sie das Design am PCI-Rhythmus aus.
- Den ASV vergessen. Externe Scans müssen von einem Approved Scanning Vendor durchgeführt werden, vierteljährlich, mit bestandenen Ergebnissen.
- Das ISO-Zertifikat als PCI-Nachweis behandeln. Prüfer benötigen für jede Anforderung PCI-spezifische Nachweise.
- Die Zahlungsseite übersehen. Skriptverwaltung und Manipulationserkennung auf Zahlungsseiten gehören zu den am häufigsten übersehenen Anforderungen von v4.0.1.
Kernaussagen
- Bei PCI ist der Geltungsbereich entscheidend: Die Segmentierung der Karteninhaberdatenumgebung kann den Aufwand drastisch verringern.
- ISO → PCI: Ordnen Sie ISO-Maßnahmen jeder PCI-Anforderung explizit zu und rechnen Sie damit, Intervalle und technische Details zu ergänzen.
- Die erst später wirksam werdenden Anforderungen von PCI DSS v4.0 wurden am 31. März 2025 verbindlich; prüfen Sie, dass Sie gegen v4.0.1 bewerten.
Diesen Vergleich herunterladen (CSV) In der Lückenanalyse öffnen →
Haben ISO 27001 → benötigen PCI DSS
260 Anf. 77 zugeordnet · · 107 ohne Zuordnung In der Lückenansicht öffnen →Von 260 PCI DSS v4.0.1-Anforderungen sind 77 auf etwas in ISO 27001 zugeordnet, 76 sind nur lose verwandt und 107 haben keine Zuordnung in unseren Daten.
Voraussichtlich neuer Aufwand: PCI DSS-Anforderungen ohne Zuordnung zu ISO 27001 (107)
| PCI DSS | Anforderung | Abgleich | ISO 27001 | Nachweis |
|---|---|---|---|---|
| Requirement 1: Install and maintain network security controls · 12 | ||||
| 1.2.2 | Network connection changes go through change control | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 1.2.5 | Allowed services, protocols and ports approved | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 1.2.6 | Security features defined for insecure services | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 1.2.7 | Network security control rules reviewed every six months | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 1.2.8 | Network security control configuration files secured | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 1.3.2 | Outbound traffic from the CDE restricted | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 1.3.3 | Network controls between wireless networks and the CDE | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 1.4.2 | Inbound traffic from untrusted networks restricted | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 1.4.3 | Anti-spoofing measures in place | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 1.4.4 | Stored cardholder data not reachable from untrusted networks | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 1.4.5 | Internal IP addresses and routing not disclosed | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 1.5.1 | Controls on devices connecting to untrusted networks and the CDE | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| Requirement 2: Apply secure configurations to all system components · 6 | ||||
| 2.2.3 | Functions with different security levels kept apart | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 2.2.4 | Only necessary services and functions enabled | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 2.2.5 | Insecure services justified and secured | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 2.2.6 | System security parameters set to prevent misuse | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 2.2.7 | Non-console administrative access encrypted | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 2.3.2 | Wireless keys changed when key holders leave | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| Requirement 3: Protect stored account data · 14 | ||||
| 3.3.1.1 | Full track data not kept after authorisation | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 3.3.1.2 | Card verification code not kept after authorisation | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 3.3.1.3 | PIN and PIN block not kept after authorisation | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 3.3.2 | Sensitive authentication data encrypted before authorisation | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 3.3.3 | Issuer storage of sensitive authentication data limited and protected | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 3.5.1.1 | Hashes of PAN are keyed cryptographic hashes | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 3.5.1.2 | Disk-level encryption used only where it suffices | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 3.7.2 | Key management: secure key distribution | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 3.7.3 | Key management: secure key storage | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 3.7.5 | Key management: retiring weakened or compromised keys | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 3.7.6 | Key management: split knowledge and dual control | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 3.7.7 | Key management: preventing unauthorised key substitution | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 3.7.8 | Key custodians formally acknowledge their responsibilities | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 3.7.9 | Service providers give customers key-handling guidance | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| Requirement 4: Protect cardholder data with strong cryptography during transmission · 2 | ||||
| 4.2.1.2 | Strong cryptography on wireless networks carrying PAN | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 4.2.2 | PAN secured when sent by end-user messaging | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| Requirement 5: Protect all systems and networks from malicious software · 4 | ||||
| 5.3.1 | Anti-malware kept up to date | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 5.3.3 | Removable media scanned or analysed | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 5.3.4 | Anti-malware audit logs enabled and retained | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 5.3.5 | Users cannot disable or alter anti-malware | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| Requirement 6: Develop and maintain secure systems and software · 6 | ||||
| 6.5.1 | Production changes follow change control procedures | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 6.5.2 | PCI DSS requirements re-confirmed after significant changes | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 6.5.3 | Pre-production environments separated from production | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 6.5.4 | Duties separated between production and pre-production | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 6.5.5 | Live PANs not used in pre-production | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 6.5.6 | Test data and accounts removed before go-live | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| Requirement 7: Restrict access to system components and cardholder data by business need to know · 6 | ||||
| 7.2.3 | Privileges approved by authorised personnel | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 7.2.5 | System and application accounts least privilege | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 7.2.6 | Access to cardholder data repositories restricted | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 7.3.1 | Access control system restricts access by need | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 7.3.2 | Access control system enforces assigned permissions | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 7.3.3 | Access control system set to deny by default | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| Requirement 8: Identify users and authenticate access to system components · 8 | ||||
| 8.2.3 | Service providers use unique credentials per customer | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 8.2.4 | User ID changes authorised and controlled | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 8.2.7 | Third-party remote access accounts enabled only when needed | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 8.3.2 | Authentication factors unreadable in transit and storage | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 8.3.3 | Identity verified before changing authentication factors | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 8.3.4 | Account lockout after repeated failed attempts | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 8.3.11 | Tokens, smart cards and certificates assigned to individuals | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 8.6.1 | Interactive use of system accounts managed | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| Requirement 9: Restrict physical access to cardholder data · 10 | ||||
| 9.2.2 | Publicly accessible network jacks restricted | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 9.3.3 | Visitor badges returned or deactivated | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 9.3.4 | Visitor log maintained and retained | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 9.4.1 | Media with cardholder data physically secured | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 9.4.3 | Media sent off site tracked and secured | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 9.4.4 | Management approves media moved off site | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 9.4.5 | Inventory logs of electronic media kept | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 9.4.5.1 | Electronic media inventories at least annually | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 9.5.1 | Card-reading (POI) devices protected from tampering | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 9.5.1.3 | Staff trained to spot POI tampering | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| Requirement 10: Log and monitor all access to system components and cardholder data · 11 | ||||
| 10.2.1.1 | Logs capture user access to cardholder data | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 10.2.1.2 | Logs capture administrative actions | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 10.2.1.3 | Logs capture access to audit logs | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 10.2.1.4 | Logs capture invalid access attempts | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 10.2.1.5 | Logs capture credential and privilege changes | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 10.2.1.6 | Logs capture starting, stopping or pausing logging | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 10.2.1.7 | Logs capture system-level object changes | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 10.4.2 | Other logs reviewed periodically | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 10.4.3 | Exceptions and anomalies addressed | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 10.6.2 | Time configuration correct and consistent | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 10.7.3 | Security control failures responded to promptly | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| Requirement 11: Test security of systems and networks regularly · 12 | ||||
| 11.2.2 | Inventory of authorised wireless access points | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 11.3.1.2 | Internal scans use authenticated scanning | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 11.3.1.3 | Internal scans after significant changes | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 11.3.2.1 | External scans after significant changes | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 11.4.1 | Penetration testing methodology defined | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 11.4.2 | Internal penetration test at least annually | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 11.4.3 | External penetration test at least annually | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 11.4.5 | Segmentation controls tested at least annually | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 11.4.6 | Service providers test segmentation every six months | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 11.4.7 | Multi-tenant providers support customer penetration tests | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 11.5.1.1 | Service providers detect covert malware communication | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 11.5.2 | Change-detection on critical files | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| Requirement 12: Support information security with organizational policies and programs · 6 | ||||
| 12.2.1 | Acceptable use policies for end-user technologies | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 12.4.1 | Service providers: executive responsibility for PCI DSS compliance | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 12.5.2.1 | Service providers confirm scope every six months | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 12.6.2 | Awareness programme reviewed annually | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 12.6.3.1 | Training covers phishing and social engineering | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| 12.6.3.2 | Training covers acceptable use of technology | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| Appendix A: additional requirements · 10 | ||||
| A1.1.1 | Multi-tenant providers: separate provider and customer environments | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| A1.1.2 | Multi-tenant providers: customers confined to their own environment | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| A1.1.3 | Multi-tenant providers: customers reach only their own data | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| A1.1.4 | Multi-tenant providers: separation tested every six months | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| A1.2.1 | Multi-tenant providers: audit logging for each customer | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| A1.2.2 | Multi-tenant providers: support customer forensic investigations | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| A1.2.3 | Multi-tenant providers: report suspected incidents to customers | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| A2.1.1 | POI terminals using SSL or early TLS not exploitable | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| A2.1.2 | Service providers: migration plan off SSL and early TLS | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
| A2.1.3 | Service providers offer a secure connection option | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu ISO 27001 in unseren Daten. |
Prüfen: nur lose verwandt (ein gemeinsames CSF-Ergebnis, keine Zuordnung) (76)
| PCI DSS | Anforderung | Abgleich | ISO 27001 | Nachweis |
|---|---|---|---|---|
| Requirement 1: Install and maintain network security controls · 3 | ||||
| 1.1.1 | Network security policies documented and kept current | A.5.1A.5.31A.5.32+2 | Teilt nur CSF GV.PO-02: verwandt, aber keine Zuordnung | |
| 1.1.2 | Roles for network security controls assigned | A.5.2A.5.3Clause 7.2 | Teilt nur CSF GV.RR-02: verwandt, aber keine Zuordnung | |
| 1.2.4 | Accurate account-data flow diagram maintained | A.5.19A.5.20A.5.22+5 | Teilt nur CSF GV.SC-01, GV.SC-04, GV.SC-06, GV.SC-07…: verwandt, aber keine Zuordnung | |
| Requirement 2: Apply secure configurations to all system components · 3 | ||||
| 2.1.1 | Secure configuration policies documented and kept current | A.5.1A.5.31A.5.32+2 | Teilt nur CSF GV.PO-02: verwandt, aber keine Zuordnung | |
| 2.1.2 | Roles for secure configuration assigned | A.5.2A.5.3Clause 7.2 | Teilt nur CSF GV.RR-02: verwandt, aber keine Zuordnung | |
| 2.3.1 | Wireless vendor defaults changed | A.5.15A.5.3A.5.10+5 | Teilt nur CSF PR.AA-03, PR.DS-02: verwandt, aber keine Zuordnung | |
| Requirement 3: Protect stored account data · 7 | ||||
| 3.1.1 | Stored account data policies documented and kept current | A.5.1A.5.31A.5.32+2 | Teilt nur CSF GV.PO-02: verwandt, aber keine Zuordnung | |
| 3.1.2 | Roles for protecting stored account data assigned | A.5.2A.5.3Clause 7.2 | Teilt nur CSF GV.RR-02: verwandt, aber keine Zuordnung | |
| 3.5.1.3 | Disk encryption access managed separately from OS access | A.5.15A.5.1A.5.3+5 | Teilt nur CSF PR.AA-03, PR.DS-01: verwandt, aber keine Zuordnung | |
| 3.6.1.1 | Service providers document their cryptographic architecture | A.5.15A.5.16A.8.2+5 | Teilt nur CSF PR.AA-01, PR.DS-01, PR.AA-04: verwandt, aber keine Zuordnung | |
| 3.6.1.2 | Secret and private keys stored in approved forms | A.5.15A.5.16A.8.2+5 | Teilt nur CSF PR.AA-01, PR.DS-01, PR.AA-04: verwandt, aber keine Zuordnung | |
| 3.6.1.3 | Cleartext key components accessible to fewest custodians | A.5.15A.5.16A.8.2+5 | Teilt nur CSF PR.AA-01, PR.DS-01, PR.AA-04: verwandt, aber keine Zuordnung | |
| 3.6.1.4 | Keys stored in the fewest possible locations | A.5.15A.5.16A.8.2+5 | Teilt nur CSF PR.AA-01, PR.DS-01, PR.AA-04: verwandt, aber keine Zuordnung | |
| Requirement 4: Protect cardholder data with strong cryptography during transmission · 2 | ||||
| 4.1.1 | Data-in-transit policies documented and kept current | A.5.1A.5.31A.5.32+2 | Teilt nur CSF GV.PO-02: verwandt, aber keine Zuordnung | |
| 4.1.2 | Roles for protecting data in transit assigned | A.5.2A.5.3Clause 7.2 | Teilt nur CSF GV.RR-02: verwandt, aber keine Zuordnung | |
| Requirement 5: Protect all systems and networks from malicious software · 5 | ||||
| 5.1.1 | Anti-malware policies documented and kept current | A.5.1A.5.31A.5.32+2 | Teilt nur CSF GV.PO-02: verwandt, aber keine Zuordnung | |
| 5.1.2 | Roles for malware protection assigned | A.5.2A.5.3Clause 7.2 | Teilt nur CSF GV.RR-02: verwandt, aber keine Zuordnung | |
| 5.2.3 | Systems without anti-malware periodically re-evaluated | A.8.20A.8.21A.8.22+1 | Teilt nur CSF PR.IR-01: verwandt, aber keine Zuordnung | |
| 5.2.3.1 | Re-evaluation frequency set by targeted risk analysis | A.5.1A.8.20A.8.21+4 | Teilt nur CSF GV.RM-03, GV.RM-06, PR.IR-01: verwandt, aber keine Zuordnung | |
| 5.3.2.1 | Scan frequency set by targeted risk analysis | A.5.1Clause 6.1.2Clause 6.1.3 | Teilt nur CSF GV.RM-03, GV.RM-06: verwandt, aber keine Zuordnung | |
| Requirement 6: Develop and maintain secure systems and software · 3 | ||||
| 6.1.1 | Secure systems and software policies documented | A.5.1A.5.31A.5.32+2 | Teilt nur CSF GV.PO-02: verwandt, aber keine Zuordnung | |
| 6.1.2 | Roles for secure systems and software assigned | A.5.2A.5.3Clause 7.2 | Teilt nur CSF GV.RR-02: verwandt, aber keine Zuordnung | |
| 6.2.3.1 | Manual code reviews approved by someone else | A.5.8A.5.9A.5.11+5 | Teilt nur CSF ID.AM-08: verwandt, aber keine Zuordnung | |
| Requirement 7: Restrict access to system components and cardholder data by business need to know · 3 | ||||
| 7.1.1 | Access restriction policies documented and kept current | A.5.1A.5.3A.5.14+5 | Teilt nur CSF GV.PO-02, PR.AA-05: verwandt, aber keine Zuordnung | |
| 7.1.2 | Roles for access restriction assigned | A.5.2A.5.3Clause 7.2 | Teilt nur CSF GV.RR-02: verwandt, aber keine Zuordnung | |
| 7.2.5.1 | System and application account access periodically reviewed | A.5.1A.5.3A.5.14+5 | Teilt nur CSF GV.OV-03, GV.RM-03, GV.RM-06, PR.AA-05: verwandt, aber keine Zuordnung | |
| Requirement 8: Identify users and authenticate access to system components · 15 | ||||
| 8.1.1 | Identification and authentication policies documented | A.5.1A.5.3A.5.14+5 | Teilt nur CSF GV.PO-02, PR.AA-05: verwandt, aber keine Zuordnung | |
| 8.1.2 | Roles for identification and authentication assigned | A.5.2A.5.3Clause 7.2 | Teilt nur CSF GV.RR-02: verwandt, aber keine Zuordnung | |
| 8.2.2 | Shared or generic accounts only by documented exception | A.7.4A.8.2A.8.3+3 | Teilt nur CSF DE.CM-03, PR.AA-02: verwandt, aber keine Zuordnung | |
| 8.2.5 | Access revoked immediately on termination | A.5.19A.5.20A.5.21+5 | Teilt nur CSF GV.SC-10: verwandt, aber keine Zuordnung | |
| 8.2.6 | Inactive user accounts disabled within 90 days | A.5.1A.5.3A.5.14+5 | Teilt nur CSF PR.AA-05: verwandt, aber keine Zuordnung | |
| 8.2.8 | Re-authentication after 15 minutes idle | A.5.15A.5.3A.5.10+5 | Teilt nur CSF PR.AA-03, PR.DS-10: verwandt, aber keine Zuordnung | |
| 8.3.5 | First-use and reset passwords unique and changed | A.8.2A.8.3A.8.5 | Teilt nur CSF PR.AA-02: verwandt, aber keine Zuordnung | |
| 8.3.6 | Minimum password length and complexity | A.5.15A.5.16A.5.17+2 | Teilt nur CSF PR.AA-03: verwandt, aber keine Zuordnung | |
| 8.3.7 | Recent passwords cannot be reused | A.5.15A.5.16A.5.17+2 | Teilt nur CSF PR.AA-03: verwandt, aber keine Zuordnung | |
| 8.3.8 | Authentication guidance communicated to users | A.5.15A.5.16A.5.17+2 | Teilt nur CSF PR.AA-03: verwandt, aber keine Zuordnung | |
| 8.3.9 | Password-only access: change every 90 days or analyse risk | A.5.15A.5.16A.5.17+2 | Teilt nur CSF PR.AA-03: verwandt, aber keine Zuordnung | |
| 8.3.10 | Service providers give customers password guidance | A.5.15A.5.16A.5.17+2 | Teilt nur CSF PR.AA-03: verwandt, aber keine Zuordnung | |
| 8.3.10.1 | Service provider customer passwords: rotation or analysis | A.5.15A.5.16A.5.17+2 | Teilt nur CSF PR.AA-03: verwandt, aber keine Zuordnung | |
| 8.6.2 | No hard-coded passwords for system accounts | A.5.15A.5.16A.5.18+2 | Teilt nur CSF PR.AA-01: verwandt, aber keine Zuordnung | |
| 8.6.3 | System account passwords protected and changed | A.5.1Clause 6.1.3A.5.15+5 | Teilt nur CSF GV.RM-03, GV.RM-06, ID.RA-07, PR.AA-01: verwandt, aber keine Zuordnung | |
| Requirement 9: Restrict physical access to cardholder data · 9 | ||||
| 9.1.1 | Physical security policies documented and kept current | A.5.1A.5.31A.5.32+5 | Teilt nur CSF GV.PO-02: verwandt, aber keine Zuordnung | |
| 9.1.2 | Roles for physical security assigned | A.5.2A.5.3A.7.5+5 | Teilt nur CSF GV.RR-02, PR.IR-02: verwandt, aber keine Zuordnung | |
| 9.2.4 | Consoles in sensitive areas locked when unattended | A.5.15A.5.16A.5.17+5 | Teilt nur CSF PR.AA-03: verwandt, aber keine Zuordnung | |
| 9.4.1.2 | Security of offline backup location reviewed annually | A.8.13A.7.4 | Teilt nur CSF PR.DS-11, RC.RP-03, DE.CM-02: verwandt, aber keine Zuordnung | |
| 9.4.6 | Hard-copy media destroyed when no longer needed | A.5.20Clause 4.2A.5.1+5 | Teilt nur CSF GV.OC-03, GV.SC-10, PR.DS-01: verwandt, aber keine Zuordnung | |
| 9.4.7 | Electronic media destroyed or made unrecoverable | A.5.20A.8.13Clause 4.2+5 | Teilt nur CSF GV.OC-03, GV.SC-10, PR.DS-01, PR.DS-11: verwandt, aber keine Zuordnung | |
| 9.5.1.1 | Inventory of POI devices kept | A.5.9A.5.19A.5.20+5 | Teilt nur CSF ID.AM-01, PR.PS-03, GV.SC-09, ID.RA-09: verwandt, aber keine Zuordnung | |
| 9.5.1.2 | POI devices inspected for tampering | A.7.4A.5.9A.5.19+5 | Teilt nur CSF DE.CM-02, PR.AA-06, ID.AM-01, GV.SC-09: verwandt, aber keine Zuordnung | |
| 9.5.1.2.1 | Inspection frequency set by targeted risk analysis | A.5.1Clause 6.1.2Clause 6.1.3+5 | Teilt nur CSF GV.RM-03, GV.RM-06, GV.SC-09, ID.RA-07: verwandt, aber keine Zuordnung | |
| Requirement 10: Log and monitor all access to system components and cardholder data · 10 | ||||
| 10.1.1 | Logging and monitoring policies documented | A.5.1A.5.31A.5.32+2 | Teilt nur CSF GV.PO-02: verwandt, aber keine Zuordnung | |
| 10.1.2 | Roles for logging and monitoring assigned | A.5.2A.5.3Clause 7.2 | Teilt nur CSF GV.RR-02: verwandt, aber keine Zuordnung | |
| 10.2.2 | Log entries record who, what, when, where and outcome | A.5.25A.5.27A.5.28 | Teilt nur CSF RS.AN-03, RS.AN-07: verwandt, aber keine Zuordnung | |
| 10.3.1 | Read access to logs limited to need | A.5.26A.5.28A.8.15+1 | Teilt nur CSF DE.AE-06, RS.AN-06, PR.PS-04: verwandt, aber keine Zuordnung | |
| 10.3.3 | Logs promptly backed up to a central server | A.5.28A.8.15A.5.24+4 | Teilt nur CSF RS.AN-06, RS.AN-07, DE.AE-03, PR.PS-04…: verwandt, aber keine Zuordnung | |
| 10.3.4 | File-integrity monitoring on logs | A.5.24A.5.25A.5.28+5 | Teilt nur CSF DE.AE-02, RS.AN-06: verwandt, aber keine Zuordnung | |
| 10.4.2.1 | Review frequency set by targeted risk analysis | A.5.1Clause 6.1.3A.5.9+5 | Teilt nur CSF GV.RM-03, GV.RM-06, ID.RA-07, ID.AM-05: verwandt, aber keine Zuordnung | |
| 10.6.3 | Time settings protected from change | A.8.15A.8.17 | Teilt nur CSF PR.PS-04: verwandt, aber keine Zuordnung | |
| 10.7.1 | Service providers detect security control failures | A.5.1A.5.19Clause 9.1+5 | Teilt nur CSF GV.OV-01, GV.OV-02, GV.RM-05, ID.IM-03: verwandt, aber keine Zuordnung | |
| 10.7.2 | Critical security control failures detected and reported | A.5.1A.5.19Clause 9.1+5 | Teilt nur CSF GV.OV-01, GV.OV-02, GV.OV-03, GV.RM-05…: verwandt, aber keine Zuordnung | |
| Requirement 11: Test security of systems and networks regularly · 6 | ||||
| 11.1.1 | Security testing policies documented and kept current | A.5.1A.5.31A.5.32+2 | Teilt nur CSF GV.PO-02: verwandt, aber keine Zuordnung | |
| 11.1.2 | Roles for security testing assigned | A.5.2A.5.3Clause 7.2 | Teilt nur CSF GV.RR-02: verwandt, aber keine Zuordnung | |
| 11.2.1 | Wireless access points detected and unauthorised ones handled | A.8.15A.8.16A.8.20+3 | Teilt nur CSF DE.CM-01, PR.IR-01: verwandt, aber keine Zuordnung | |
| 11.3.1.1 | Lower-ranked vulnerabilities handled by risk analysis | A.5.1Clause 6.1.2Clause 6.1.3+2 | Teilt nur CSF GV.RM-03, GV.RM-06, ID.RA-05: verwandt, aber keine Zuordnung | |
| 11.4.4 | Penetration test findings corrected and retested | A.5.19A.5.1A.5.35+5 | Teilt nur CSF GV.OV-02, GV.OV-03, ID.IM-02: verwandt, aber keine Zuordnung | |
| 11.6.1 | Payment page changes and tampering detected | A.5.19A.5.1A.5.20+5 | Teilt nur CSF GV.SC-01, GV.SC-03, GV.SC-07, GV.SC-09…: verwandt, aber keine Zuordnung | |
| Requirement 12: Support information security with organizational policies and programs · 10 | ||||
| 12.3.2 | Targeted risk analysis for customised approach | A.5.1A.8.32Clause 6.1.2+1 | Teilt nur CSF GV.RM-06, ID.RA-07: verwandt, aber keine Zuordnung | |
| 12.3.3 | Cipher suites and protocols reviewed annually | A.5.1A.5.3A.5.10+5 | Teilt nur CSF GV.RM-03, GV.RM-06, PR.DS-02: verwandt, aber keine Zuordnung | |
| 12.3.4 | Hardware and software technologies reviewed annually | A.5.19A.5.1A.5.20+5 | Teilt nur CSF GV.OV-02, GV.OV-03, GV.SC-03, GV.SC-09…: verwandt, aber keine Zuordnung | |
| 12.4.2.1 | Service providers: quarterly review results documented | A.5.1A.5.19A.5.35+5 | Teilt nur CSF GV.OV-01, GV.OV-02, ID.IM-01: verwandt, aber keine Zuordnung | |
| 12.5.3 | Service providers review scope after organisational change | A.5.1A.5.19Clause 6.1.3+5 | Teilt nur CSF GV.OV-02, GV.RM-03, GV.RM-05: verwandt, aber keine Zuordnung | |
| 12.9.1 | Service providers acknowledge responsibilities to customers | A.5.19A.5.20A.5.31+5 | Teilt nur CSF GV.RM-05, GV.SC-01, GV.SC-05, GV.SC-07…: verwandt, aber keine Zuordnung | |
| 12.9.2 | Service providers support customer compliance requests | A.5.19A.5.20A.5.31+5 | Teilt nur CSF GV.RM-05, GV.SC-01, GV.SC-05, GV.SC-07…: verwandt, aber keine Zuordnung | |
| 12.10.4.1 | Training frequency set by targeted risk analysis | A.5.1A.5.2A.6.3+3 | Teilt nur CSF GV.RM-03, GV.RM-06, PR.AT-02: verwandt, aber keine Zuordnung | |
| 12.10.5 | Plan covers alerts from security monitoring | A.5.26 | Teilt nur CSF GV.SC-08: verwandt, aber keine Zuordnung | |
| 12.10.7 | Procedures for PAN found where it shouldn't be | A.5.9 | Teilt nur CSF ID.AM-07: verwandt, aber keine Zuordnung | |
Zugeordnet (77)
| PCI DSS | Anforderung | Abgleich | ISO 27001 | Nachweis |
|---|---|---|---|---|
| Requirement 1: Install and maintain network security controls · 4 | ||||
| 1.2.1 | Configuration standards for network security controls | Redaktionell | A.8.20A.8.21A.8.22 | Gleiches Thema: Firewall / Netzsegmentierung (Redaktionelle Auswahl) |
| 1.2.3 | Accurate network diagram maintained | Crosswalk | A.8.20A.8.21A.8.22 | Gleiches Thema: Firewall / Netzsegmentierung |
| 1.3.1 | Inbound traffic to the CDE restricted | Redaktionell | A.8.20A.8.21A.8.22 | Gleiches Thema: Firewall / Netzsegmentierung (Redaktionelle Auswahl) |
| 1.4.1 | Network controls between trusted and untrusted networks | Redaktionell | A.8.20A.8.21A.8.22 | Gleiches Thema: Firewall / Netzsegmentierung (Redaktionelle Auswahl) |
| Requirement 2: Apply secure configurations to all system components · 2 | ||||
| 2.2.1 | System configuration standards developed and maintained | Crosswalk | A.8.9 | Gleiches Thema: Sichere Konfiguration |
| 2.2.2 | Vendor default accounts managed or removed | Crosswalk | A.8.9 | Gleiches Thema: Sichere Konfiguration |
| Requirement 3: Protect stored account data · 8 | ||||
| 3.2.1 | Account data storage minimised, with retention and disposal | Crosswalk | A.5.14A.8.10A.8.11 | Gleiches Thema: Datenschutz |
| 3.3.1 | Sensitive authentication data not kept after authorisation | Crosswalk | A.5.14A.8.10A.8.11 | Gleiches Thema: Datenschutz |
| 3.4.1 | PAN masked when displayed | Crosswalk | A.5.14A.8.10A.8.11 | Gleiches Thema: Datenschutz |
| 3.4.2 | PAN copying prevented over remote-access technologies | Redaktionell | A.8.12 | Gleiches Thema: DLP (Redaktionelle Auswahl) |
| 3.5.1 | PAN rendered unreadable wherever stored | Crosswalk | A.8.24 | Gleiches Thema: Verschlüsselung |
| 3.6.1 | Procedures protect keys that secure stored account data | Crosswalk | A.8.24 | Gleiches Thema: Verschlüsselung |
| 3.7.1 | Key management: strong key generation | Redaktionell | A.8.24 | Gleiches Thema: Verschlüsselung (Redaktionelle Auswahl) |
| 3.7.4 | Key management: key changes at end of cryptoperiod | Redaktionell | A.8.24 | Gleiches Thema: Verschlüsselung (Redaktionelle Auswahl) |
| Requirement 4: Protect cardholder data with strong cryptography during transmission · 2 | ||||
| 4.2.1 | Strong cryptography for PAN over open, public networks | Crosswalk | A.8.24 | Gleiches Thema: Verschlüsselung |
| 4.2.1.1 | Inventory of trusted keys and certificates kept | Redaktionell | A.8.24 | Gleiches Thema: Verschlüsselung (Redaktionelle Auswahl) |
| Requirement 5: Protect all systems and networks from malicious software · 4 | ||||
| 5.2.1 | Anti-malware deployed on system components | Crosswalk | A.8.19A.8.1A.8.7 | Gleiches Thema: Endpoint-Schutz |
| 5.2.2 | Anti-malware detects, removes or contains known malware | Crosswalk | A.8.19A.8.1A.8.7 | Gleiches Thema: Endpoint-Schutz |
| 5.3.2 | Periodic scans or continuous behavioural analysis | Crosswalk | A.8.19A.8.1A.8.7 | Gleiches Thema: Endpoint-Schutz |
| 5.4.1 | Mechanisms to detect and protect against phishing | Redaktionell | A.5.14 | Gleiches Thema: E-Mail-Sicherheit (Redaktionelle Auswahl) |
| Requirement 6: Develop and maintain secure systems and software · 10 | ||||
| 6.2.1 | Bespoke and custom software developed securely | Redaktionell | A.8.25A.8.26A.8.28+1 | Gleiches Thema: Sichere Entwicklung (Redaktionelle Auswahl) |
| 6.2.2 | Developers trained in secure software development | Crosswalk | A.8.25A.8.26A.8.28+1 | Gleiches Thema: Sichere Entwicklung |
| 6.2.3 | Custom code reviewed before release | Crosswalk | A.8.5A.8.25A.8.26+2 | Gleiches Thema: API-Sicherheit, Sichere Entwicklung |
| 6.2.4 | Coding techniques prevent common software attacks | Redaktionell | A.8.5A.8.26 | Gleiches Thema: API-Sicherheit (Redaktionelle Auswahl) |
| 6.3.1 | Vulnerabilities identified and risk-ranked | Crosswalk | A.5.7A.8.8 | Gleiches Thema: Threat Intelligence, Schwachstellenmanagement, Patch-Management |
| 6.3.2 | Inventory of custom software and its components | Crosswalk | A.5.9A.5.11A.5.19+2 | Gleiches Thema: Asset-Management, Lieferkettenrisiko |
| 6.3.3 | Security patches installed promptly | Crosswalk | A.8.8 | Gleiches Thema: Patch-Management |
| 6.4.1 | Public web applications protected against attacks | Redaktionell | A.8.26 | Gleiches Thema: Webanwendungssicherheit (Redaktionelle Auswahl) |
| 6.4.2 | Automated solution blocks attacks on public web apps | Redaktionell | A.8.20 | Gleiches Thema: WAF (Redaktionelle Auswahl) |
| 6.4.3 | Payment page scripts authorised and integrity-checked | Redaktionell | A.8.26 | Gleiches Thema: Webanwendungssicherheit (Redaktionelle Auswahl) |
| Requirement 7: Restrict access to system components and cardholder data by business need to know · 3 | ||||
| 7.2.1 | Access control model defined | Crosswalk | A.5.15A.5.16A.5.18+3 | Gleiches Thema: Zugriffskontrolle, Zero Trust |
| 7.2.2 | Access assigned by job function and least privilege | Crosswalk | A.5.15A.5.16A.5.18+3 | Gleiches Thema: Zugriffskontrolle |
| 7.2.4 | User accounts and privileges reviewed every six months | Crosswalk | A.5.15A.5.16A.5.18+1 | Gleiches Thema: Zugriffskontrolle |
| Requirement 8: Identify users and authenticate access to system components · 6 | ||||
| 8.2.1 | Every user has a unique ID | Crosswalk | A.5.15A.5.16A.5.18+1 | Gleiches Thema: Zugriffskontrolle |
| 8.3.1 | User and admin access requires an authentication factor | Crosswalk | A.5.15A.8.5A.8.22 | Gleiches Thema: Zero Trust |
| 8.4.1 | MFA for non-console administrative access to the CDE | Redaktionell | A.8.5 | Gleiches Thema: Multi-Faktor-Authentifizierung (Redaktionelle Auswahl) |
| 8.4.2 | MFA for all access into the CDE | Redaktionell | A.8.5 | Gleiches Thema: Multi-Faktor-Authentifizierung (Redaktionelle Auswahl) |
| 8.4.3 | MFA for remote network access | Redaktionell | A.8.5 | Gleiches Thema: Multi-Faktor-Authentifizierung (Redaktionelle Auswahl) |
| 8.5.1 | MFA systems configured to resist misuse | Redaktionell | A.8.5 | Gleiches Thema: Multi-Faktor-Authentifizierung (Redaktionelle Auswahl) |
| Requirement 9: Restrict physical access to cardholder data · 8 | ||||
| 9.2.1 | Facility entry controls restrict CDE access | Redaktionell | A.7.1A.7.2A.7.3+6 | Gleiches Thema: Physische Sicherheit (Redaktionelle Auswahl) |
| 9.2.1.1 | Access to sensitive areas monitored by camera or access control | Redaktionell | A.7.1A.7.2A.7.3+6 | Gleiches Thema: Physische Sicherheit (Redaktionelle Auswahl) |
| 9.2.3 | Physical access to network hardware restricted | Crosswalk | A.7.1A.7.2A.7.3+6 | Gleiches Thema: Physische Sicherheit |
| 9.3.1 | Personnel physical access authorised and managed | Redaktionell | A.7.1A.7.2A.7.3+6 | Gleiches Thema: Physische Sicherheit (Redaktionelle Auswahl) |
| 9.3.1.1 | Sensitive-area access authorised and revoked promptly | Crosswalk | A.7.1A.7.2A.7.3+6 | Gleiches Thema: Physische Sicherheit |
| 9.3.2 | Visitor access authorised, escorted and identifiable | Redaktionell | A.7.1A.7.2A.7.3+6 | Gleiches Thema: Physische Sicherheit (Redaktionelle Auswahl) |
| 9.4.1.1 | Offline backup media stored securely | Crosswalk | A.8.13 | Gleiches Thema: Backup & Recovery |
| 9.4.2 | Media classified by data sensitivity | Redaktionell | A.5.12A.5.13 | Gleiches Thema: Datenklassifizierung (Redaktionelle Auswahl) |
| Requirement 10: Log and monitor all access to system components and cardholder data · 6 | ||||
| 10.2.1 | Audit logs enabled and active | Crosswalk | A.6.1A.6.4A.8.15+2 | Gleiches Thema: Insider-Bedrohungen, Protokollierung & Audit |
| 10.3.2 | Logs protected from modification | Crosswalk | A.5.28A.8.15A.8.17 | Gleiches Thema: Forensik, Protokollierung & Audit |
| 10.4.1 | Security event and critical logs reviewed daily | Crosswalk | A.5.25A.8.16 | Gleiches Thema: SIEM / SOC, Kont. Überwachung |
| 10.4.1.1 | Automated mechanisms for log review | Redaktionell | A.8.16 | Gleiches Thema: Anomalieerkennung (Redaktionelle Auswahl) |
| 10.5.1 | Audit logs retained 12 months, three immediately available | Redaktionell | A.8.15A.8.17 | Gleiches Thema: Protokollierung & Audit (Redaktionelle Auswahl) |
| 10.6.1 | System clocks synchronised | Crosswalk | A.8.15A.8.17 | Gleiches Thema: Protokollierung & Audit |
| Requirement 11: Test security of systems and networks regularly · 3 | ||||
| 11.3.1 | Internal vulnerability scans every three months | Crosswalk | A.8.8 | Gleiches Thema: Schwachstellenmanagement |
| 11.3.2 | External ASV scans every three months | Crosswalk | A.8.8 | Gleiches Thema: Schwachstellenmanagement |
| 11.5.1 | Intrusion detection or prevention on network traffic | Redaktionell | A.8.16 | Gleiches Thema: Angriffserkennung (Redaktionelle Auswahl) |
| Requirement 12: Support information security with organizational policies and programs · 21 | ||||
| 12.1.1 | Information security policy established and published | Crosswalk | A.5.1A.5.37Clause 5.2 | Gleiches Thema: Governance-Richtlinie |
| 12.1.2 | Security policy reviewed at least annually | Crosswalk | A.5.1A.5.37Clause 5.2 | Gleiches Thema: Governance-Richtlinie |
| 12.1.3 | Security roles and responsibilities defined | Crosswalk | A.5.2A.5.4 | Gleiches Thema: Rollen und Verantwortlichkeiten |
| 12.1.4 | Executive responsibility for information security assigned | Crosswalk | A.5.2A.5.4 | Gleiches Thema: Rollen und Verantwortlichkeiten |
| 12.3.1 | Targeted risk analysis for flexible-frequency requirements | Crosswalk | Clause 6.1.1Clause 6.1.2Clause 6.1.3 | Gleiches Thema: Risikomanagement, Risikobewertung |
| 12.4.2 | Service providers: quarterly reviews of operational tasks | Crosswalk | A.5.31Clause 9.1A.5.36 | Gleiches Thema: Compliance |
| 12.5.1 | Inventory of in-scope system components | Crosswalk | A.5.9A.5.11A.7.14 | Gleiches Thema: Asset-Management |
| 12.5.2 | PCI DSS scope confirmed annually and on change | Crosswalk | Clause 4.1Clause 4.2 | Gleiches Thema: Geschäftsumfeld |
| 12.6.1 | Formal security awareness programme | Crosswalk | A.6.3Clause 7.3 | Gleiches Thema: Awareness & Training |
| 12.6.3 | Awareness training on hire and at least annually | Crosswalk | A.6.3Clause 7.3 | Gleiches Thema: Awareness & Training |
| 12.7.1 | Personnel screened before hire | Crosswalk | A.6.1A.6.4A.8.16 | Gleiches Thema: Insider-Bedrohungen |
| 12.8.1 | List of third-party service providers kept | Crosswalk | A.5.19A.5.20A.5.21+2 | Gleiches Thema: Lieferkettenrisiko, Lieferantenrisikomanagement |
| 12.8.2 | Written agreements with service providers | Crosswalk | A.5.19A.5.20A.5.22 | Gleiches Thema: Lieferantenrisikomanagement |
| 12.8.3 | Due diligence before engaging service providers | Crosswalk | A.5.19A.5.20A.5.22 | Gleiches Thema: Lieferantenrisikomanagement |
| 12.8.4 | Service provider compliance monitored annually | Crosswalk | A.5.19A.5.20A.5.22 | Gleiches Thema: Lieferantenrisikomanagement |
| 12.8.5 | Responsibilities split with each provider documented | Crosswalk | A.5.19A.5.20A.5.22+1 | Gleiches Thema: Lieferantenrisikomanagement |
| 12.10.1 | Incident response plan ready to activate | Crosswalk | A.5.5A.5.24A.5.25+5 | Gleiches Thema: Meldung, Incident Response |
| 12.10.2 | Incident response plan reviewed and tested annually | Crosswalk | A.5.24A.5.25A.5.26 | Gleiches Thema: Incident Response |
| 12.10.3 | Incident response staff available around the clock | Crosswalk | A.5.24A.5.25A.5.26 | Gleiches Thema: Incident Response |
| 12.10.4 | Incident response staff trained | Crosswalk | A.5.24A.5.25A.5.26 | Gleiches Thema: Incident Response |
| 12.10.6 | Plan updated from lessons learned and industry changes | Crosswalk | A.5.27Clause 10.1 | Gleiches Thema: Erkenntnisse aus Vorfällen |
Haben PCI DSS → benötigen ISO 27001
123 Anf. 76 zugeordnet · · 10 ohne Zuordnung In der Lückenansicht öffnen →Von 123 ISO/IEC 27001:2022-Anforderungen sind 76 auf etwas in PCI DSS zugeordnet, 37 sind nur lose verwandt und 10 haben keine Zuordnung in unseren Daten.
Voraussichtlich neuer Aufwand: ISO 27001-Anforderungen ohne Zuordnung zu PCI DSS (10)
| ISO 27001 | Anforderung | Abgleich | PCI DSS | Nachweis |
|---|---|---|---|---|
| ISMS clauses 4–10 · 10 | ||||
| Clause 4.3 | Determining the scope of the ISMS | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu PCI DSS in unseren Daten. |
| Clause 5.1 | Leadership and commitment | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu PCI DSS in unseren Daten. |
| Clause 6.2 | Information security objectives and planning to achieve them | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu PCI DSS in unseren Daten. |
| Clause 6.3 | Planning of changes | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu PCI DSS in unseren Daten. |
| Clause 7.5.1 | General | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu PCI DSS in unseren Daten. |
| Clause 7.5.2 | Creating and updating | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu PCI DSS in unseren Daten. |
| Clause 7.5.3 | Control of documented information | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu PCI DSS in unseren Daten. |
| Clause 9.2.1 | General | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu PCI DSS in unseren Daten. |
| Clause 9.2.2 | Internal audit programme | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu PCI DSS in unseren Daten. |
| Clause 10.2 | Nonconformity and corrective action | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu PCI DSS in unseren Daten. |
Prüfen: nur lose verwandt (ein gemeinsames CSF-Ergebnis, keine Zuordnung) (37)
| ISO 27001 | Anforderung | Abgleich | PCI DSS | Nachweis |
|---|---|---|---|---|
| A.5 Organizational controls · 9 | ||||
| A.5.3 | Segregation of duties | 7.2.212.1.31.1.2+5 | Teilt nur CSF PR.AA-05, PR.DS-10, GV.RR-02: verwandt, aber keine Zuordnung | |
| A.5.6 | Contact with special interest groups | 12.10.610.7.110.7.2+5 | Teilt nur CSF GV.OV-01, RS.CO-03: verwandt, aber keine Zuordnung | |
| A.5.8 | Information security in project management | 1.2.31.2.46.2.1+5 | Teilt nur CSF GV.OC-05, ID.AM-08: verwandt, aber keine Zuordnung | |
| A.5.10 | Acceptable use of information and other associated assets | 2.3.13.2.13.3.1+5 | Teilt nur CSF PR.DS-02, PR.DS-10, PR.DS-01: verwandt, aber keine Zuordnung | |
| A.5.17 | Authentication information | 2.2.22.3.13.5.1.3+5 | Teilt nur CSF PR.AA-03: verwandt, aber keine Zuordnung | |
| A.5.32 | Intellectual property rights | 1.1.12.1.13.1.1+5 | Teilt nur CSF GV.PO-02: verwandt, aber keine Zuordnung | |
| A.5.33 | Protection of records | 3.3.13.5.13.5.1.3+5 | Teilt nur CSF PR.DS-01: verwandt, aber keine Zuordnung | |
| A.5.34 | Privacy and protection of PII | 1.1.12.1.13.1.1+5 | Teilt nur CSF GV.PO-02: verwandt, aber keine Zuordnung | |
| A.5.35 | Independent review of information security | 11.4.412.3.412.4.2+5 | Teilt nur CSF GV.OV-02, ID.IM-02, ID.IM-01: verwandt, aber keine Zuordnung | |
| A.6 People controls · 4 | ||||
| A.6.2 | Terms and conditions of employment | 7.2.22.3.13.2.1+5 | Teilt nur CSF GV.RR-04, PR.DS-10, PR.DS-02: verwandt, aber keine Zuordnung | |
| A.6.5 | Responsibilities after termination or change of employment | 7.2.22.3.13.2.1+5 | Teilt nur CSF GV.RR-04, PR.DS-10, PR.DS-02: verwandt, aber keine Zuordnung | |
| A.6.6 | Confidentiality or non-disclosure agreements | 7.2.28.2.59.3.1.1+4 | Teilt nur CSF GV.RR-04: verwandt, aber keine Zuordnung | |
| A.6.7 | Remote working | 7.2.212.1.38.2.5+5 | Teilt nur CSF GV.RR-04, PR.AA-05, GV.PO-01: verwandt, aber keine Zuordnung | |
| A.7 Physical controls · 4 | ||||
| A.7.7 | Clear desk and clear screen | 3.3.13.5.13.5.1.3+5 | Teilt nur CSF PR.DS-01: verwandt, aber keine Zuordnung | |
| A.7.9 | Security of assets off-premises | 3.3.13.5.13.5.1.3+5 | Teilt nur CSF PR.DS-01: verwandt, aber keine Zuordnung | |
| A.7.10 | Storage media | 3.3.13.5.13.5.1.3+5 | Teilt nur CSF PR.DS-01: verwandt, aber keine Zuordnung | |
| A.7.13 | Equipment maintenance | 6.2.16.2.26.2.3+5 | Teilt nur CSF ID.AM-08: verwandt, aber keine Zuordnung | |
| A.8 Technological controls · 9 | ||||
| A.8.4 | Access to source code | 7.2.22.3.13.2.1+5 | Teilt nur CSF PR.AA-05, PR.DS-10, PR.DS-02: verwandt, aber keine Zuordnung | |
| A.8.6 | Capacity management | 5.2.15.2.25.3.2+5 | Teilt nur CSF DE.CM-09: verwandt, aber keine Zuordnung | |
| A.8.23 | Web filtering | 1.2.31.2.45.2.1+5 | Teilt nur CSF PR.IR-01: verwandt, aber keine Zuordnung | |
| A.8.27 | Secure system architecture and engineering principles | 12.10.112.10.212.10.6 | Teilt nur CSF PR.IR-03: verwandt, aber keine Zuordnung | |
| A.8.30 | Outsourced development | 7.2.5.110.7.211.3.1+5 | Teilt nur CSF GV.OV-03: verwandt, aber keine Zuordnung | |
| A.8.31 | Separation of development, test and production environments | 6.2.26.2.36.3.2+5 | Teilt nur CSF PR.PS-06: verwandt, aber keine Zuordnung | |
| A.8.32 | Change management | 12.3.17.2.5.18.6.3+5 | Teilt nur CSF GV.OV-03, ID.RA-07: verwandt, aber keine Zuordnung | |
| A.8.33 | Test information | 3.3.13.5.13.5.1.3+5 | Teilt nur CSF PR.DS-01: verwandt, aber keine Zuordnung | |
| A.8.34 | Protection of information systems during audit testing | 7.2.5.110.7.211.3.1+5 | Teilt nur CSF GV.OV-03: verwandt, aber keine Zuordnung | |
| ISMS clauses 4–10 · 11 | ||||
| Clause 4.4 | Information security management system | 12.1.412.8.112.8.5+2 | Teilt nur CSF GV.OC-02: verwandt, aber keine Zuordnung | |
| Clause 5.3 | Organizational roles, responsibilities and authorities | 12.1.412.8.312.8.4+1 | Teilt nur CSF GV.SC-02: verwandt, aber keine Zuordnung | |
| Clause 7.1 | Resources | 12.1.412.10.3 | Teilt nur CSF GV.RR-03: verwandt, aber keine Zuordnung | |
| Clause 7.2 | Competence | 12.1.312.1.41.1.2+5 | Teilt nur CSF GV.RR-01, GV.RR-02, GV.RR-03: verwandt, aber keine Zuordnung | |
| Clause 7.4 | Communication | 12.10.112.8.212.10.3+3 | Teilt nur CSF RC.CO-03, RC.CO-04, RS.CO-02, RS.CO-03: verwandt, aber keine Zuordnung | |
| Clause 8.1 | Operational planning and control | 1.2.31.2.46.3.1+5 | Teilt nur CSF GV.SC-01, RC.RP-04, GV.SC-03: verwandt, aber keine Zuordnung | |
| Clause 8.2 | Information security risk assessment | 12.1.112.1.412.8.1+3 | Teilt nur CSF GV.OC-01, GV.OC-02: verwandt, aber keine Zuordnung | |
| Clause 8.3 | Information security risk treatment | 12.1.112.1.412.8.1+3 | Teilt nur CSF GV.OC-01, GV.OC-02: verwandt, aber keine Zuordnung | |
| Clause 9.3.1 | General | 2.2.12.2.2 | Teilt nur CSF PR.PS-01: verwandt, aber keine Zuordnung | |
| Clause 9.3.2 | Management review inputs | 2.2.12.2.2 | Teilt nur CSF PR.PS-01: verwandt, aber keine Zuordnung | |
| Clause 9.3.3 | Management review results | 2.2.12.2.2 | Teilt nur CSF PR.PS-01: verwandt, aber keine Zuordnung | |
Zugeordnet (76)
| ISO 27001 | Anforderung | Abgleich | PCI DSS | Nachweis |
|---|---|---|---|---|
| A.5 Organizational controls · 28 | ||||
| A.5.1 | Policies for information security | Crosswalk | 12.1.112.1.2 | Gleiches Thema: Governance-Richtlinie |
| A.5.2 | Information security roles and responsibilities | Crosswalk | 12.1.312.1.4 | Gleiches Thema: Rollen und Verantwortlichkeiten |
| A.5.4 | Management responsibilities | Crosswalk | 12.1.312.1.4 | Gleiches Thema: Rollen und Verantwortlichkeiten |
| A.5.5 | Contact with authorities | Crosswalk | 12.10.1 | Gleiches Thema: Meldung |
| A.5.7 | Threat intelligence | Crosswalk | 6.3.1 | Gleiches Thema: Threat Intelligence |
| A.5.9 | Inventory of information and other associated assets | Crosswalk | 6.3.212.5.1 | Gleiches Thema: Asset-Management |
| A.5.11 | Return of assets | Crosswalk | 6.3.212.5.1 | Gleiches Thema: Asset-Management |
| A.5.12 | Classification of information | Redaktionell | 9.4.2 | Gleiches Thema: Datenklassifizierung (Redaktionelle Auswahl) |
| A.5.13 | Labelling of information | Redaktionell | 9.4.2 | Gleiches Thema: Datenklassifizierung (Redaktionelle Auswahl) |
| A.5.14 | Information transfer | Crosswalk | 3.2.13.3.13.4.1+1 | Gleiches Thema: Datenschutz |
| A.5.15 | Access control | Crosswalk | 7.2.17.2.27.2.4+2 | Gleiches Thema: Zugriffskontrolle, Zero Trust |
| A.5.16 | Identity management | Crosswalk | 7.2.17.2.27.2.4+1 | Gleiches Thema: Zugriffskontrolle |
| A.5.18 | Access rights | Crosswalk | 7.2.17.2.27.2.4+1 | Gleiches Thema: Zugriffskontrolle |
| A.5.19 | Information security in supplier relationships | Crosswalk | 6.3.212.8.112.8.2+3 | Gleiches Thema: Lieferkettenrisiko, Lieferantenrisikomanagement |
| A.5.20 | Addressing information security within supplier agreements | Crosswalk | 12.8.112.8.212.8.3+2 | Gleiches Thema: Lieferantenrisikomanagement |
| A.5.21 | Managing information security in the ICT supply chain | Crosswalk | 6.3.212.8.1 | Gleiches Thema: Lieferkettenrisiko |
| A.5.22 | Monitoring, review and change management of supplier services | Crosswalk | 12.8.112.8.212.8.3+2 | Gleiches Thema: Lieferantenrisikomanagement |
| A.5.23 | Information security for use of cloud services | Crosswalk | 12.8.112.8.5 | Gleiches Thema: Cloud-Sicherheit |
| A.5.24 | Information security incident management planning and preparation | Crosswalk | 12.10.112.10.212.10.3+1 | Gleiches Thema: Incident Response |
| A.5.25 | Assessment and decision on information security events | Crosswalk | 10.4.112.10.112.10.2+2 | Gleiches Thema: SIEM / SOC, Incident Response |
| A.5.26 | Response to information security incidents | Crosswalk | 12.10.112.10.212.10.3+1 | Gleiches Thema: Incident Response, Mitigation |
| A.5.27 | Learning from information security incidents | Crosswalk | 12.10.6 | Gleiches Thema: Erkenntnisse aus Vorfällen |
| A.5.28 | Collection of evidence | Crosswalk | 10.3.2 | Gleiches Thema: Forensik |
| A.5.29 | Information security during disruption | Crosswalk | 12.10.1 | Gleiches Thema: Wiederherstellungsplanung, Business Continuity |
| A.5.30 | ICT readiness for business continuity | Crosswalk | 12.10.1 | Gleiches Thema: Wiederherstellungsplanung, Business Continuity, Disaster Recovery |
| A.5.31 | Legal, statutory, regulatory and contractual requirements | Crosswalk | 12.4.2 | Gleiches Thema: Compliance |
| A.5.36 | Compliance with policies, rules and standards for information security | Redaktionell | 12.4.2 | Gleiches Thema: Compliance (Redaktionelle Auswahl) |
| A.5.37 | Documented operating procedures | Crosswalk | 12.1.112.1.2 | Gleiches Thema: Governance-Richtlinie |
| A.6 People controls · 4 | ||||
| A.6.1 | Screening | Crosswalk | 10.2.112.7.1 | Gleiches Thema: Insider-Bedrohungen |
| A.6.3 | Information security awareness, education and training | Crosswalk | 12.6.112.6.3 | Gleiches Thema: Awareness & Training |
| A.6.4 | Disciplinary process | Crosswalk | 10.2.112.7.1 | Gleiches Thema: Insider-Bedrohungen |
| A.6.8 | Information security event reporting | Crosswalk | 12.10.1 | Gleiches Thema: Meldung |
| A.7 Physical controls · 10 | ||||
| A.7.1 | Physical security perimeters | Crosswalk | 9.2.39.3.1.19.2.1+3 | Gleiches Thema: Physische Sicherheit |
| A.7.2 | Physical entry | Crosswalk | 9.2.39.3.1.19.2.1+3 | Gleiches Thema: Physische Sicherheit |
| A.7.3 | Securing offices, rooms and facilities | Crosswalk | 9.2.39.3.1.19.2.1+3 | Gleiches Thema: Physische Sicherheit |
| A.7.4 | Physical security monitoring | Crosswalk | 9.2.39.3.1.19.2.1+3 | Gleiches Thema: Physische Sicherheit |
| A.7.5 | Protecting against physical and environmental threats | Crosswalk | 9.2.39.3.1.19.2.1+3 | Gleiches Thema: Physische Sicherheit |
| A.7.6 | Working in secure areas | Crosswalk | 9.2.39.3.1.19.2.1+3 | Gleiches Thema: Physische Sicherheit |
| A.7.8 | Equipment siting and protection | Crosswalk | 9.2.39.3.1.19.2.1+3 | Gleiches Thema: Physische Sicherheit |
| A.7.11 | Supporting utilities | Crosswalk | 9.2.39.3.1.19.2.1+3 | Gleiches Thema: Physische Sicherheit |
| A.7.12 | Cabling security | Crosswalk | 9.2.39.3.1.19.2.1+3 | Gleiches Thema: Physische Sicherheit |
| A.7.14 | Secure disposal or re-use of equipment | Crosswalk | 6.3.212.5.1 | Gleiches Thema: Asset-Management |
| A.8 Technological controls · 25 | ||||
| A.8.1 | User endpoint devices | Redaktionell | 5.2.15.2.25.3.2 | Gleiches Thema: Endpoint-Schutz (Redaktionelle Auswahl) |
| A.8.2 | Privileged access rights | Crosswalk | 7.2.2 | Gleiches Thema: Privilegierter Zugriff |
| A.8.3 | Information access restriction | Crosswalk | 7.2.17.2.27.2.4+1 | Gleiches Thema: Zugriffskontrolle |
| A.8.5 | Secure authentication | Crosswalk | 6.2.37.2.18.3.1+5 | Gleiches Thema: API-Sicherheit, Zero Trust |
| A.8.7 | Protection against malware | Redaktionell | 5.2.15.2.25.3.2 | Gleiches Thema: Endpoint-Schutz (Redaktionelle Auswahl) |
| A.8.8 | Management of technical vulnerabilities | Crosswalk | 6.3.16.3.311.3.1+1 | Gleiches Thema: Schwachstellenmanagement, Patch-Management |
| A.8.9 | Configuration management | Crosswalk | 2.2.12.2.2 | Gleiches Thema: Sichere Konfiguration |
| A.8.10 | Information deletion | Crosswalk | 3.2.13.3.13.4.1 | Gleiches Thema: Datenschutz |
| A.8.11 | Data masking | Crosswalk | 3.2.13.3.13.4.1 | Gleiches Thema: Datenschutz |
| A.8.12 | Data leakage prevention | Redaktionell | 3.4.2 | Gleiches Thema: DLP (Redaktionelle Auswahl) |
| A.8.13 | Information backup | Crosswalk | 9.4.1.1 | Gleiches Thema: Backup & Recovery |
| A.8.14 | Redundancy of information processing facilities | Crosswalk | 12.10.1 | Gleiches Thema: Business Continuity, Disaster Recovery |
| A.8.15 | Logging | Crosswalk | 10.2.110.3.210.6.1+1 | Gleiches Thema: Protokollierung & Audit |
| A.8.16 | Monitoring activities | Crosswalk | 10.2.110.4.112.7.1+2 | Gleiches Thema: Insider-Bedrohungen, Kont. Überwachung, SIEM / SOC |
| A.8.17 | Clock synchronization | Crosswalk | 10.2.110.3.210.6.1+1 | Gleiches Thema: Protokollierung & Audit |
| A.8.18 | Use of privileged utility programs | Crosswalk | 7.2.2 | Gleiches Thema: Privilegierter Zugriff |
| A.8.19 | Installation of software on operational systems | Crosswalk | 5.2.15.2.25.3.2 | Gleiches Thema: Endpoint-Schutz |
| A.8.20 | Networks security | Crosswalk | 1.2.31.2.11.3.1+2 | Gleiches Thema: Firewall / Netzsegmentierung |
| A.8.21 | Security of network services | Crosswalk | 1.2.31.2.11.3.1+1 | Gleiches Thema: Firewall / Netzsegmentierung |
| A.8.22 | Segregation of networks | Crosswalk | 1.2.37.2.18.3.1+3 | Gleiches Thema: Firewall / Netzsegmentierung, Zero Trust |
| A.8.24 | Use of cryptography | Crosswalk | 3.5.13.6.14.2.1+3 | Gleiches Thema: Verschlüsselung |
| A.8.25 | Secure development life cycle | Crosswalk | 6.2.26.2.36.2.1 | Gleiches Thema: Sichere Entwicklung |
| A.8.26 | Application security requirements | Crosswalk | 6.2.26.2.36.2.1+3 | Gleiches Thema: Sichere Entwicklung, API-Sicherheit |
| A.8.28 | Secure coding | Crosswalk | 6.2.26.2.36.2.1 | Gleiches Thema: Sichere Entwicklung |
| A.8.29 | Security testing in development and acceptance | Crosswalk | 6.2.26.2.36.2.1 | Gleiches Thema: Sichere Entwicklung |
| ISMS clauses 4–10 · 9 | ||||
| Clause 4.1 | Understanding the organization and its context | Crosswalk | 12.5.2 | Gleiches Thema: Geschäftsumfeld |
| Clause 4.2 | Understanding the needs and expectations of interested parties | Crosswalk | 12.5.2 | Gleiches Thema: Geschäftsumfeld |
| Clause 5.2 | Policy | Crosswalk | 12.1.112.1.2 | Gleiches Thema: Governance-Richtlinie |
| Clause 6.1.1 | General | Crosswalk | 12.3.1 | Gleiches Thema: Risikomanagement |
| Clause 6.1.2 | Information security risk assessment | Crosswalk | 12.3.1 | Gleiches Thema: Risikobewertung |
| Clause 6.1.3 | Information security risk treatment | Crosswalk | 12.3.1 | Gleiches Thema: Risikomanagement, Risikobewertung |
| Clause 7.3 | Awareness | Crosswalk | 12.6.112.6.3 | Gleiches Thema: Awareness & Training |
| Clause 9.1 | Monitoring, measurement, analysis and evaluation | Crosswalk | 12.4.2 | Gleiches Thema: Compliance |
| Clause 10.1 | Continual improvement | Redaktionell | 12.10.6 | Gleiches Thema: Erkenntnisse aus Vorfällen (Redaktionelle Auswahl) |
Nach Thema
Beide abgedeckt (46):
Governance-RichtlinieAwareness & TrainingRisikomanagementLieferkettenrisikoRollen und VerantwortlichkeitenComplianceAsset-ManagementRisikobewertungGeschäftsumfeldDatenklassifizierungSchwachstellenmanagementThreat IntelligenceZugriffskontrolleMulti-Faktor-AuthentifizierungVerschlüsselungDatenschutzBackup & RecoveryPrivilegierter ZugriffFirewall / NetzsegmentierungEndpoint-SchutzPatch-ManagementSichere KonfigurationSichere EntwicklungE-Mail-SicherheitWebanwendungssicherheitZero TrustCloud-SicherheitWAFDLPKont. ÜberwachungProtokollierung & AuditAngriffserkennungAnomalieerkennungSIEM / SOCIncident ResponseForensikMitigationMeldungWiederherstellungsplanungBusiness ContinuityErkenntnisse aus VorfällenDisaster RecoveryAPI-SicherheitInsider-BedrohungenLieferantenrisikomanagementPhysische Sicherheit
Nur ISO 27001 (4):
Fragen
Ersetzt ISO 27001 PCI DSS?
Nein. Die Kartenmarken verlangen die PCI-DSS-Validierung unabhängig von einer ISO-Zertifizierung. ISO hilft Ihnen, das Programm zu betreiben, von dem die PCI-Konformität abhängt.
Ist PCI DSS ein Gesetz?
Nein. Es handelt sich um einen Standard, der über Verträge mit Kartenmarken und Acquirern durchgesetzt wird. Einige Rechtsordnungen verweisen gesetzlich darauf, doch seine Verbindlichkeit beruht auf den Vereinbarungen der Zahlungsnetzwerke.
Kann eine Maßnahme sowohl ISO 27001 als auch PCI DSS erfüllen?
Häufig ja, wenn sie entsprechend den spezifischeren Anforderungen von PCI DSS umgesetzt wird. ISO 27001 akzeptiert jede gut begründete Umsetzung, daher erfüllt eine Gestaltung nach den PCI-Intervallen und -Einstellungen in der Regel beide Standards.
Was ist schwieriger, ISO 27001 oder PCI DSS?
PCI DSS ist innerhalb seines Geltungsbereichs präskriptiver und technischer; ISO 27001 ist breiter angelegt und verlangt ein Managementsystem. Bei einer kleinen Karteninhaberdatenumgebung kann PCI DSS der leichtere der beiden Standards sein.
Was ist eine PCI-DSS-Händlerstufe?
Die Kartenmarken klassifizieren Händler und Dienstleister nach dem jährlichen Transaktionsvolumen. Die Stufe bestimmt, wie die Konformität validiert wird: ein QSA-Report on Compliance für die größten, ein Self-Assessment Questionnaire für die meisten anderen.
Hilft ISO 27001 bei PCI-DSS-Bewertungen?
Ja, besonders bei Richtlinien, Risikobewertung, Rollen, Lieferantenmanagement und Reaktion auf Vorfälle. Es ersetzt jedoch keine PCI-spezifischen Nachweise.
Verlangt PCI DSS v4.0.1 eine Risikobewertung wie ISO 27001?
Nicht in Form einer unternehmensweiten Bewertung. PCI DSS v4.0 führte gezielte Risikoanalysen für Anforderungen ein, deren Turnus Sie festlegen können, und erwartet eine jährliche Überprüfung von Kryptografie und Technologien; die Risikobewertung von ISO 27001 ist jedoch umfassender.
Anforderungs-IDs und Titel werden so angezeigt, wie jedes Framework sie veröffentlicht, auf Englisch.
Crosswalk eine veröffentlichte Crosswalk (NIST, ENISA, CIS, PCI SSC) stellt die Verbindung her · Redaktionell Einschätzung von ControlMapping, wo kein Crosswalk existiert; die Begründung wird angezeigt · teilt nur ein CSF-2.0-Ergebnis: einer Prüfung wert, aber keine Zuordnung · Keine Zuordnung in unseren Daten In unseren Daten nichts zugeordnet; oft neue Arbeit, aber prüfen Sie die Hinweise zur Abdeckung. Zugeordnet = gemeinsam in einem ControlMapping-Thema kuratiert oder direkt verknüpft. Crosswalks belegen keine Konformität. Methodik · Daten herunterladen · Fehler melden.