Inleiding

De leden van de Payment Card Industry (PCI) Security Standards Council (American Express, Discover, JCB, MasterCard en Visa) monitoren continu gevallen van het compromitteren van creditcardgegevens. Een beveiligingsincident en vervolgens het compromitteren van creditcardgegevens kan verstrekkende gevolgen hebben voor de betrokken organisaties, inclusief mogelijke notificatievereisten ten aanzien van het incident (in bijvoorbeeld de Verenigde Staten[Hoewel in Europa ook wordt gesproken over zogenaamde ‘security breach notification’, wil men op dit moment dat zo’n notificatie alleen van toepassing zal zijn op telecomproviders en niet op bijvoorbeeld online banking.]), reputatierisico, verlies van klanten, mogelijke financiële verplichtingen en rechtszaken.

Uit analyse achteraf is gebleken dat veelvoorkomende beveiligingszwakheden die door de Payment Card Industry Data Security Standard (PCI DSS) worden geadresseerd, niet waren geïmplementeerd door organisaties ten tijde van het beveiligingsincident. De PCI DSS werd opgezet en bevat gedetailleerde vereisten om exact deze reden – om de kans op en de gevolgen van een beveiligingsincident te minimaliseren. De PCI DSS is opgezet door de oprichters van de PCI Security Standards Council (PCI SSC) om de brede globale acceptatie van consistente databeveiligingsmaatregelen te bewerkstelligen. De standaard bevat onder andere vereisten voor security management, policies, procedures, netwerkarchitectuur en softwareontwikkeling.

PCI DSS

Welke data moet worden beschermd?

Creditcardgegevens kunnen worden gedefinieerd als het zogenaamde Primary Account Number (PAN) en andere gegevens die worden verkregen als onderdeel van een betaaltransactie, waaronder de volgende gegevens vallen:

• naam van kaarthouder;
• vervaldatum;
• servicecode;
• gevoelige authenticatie-informatie, zoals:
  • de volledige ‘magnetic stripe’-gegevens (op magnetische strip, op een chip of elders opgeslagen);
  • zogenaamde card validation codes;
  • pingegevens.

Het PAN is de factor die bepaalt of de PCI DSS en de PA DSS (Payment Application Data Security Standard) van toepassing zijn. Indien het PAN niet wordt opgeslagen, verwerkt of verstuurd, dan zijn de PCI DSS en de PA DSS ook niet van toepassing.

In dit artikel zal overigens verder niet worden ingegaan op de PA DSS. Het is wel goed om te weten dat de standaard bestaat om de beveiliging van third party payment applicaties te beoordelen. De beveiliging van zelfontwikkelde applicaties wordt door de PCI DSS afgedekt. Een lijst van gecertificeerde applicaties is beschikbaar via de PCI SSC.

Naam van kaarthouder, vervaldatum en servicecode moeten beschermd worden indien deze worden opgeslagen samen met het PAN, conform de PCI DSS. Tevens zouden op deze gegevens nog additionele (wettelijke) regels van toepassing kunnen zijn, zoals privacyregels.

De gevoelige authenticatie-informatie mag volgens de PCI-standaard nooit worden opgeslagen nadat autorisatie voor een betaling al is verkregen.

Tabel 1. Overzicht creditcardgegevens en vereisten ten aanzien van opslag en beveiliging (ofwel versleuteling).

Zoals boven vermeld is het niet toegestaan gevoelige authenticatie-informatie op te slaan. Dit is om de eenvoudige reden dat indien deze gegevens samen met het PAN kunnen worden verkregen, er grote risico’s ontstaan dat deze gegevens worden misbruikt voor het uitvoeren van frauduleuze transacties.

Figuur 1. Visuele weergave elementen creditcardgegevens, voor- en achterzijde.

Indien een crimineel de ‘magnetic stripe’-gegevens in handen zou krijgen, dan zou er zelfs een volledige kopie van de creditcard gemaakt kunnen worden. De figuren 2 en 3 laten zien welke informatie op de magnetic strip van een creditcard staat.

Figuur 2. Visuele weergave gegevens op track 1 van de magnetic stripe.

Figuur 3. Visuele weergave gegevens op track 2 van de magnetic stripe.

Voor wie en waarop is de PCI DSS van toepassing?

In principe dient eenieder (met uitzondering van de eindgebruiker) die creditcardgegevens opslaat, verwerkt of verstuurt te voldoen aan de PCI DSS. Dit geldt dus voor zowel grote partijen, bijvoorbeeld Equens, als kleine partijen, zoals een webwinkel met maar enkele creditcardtransacties per jaar. De wijze waarop compliance moet worden aangetoond verschilt echter, enerzijds op basis van de rol die men heeft (serviceprovider of merchant) en anderzijds op basis van het volume van transacties per jaar.

Tabel 2. Merchantniveaus en compliance-validatievereisten Visa; andere creditcardmaatschappijen hanteren een gelijksoortige indeling.

Tabel 3. Serviceproviderniveaus en compliance-validatievereisten Visa.

De scope waarvoor compliance moet worden aangetoond, wordt in de PCI DSS gedefinieerd als alle systeemcomponenten die onderdeel zijn van of een connectie hebben met de zogenaamde ‘cardholder data’-omgeving. De ‘cardholder data’-omgeving is dat gedeelte van het netwerk waar cardholder data of gevoelige authenticatiegegevens zich bevinden, inclusief netwerkcomponenten, servers en applicaties. Uiteindelijk zou deze regel vanuit de PCI DSS kunnen resulteren in het toepasbaar zijn van de PCI DSS op het gehele interne netwerk van een bedrijf en niet alleen de ‘cardholder data’-omgeving zelf!

Hoe moet de data worden beschermd?

De PCI DSS bevat min of meer 6 onderwerpen, 12 gebieden en 62 hoofdvereisten. Deze 62 hoofdvereisten bestaan op hun beurt weer uit een aantal meer gedetailleerde vereisten waaraan men moet voldoen om aan de hoofdvereisten te kunnen voldoen. In tabel 4 zijn de onderwerpen en gebieden weergegeven, inclusief een korte uitleg over wat deze betekenen.

Tabel. 4. Onderwerpen en gebieden van de PCI DSS, met korte toelichting.

In principe moet men aan alle vereisten voldoen om PCI-compliant te worden. Hoewel veel van deze vereisten kunnen worden gezien als normale good practices om een IT-omgeving te beveiligen en te beheren, is er toch een aantal gebieden die het moeilijk (kunnen) maken om compliant te geraken.

Wat zijn veelvoorkomende problemen bij implementatie?

Op basis van de ervaringen die zijn voortgekomen uit het recente verleden bij bedrijven die reeds de PCI DSS hebben geïmplementeerd en ook zoals KPMG deze is tegengekomen bij haar klanten, kan een aantal implementatieproblemen worden gedefinieerd. Inmiddels is het ook tot creditcardmaatschappijen doorgedrongen dat compliancy niet altijd binnen korte tijd is te realiseren en daarom is het van belang om constant in contact te blijven met deze maatschappijen om afspraken te maken over het pad om uiteindelijk wel volledige compliancy te bereiken.

Locatie van cardholder data

Aan het begin van een PCI DSS-traject is vaak niet exact bekend waar cardholder data precies is opgeslagen en of deze opslag ook werkelijk noodzakelijk is. Een inventarisatie zal dus moeten worden gemaakt van alle systemen (inclusief eindgebruikersystemen) en er zal moeten worden bepaald of het aantal locaties waar data wordt opgeslagen niet kan worden teruggebracht.

Zonder inventarisatie kan ook niet worden vastgesteld of men PCI-compliant is, aangezien er geen informatie beschikbaar is over de scope. Het niet terugdringen van het aantal locaties waar cardholder data zich bevindt kan mogelijk resulteren in kostbare maatregelen die op meer systemen moeten worden geïmplementeerd (zoals de versleutelingseisen).

Scoping

De PCI DSS schrijft voor dat alle systeemcomponenten die onderdeel zijn van of een connectie hebben met de ‘cardholder data’-omgeving compliant moeten worden gemaakt. Indien geen netwerkscheiding wordt aangebracht tussen de ‘cardholder data’-omgeving en de rest van het interne netwerk van een bedrijf, dient het gehele interne netwerk PCI-compliant te worden gemaakt, wat een onmogelijke, dan wel zeer tijdrovende en kostbare taak kan blijken te zijn.

Het is daarom van het grootste belang om te trachten de ‘cardholder data’-omgeving af te scheiden van het interne netwerk via interne firewalls. Hierdoor kan de scope worden beperkt en dus ook de inspanning om de PCI DSS te implementeren.

Veranderingen in bedrijfsprocessen

Het invoeren van de PCI DSS, inclusief het beperken van de locaties waar cardholder data zich bevindt en overige pogingen om de scope te beperken, kan tevens resulteren in de noodzaak om bepaalde bedrijfsprocessen dan wel IT-beheerprocessen te wijzigen.

Organisatorische veranderingen kunnen soms rekenen op weerstand en tevens hebben nieuwe processen vaak een aanlooptijd nodig voordat deze volledig werken zoals voorzien.

Monitoring

De PCI DSS bevat aanzienlijk uitgebreide vereisten ten aanzien van logging en monitoring. Ten eerste moet worden nagegaan in hoeverre bestaande applicaties en systemen wel voldoende mogelijkheden bieden om aan de vereisten te voldoen en wat er exact zou moeten worden gemonitord binnen de applicaties en systemen. Voorts dient mogelijk nieuwe software te worden geïmplementeerd en personeel te worden aangenomen om ook de monitoring goed te kunnen uitvoeren.

Versleuteling cardholder data

Het voldoen aan de vereisten van versleuteling van cardholder data is soms moeilijk te implementeren, bijvoorbeeld:

• omdat gebruik wordt gemaakt van legacy draadloze netwerken (met zwakke of geen versleuteling) in bijvoorbeeld winkels waar creditcardgegevens van ‘point of sale’-systemen naar centrale systemen worden verstuurd;
• omdat er sprake is van legacy applicaties waarin het niet mogelijk is zodanige veranderingen in de software door te voeren dat de software versleuteling van en naar de database met de cardholder data ondersteunt.

Voortdurende compliance

Nadat de initiële PCI-compliance is gerealiseerd, is het noodzakelijk dat aandacht wordt besteed aan het compliant blijven. Nieuwe systemen en applicaties die worden geïntroduceerd zullen aan dezelfde eisen moeten voldoen als de initiële omgeving, daarnaast kunnen er ook updates plaatsvinden op de PCI DSS-vereisten die moeten worden opgevolgd. Tot slot zijn er ook bepaalde eisen in de PCI DSS die een bedrijf waarschijnlijk niet zelf kan en/of mag uitvoeren. Een voorbeeld hiervan zijn de vereisten in tabel 4 onder punt 11, die het minimaal jaarlijks uitvoeren van interne en externe penetratietests verplicht stellen en daarbij een mate van onafhankelijkheid eisen van degene die de penetratietest uitvoert ten opzichte van de organisatie die het beheer van de PCI-omgeving uitvoert.

Samenvatting en conclusie

De PCI DSS dient de kans op beveiligingsincidenten in de ‘cardholder data’-omgeving te verkleinen en de detectie van (mogelijke) incidenten te verhogen, om uiteindelijk fraude met creditcardgegevens te voorkomen. Indien bedrijven die in principe verplicht zijn de PCI DSS te implementeren dit niet (goed) doen, kan dat tot onder andere boetes en het verlies van klanten leiden en dus negatieve financiële consequenties hebben of misschien zelfs wel de continuïteit schaden. In de Verenigde Staten zijn er zelfs staten (Minnesota) die compliance met de PCI DSS wettelijk verplicht hebben gesteld).

Het is dus van belang dat bedrijven zorgen dat ze compliant zijn. Hiertoe dient wel een aanpak te worden gehanteerd die efficiënt en effectief is en dus te hoge compliancekosten vermijdt. Hiervoor is het vooral van belang dat rekening wordt gehouden met de scope waarop de PCI DSS van toepassing is en die trachten zo klein mogelijk te maken. Tevens dient open communicatie plaats te vinden met de creditcardmaatschappijen, of de partij waaraan compliance moet worden aangetoond, om de voortgang van compliance te bespreken en eventueel te kunnen uitleggen waarom het voldoen aan bepaalde eisen meer tijd vergt.