PCI-Compliance-Vorgaben schnell und automatisiert umsetzen

Die Lösungssuite "Privileged Identity Management" von Cyber-Ark erfüllt PCI-Anforderungen

(24.03.10) - Seit Ende 2009 müssen auch E-Commerce-Händler mit weniger als einer Million Kreditkartentransaktionen pro Jahr die PCI-Regeln einhalten. Ein Großteil der PCI-Vorgaben kann dabei mit Passwort-Management-Lösungen der Cyber-Ark erfüllt werden, denn sie ermöglichen die automatische Verwaltung und Überwachung von privilegierten Benutzerkonten.

Die Einhaltung der strikten Datenschutz-Vorgaben der Kreditkartenindustrie, des Payment Card Industry Data Security Standard (PCI-DSS), steht heute auf der IT-Agenda der meisten Unter-nehmen, die Kreditkartentransaktionen speichern, übermitteln oder abwickeln, an oberster Stelle. Denn die Sicherheit von Kreditkartendaten liegt in Zeiten massiv steigender Datenschutz-Vorfälle im Interesse aller Unternehmen: nicht nur aus Image-Gründen, sondern auch im Hinblick auf Geldstrafen oder Schadensersatzforderungen in beträchtlicher Größenordnung. Jochen Koehler, Deutschland-Chef von Cyber-Ark, betont: "Als klarer Markttrend zeichnet sich zudem ab, dass sich immer mehr Unternehmen bei der Festlegung und Umsetzung der eigenen Security Policy an den hohen PCI-DSS-Anforderungen orientieren - auch diejenigen, die eigentlich nicht zur Berück-sichtigung der PCI-Regelungen verpflichtet sind."

Lesen Sie zum Thema "Compliance" auch: Compliance-Magazin.de (www.compliancemagazin.de)

Gerade im Bereich des Passwort-Managements setzen heute noch viele Unternehmen keine oder völlig unzureichende Lösungen ein, die eine PCI-Zertifizierung unmöglich machen. Identische Passwörter oder solche, die nie geändert werden, bedeuten nämlich eine eindeutige Missachtung der PCI-Vorschriften. Das betrifft insbesondere privilegierte Accounts von IT-Administratoren, die einen uneingeschränkten Zugang zu allen geheimen und vertraulichen Datenbeständen ermöglichen. Abgesehen von den Administratoren-Passwörtern werden auch die Software oder Application Accounts in der Regel vernachlässigt, das heißt die in Anwendungen, Skripten oder Konfigurationsdateien gespeicherten Passwörter. Änderungsintervalle werden nicht eingehalten und die Kennwörter liegen meistens im Klartext vor. Zudem sind sie häufig einer großen Anzahl an Usern wie Systemadministratoren und Entwicklern zugänglich.

Zur Erfüllung der PCI-Anforderungen bietet Cyber-Ark die Lösungssuite "Privileged Identity Management" an. Zentrales Produkt ist dabei der "Enterprise Password Vault", der die geschützte Verwahrung und regelmäßige, automatische Änderung von Passwörtern sicherstellt. Mit der Lösung kann zudem eine Personalisierung von administrativen Shared Accounts erfolgen. Damit ist eine Nachvollziehbarkeit der Verwendung eines generischen Accounts bis auf die Personenebene gewährleistet. Mit dem "Application Identity Manager", der ebenfalls zur Lösungssuite gehört, können Passwörter in Skripten oder Config-Files automatisch verwaltet und geändert werden.

Mit den Cyber-Ark-Lösungen werden damit zentrale PCI-Sicherheitsanforderungen umgesetzt: von der periodischen Veränderung von Passwörtern auf Servern und Appliances bis hin zur Generierung, Sicherung und regelmäßigen Änderung der Encryption Keys, die zur Verschlüsselung der kreditkartenrelevanten Datenbankeinträge notwendig sind. Außerdem wird - den PCI-Bestimmungen entsprechend - jeder Person mit Rechnerzugriff eine eindeutige ID zugewiesen. Das heißt, es ist möglich, die Verwendung von Systemkomponenten - insbesondere auch von administrativen Accounts aus - einem individuellen User zuzuordnen. PCI-konform werden mit den Lösungen auch alle Zugriffe auf Daten von Kreditkarteninhabern geprüft und die Passwortnutzung detailliert und damit revisionssicher protokolliert. (Cyber-Ark: ma)