Der physische Schutz Ihrer Zahlungsgeräte ist nicht länger nur eine freiwillige Option.
Einzelhändler, die meinen, dass das Compliance-Datum 30. Juni
2015 nicht für sie gilt, sollten das noch einmal überprüfen und
JETZT HANDELN.
Der physische Schutz von Zahlungsterminals wird ab dem 30. Juni 2015 verpflichtend.
Unternehmen bleiben weniger als drei Monate zur Einhaltung der PCI DSS V3.0
Anforderung 9.9, wenn sie nicht das Risiko hoher Geldstrafen und potenziell rufschädigender Enthüllungen eingehen wollen.
ÜBER UNS
Ergonomic Solutions sind die Spezialisten für Zahlungssicherheit. Bei der Einführung von EMV (Chip & PIN) in Europa definierten unsere
SpacePole Payment Produkte den internationalen Standard. Wir haben jetzt schon mehr als 2 Millionen Lösungen in ganz Europa ausgeliefert.
Immer einen Schritt voraus
Sicherheit steht im Zentrum jeder Zahlungstransaktion. Punkt-zu-Punkt-Verschlüsselung (P2PE) bietet
Datenschutz, das Skimming von Geräten stellt aber nach wie vor ein Risiko dar. Es wird geschätzt, dass jederzeit 5000 Terminals einschließlich der Verbraucherdaten zum Verkauf angeboten werden. Die letzte
Verteidigungslinie ist weiterhin der Einzelhändler und hier wird die physische Sicherheit, die bisher eine
„bewährte Praxis“ war, nun verpflichtend.
Wir sind zuverlässige Partner führender Anbieter von Zahlungsgeräten wie Verifone, Ingenico, ATOS Worldline, Gemalto, Spire, REA und Miura.
Für deren Angebot an stationären und mobilen Zahlungslösungen haben wir ein umfassendes Programm modularer und individueller Lösungen entwickelt und produziert.
In dieser Anleitung erfahren Sie alles, was Sie für Ihre eigene
Planung bis zum 30. Juni 2015 wissen müssen.
Ergonomic Solutions Guide zur PCI DSS V3.0 Anforderung 9.9
Seite 2
IHR UNTERNEHMEN MUSS JETZT HANDELN
Jedes Unternehmen, das Zahlungen von
Kunden über ein physisches Zahlungsgerät annimmt, muss bis zum 30. Juni 2015 die PCI DSS Version 3.0 Anforderung 9.9 einhalten. Diese wurde im November 2013 als Reaktion auf den ständigen Anstieg von
Manipulationen und Datendiebstählen veröffentlicht und enthält verschiedene
Anforderungen, darunter die folgende:
„Geräte, die
Zahlungskartendaten über direkte physische Interaktion mit der Karte erfassen, sind vor Manipulation und
Austausch zu schützen .“
(Seite 79 der Richtlinie)
Ergonomic Solutions Guide zur PCI DSS V3.0 Anforderung 9.9
Bis zum 30. Juni 2015 gilt sie als „bewährte Praxis“.
Anschließend wird sie zur Verpflichtung mit folgenden Konsequenzen für Einzelhändler:
Geschäftsführung und Kassierer müssen geschult werden, um die Bedrohungen zu verstehen und damit umgehen zu können
Implementierung neuer
Verfahren für eine regelmäßige
Inventur am Checkout mit
Sichtprüfung der Geräte auf mögliche Manipulation
Einführung verschließbarer
Halterungen für alle Checkout-Gerät, um sie am POS zu sichern
(Skimming-Vorbeugung: Bewährte Praktiken für Kaufleute Version 2.0)
Seite 3
UNTÄTIGKEIT IST KEINE OPTION
Jegliche Sicherheitsverletzung bei
Zahlungskartendaten hat für die betroffenen Unternehmen weitreichende
Konsequenzen, darunter:
• Mögliche Geldstrafen von bis zu
€448.000 jährlich für Nichteinhaltung
• Finanzielle Konsequenzen forensischer
Untersuchungen nach Datendiebstahl
• Verpflichtungen zur Benachrichtigung der Behörden
• Rufschädigung, wenn der
Datendiebstahl bekannt wird
• Verlust von Kunden durch Vertrauensschädigung
Jeremy King, Internationaler Direktor des
PCI Security Standards Council, meint, dass die Durchschnittskosten pro entwendetem
Karteninhaber-Datensatz in Großbritannien
£79 (€99) betragen.
Ergonomic Solutions Guide zur PCI DSS V3.0 Anforderung 9.9
FAKTEN
VISA verlangt bis zu
€395.000
pro Vorfall, wenn die Vorschriften zum Zeitpunkt des Vorfalls nicht eingehalten werden.
Ein Verstoß gegen die Sicherheitsbestimmungen kann allein für eine forensische PCI-Untersuchung bis zu
€40.000
kosten
Ihr Unternehmen muss für den Ersatz
ALLER
betroffenen Karten zahlen
Sämtliche manipulierten Terminals
MÜSSEN ausgetauscht werden
Seite 4
STÄNDIG TAUCHEN NEUE BEDROHUNGEN AUF
Skimming - die unberechtigte Erfassung und
Übertragung von Zahlungsdaten zu anderen Stellen zu betrügerischen Zwecken - ist auf dem Vormarsch.
Skimming kann auf verschiedene Weise erfolgen, manchmal mit einem Blick über die Schulter, oder auf raffiniertere Weise mit dem Austausch von
Terminals und NFC- oder Bluetooth® Geräten gegen manipulierte Geräte.
FAKT
Es dauert nur etwa 30 Sekunden, ein
Kartenterminal gegen ein identisches, aber mit elektronischen Skimmern versehenes auszutauschen
Ergonomic Solutions Guide zur PCI DSS V3.0 Anforderung 9.9
Seite 5
SCHLECHTE SICHERUNG IST EBENFALLS KEINE OPTION
Die Sicherung von Zahlungsgeräten mit
Vorrichtungen, die nicht zu diesem Zweck vorgesehen sind, verlagert das Problem nur, statt es zu lösen.
• Eine schlecht durchdachte Positionierung bzw. Montage beeinträchtigt das
Einkaufserlebnis
• Schlecht gestaltete bzw. nicht den
Vorschriften entsprechende Ausrüstungen sind oft nicht behindertengerecht, was
Strafen nach sich ziehen kann
• Befestigungen schlechter Qualität versagen und verursachen ungeplante Kosten.
Hierdurch wird auch der Checkout-Prozess verlangsamt, was zu Umsatzeinbußen und schlechter Kundenbindung führt
ERROR
Ergonomic Solutions Guide zur PCI DSS V3.0 Anforderung 9.9
Seite 6
Einhaltung der PCI DSS V3.0 Anforderung 9.9
Seitdem wir Sicherheitsvorrichtungen in
Geschäften installieren, hat Ergonomic
Solutions das Ziel, für Ausgewogenheit zwischen Zahlungssicherheit, Design,
Gesamtbetriebskosten und Zugänglichkeit zu sorgen – für das Personal ebenso wie für
Kunden, Nichtbehinderte wie Behinderte.
Um die richtige Lösung mit der am besten geeigneten
Technologie zu implementieren, müssen die Anforderungen zum Erreichen dieser Ausgewogenheit unbedingt rational betrachtet werden.
Wenn es um die Sicherheit von Zahlungsgeräten geht, sehen sich Einzelhändler einer immer größeren Komplexität der im
Laden vorhandenen Hardware ausgesetzt:
• Herkömmliche geschlossene POS-Systeme
• Modulare POS-Systeme
• Mobile POS-Geräte
• Tablets mit festen bzw. verdrahteten Verbindungen zu PEDs
• Stationäre wie mobile Kiosks mit Zahlungsmöglichkeit
• Zahlungsgeräte der ersten und zweiten Generation, die die Anforderungen der PCI V3.0 nicht erfüllen werden
Ergonomic Solutions Guide zur PCI DSS V3.0 Anforderung 9.9
Die Sicherung von Terminals oder mobiler Geräte muss:
Diebstahl bzw. Austausch gegen nicht autorisierte Terminals verhindern
Datendiebstahl in der Zahlungsinfrastruktur verhindern
Verhindern, dass Skimming-Ausrüstung zum
Terminal bzw. Netzwerk hinzugefügt wird
PIN-Daten vor Ausspähen („Schulter-Surfen”) schützen
Unbeaufsichtigte Terminals schützen und die physische Entfernung verhindern
Nicht nur das Terminal, sondern auch die Kabel schützen
Einzelhändler müssen auch auf die Sicherheit dieser Geräte achten, von der Lieferung, Implementierung und ersten Inbetriebnahme, Standortwahl,
Sicherung und dem Betrieb bis zur Wartung und schließlich der Entsorgung.
Viele Einzelhändler haben den Eindruck, dass ein Gerät sicher ist und keinen physischen Schutz benötigt, wenn es als Bestandteil eines P2PE-
Verschlüsselungsprogramms implementiert wurde. Das ist nicht richtig:
Die Anforderung 9.9 gilt für alle Geräte, wie es im P2PE Handbuch steht.
Seite 7
SICHERUNG VON GERÄTEN, DATEN UND NETZWERKEN
Was PCI Compliance für Sie bedeutet
Weil die PCI-Anforderungen für Unternehmen, die Zahlungen annehmen, immer schärfer und anspruchsvoller werden, bieten wir unseren Kunden und Partnern nun im Rahmen unseres PCI
Professional Programms Rat zu allen PCI-bezogenen Fragen.
Unser Ziel ist es, PCI-Beratung nach einem einfach verständlichen Verfahren zu bieten, PCI zu entmystifizieren und Ihre Fragen zu beantworten, die sich bei der Planung und Implementierung der PCI-Standards am POS stellen. PCI wird aufgrund von Missverständnissen häufig diskutiert.
PCI steht für einen Satz unverzichtbarer Sicherheitsverfahren, die jedes Unternehmen einhalten muss, und wir stehen Ihnen zur Verfügung, um Sie zu den vielen Standards auf dem Weg zu einem sicheren und vorschriftsgemäßen POS zu beraten.
Datendiebstähle von Zahlungskarten können ein Unternehmen und seine Kundenbasis vernichten. Ein Vorfall kann sehr teuer werden, sowohl finanziell als auch hinsichtlich des Ansehens, und viel teurer als die Einhaltung der PCI DSS.
Ergonomic Solutions Guide zur PCI DSS V3.0 Anforderung 9.9
Seite 8
DIE PRAKTISCHEN ASPEKTE DER PCI-COMPLIANCE UND
PHYSISCHEN SICHERHEIT
SpacePole Zahlungslösungen sind bewährt, robust und erfüllen die PCI V3.0
Anforderung 9.9
• Vorbeugung von Diebstahl bzw. Austausch gegen nicht autorisierte Terminals
• Vorbeugung von Datendiebstahl in der Zahlungsinfrastruktur
• Verhinderung, dass Skimming-Ausrüstung zum Terminal bzw. Netzwerk hinzugefügt wird
• Sicherung von PIN-Daten vor Ausspähen („Schulter-Surfen”)
• Sicherung unbeaufsichtigter Terminals und Verhinderung physischer Entfernung
• Sicherung nicht nur des Terminals, sondern auch der Kabel
Patentiert und im Einzelhandel bewährt mit optimaler Flexibilität und Funktionalität
Robust mit Schwenkmöglichkeit zwischen Kunde und Personal
Verbundmaterial mit der vollen
Funktionalität, die Sie erwarten dürfen
Für mobile Unternehmen
In Verbindung mit den ClickSafe® Sicherheitsanbindungen unseres exklusiven Sicherheitspartners
Kensington sowie manipulationssicheren UV-Siegeln sorgen SpacePole Zahlungslösungen für ein sicheres Gefühl und schützen Ihren guten Ruf, egal wo Sie Ihr Geschäft betreiben.
Ergonomic Solutions Guide zur PCI DSS V3.0 Anforderung 9.9
Seite 9
WIR KÖNNEN IHNEN HELFEN
Ergonomic Solutions
Unser Unternehmen ist Europas führender Anbieter von
Zahlungslösungen, die die physischen PCI Sicherheitsvorrichtungen nach bewährter Praxis erfüllen, und der einzige Hersteller von
Technologie-Montagelösungen, der aktives Mitglied im PCI Security
Council ist.
Nehmen Sie Kontakt mit uns auf, um zu erfahren, wie Sie
Ergonomic Solutions sowohl zur Erfüllung der Anforderung 9.9 beraten als auch entsprechende Zahlungslösungen liefern kann.
Ergonomic Solutions International Ltd,
B1 Longmead Business Centre, Blenheim Road,
EPSOM KT19 9QQ, United Kingdom
Tel: +44 (0) 1372 728872 [email protected]
www.ergonomic-solutions.net/pci
Ergonomic Solutions Guide zur PCI DSS V3.0 Anforderung 9.9
Seite 10
