So erstellen Sie eine PCI-konforme Passwortrichtlinie

Der Payment Card Industry Data Security Standard (PCI DSS) ist eine Reihe von Richtlinien, die entwickelt wurden, um Karteninhaberdaten zu schützen und sicherzustellen, dass Organisationen, die mit Zahlungskarteninformationen umgehen, eine sichere Umgebung aufrechterhalten. Neben seinen vielen Anforderungen legt PCI DSS großen Wert auf robuste Passwortrichtlinien, um unbefugten Zugriff zu verhindern und das Risiko von Datenschutzverletzungen zu mindern.

PCI DSS v4.0.1 ist der neueste Satz von Anforderungen und er schreibt mehrere wichtige Aspekte der Passwortverwaltung vor, darunter Komplexität, Änderungshäufigkeit, Passwortverlauf, Sperrmechanismen, sichere Speicherung und Benutzerschulung. Diese Anforderungen sollen eine vielschichtige Verteidigung gegen Cyberbedrohungen schaffen. Durch die Einhaltung der Standards können Unternehmen ihre Sicherheit verbessern und Vertrauen bei Kunden und Partnern aufbauen.

Wenn Sie eine allgemeinere Übersicht über PCI-DSS v4.0.1 suchen, finden Sie diese zuerst hier.. Dieser Beitrag führt Sie durch die Passwortanforderungen, die Sie kennen müssen, wie Sie diese am besten erfüllen, und bietet eine PCI-Compliance-Checkliste, der Sie folgen können.

Was sind die PCI-DSS v4.0-Passwortanforderungen?

In der Aktualisierung der PCI DSS (Version 4.0.1) im Jahr 2023 gab es einige spezifische Änderungen und Verbesserungen in Bezug auf Passwortverwaltung und -sicherheit. Diese Änderungen zielten darauf ab, die allgemeine Sicherheit der Passwortverwaltungspraktiken zu verbessern und das Risiko von passwortbezogenen Schwachstellen in der Cardholder Data Environment (CDE) zu verringern.

Hier sind die wichtigsten Punkte:

1. Stärkere Passwortanforderungen: Das Update betont die Notwendigkeit stärkerer, komplexerer Passwörter. Dies beinhaltet:

• Minimale Länge: Passwörter müssen mindestens 12 Zeichen lang sein.
• Zeichenkomplexität: Passwörter sollten eine Mischung aus Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen enthalten.
• Eindeutige Passwörter: Passwörter müssen eindeutig sein und dürfen nicht über verschiedene Systeme oder Konten hinweg wiederverwendet werden.

Passwortablauf: Die Anforderung für den Passwortablauf wurde gelockert. Anstatt regelmäßige Passwortänderungen vorzuschreiben, liegt der Fokus darauf, Passwörter nur dann zu ändern, wenn eine bekannte oder vermutete Kompromittierung vorliegt. Dies soll verhindern, dass Benutzer aufgrund häufiger Änderungsanforderungen schwache, vorhersehbare Passwörter erstellen.

Passwortspeicherung: Erweiterte Anforderungen für die Art und Weise, wie Passwörter gespeichert werden.

• Verschlüsselung: Passwörter müssen mit starken Verschlüsselungsmethoden gespeichert werden.
• Hashing: Verwendung starker Hashing-Algorithmen zum Schutz gespeicherter Passwörter.

Passwortübertragung: Passwörter müssen sicher übertragen werden.

• Verschlüsselung: Verwendung starker Verschlüsselung für die Übertragung von Passwörtern über Netzwerke.
• Sichere Protokolle: Sicherstellen, dass sichere Protokolle (z. B. HTTPS, SSH) für die Passwortübertragung verwendet werden.

Passwortverwaltungssysteme: Das Update erfordert die Verwendung sicherer Passwortverwaltungssysteme, die Funktionen wie MFA und Auditing enthalten sollten.

• Multi-Faktor-Authentifizierung (MFA): MFA ist jetzt für alle administrativen Zugriffe auf Passwortverwaltungssysteme erforderlich.
• Auditprotokolle: Führen detaillierte Auditprotokolle der Passwortverwaltungsaktivitäten, um Verantwortlichkeit und Rückverfolgbarkeit zu gewährleisten.

Benutzerschulung: Es wird mehr Wert darauf gelegt, Benutzer über Passwortsicherheit aufzuklären.

• Schulungsprogramme: Implementierung von Schulungsprogrammen, um Mitarbeiter über die Bedeutung starker Passwörter und sicherer Passwortpraktiken aufzuklären.
• Sensibilisierungskampagnen: Durchführung regelmäßiger Sensibilisierungskampagnen, um Benutzer an die besten Praktiken für die Passwortsicherheit zu erinnern.

Automatisierte Passwortverwaltung: Förderung der Verwendung automatisierter Tools für die Passwortverwaltung.

• Passwortmanager: Empfehlung der Verwendung von Passwortmanagern, um Benutzern zu helfen, komplexe Passwörter zu generieren und zu speichern.
• Automatisierte Durchsetzung: Verwendung automatisierter Systeme, um Passwortrichtlinien durchzusetzen und schwache oder kompromittierte Passwörter zu erkennen.

Was sagen die Vorschriften über MFA?

Die PCI-DSS-Bestimmungen empfehlen dringend die Multi-Faktor-Authentifizierung (MFA) für alle administrativen Zugriffe auf Systeme, die Karteninhaberdaten speichern oder verarbeiten. Während MFA keine obligatorische Anforderung für alle Benutzer ist, ist sie für administrative Konten von entscheidender Bedeutung, um eine zusätzliche Sicherheitsebene über Passwörter hinaus hinzuzufügen.

Sind diese Vorschriften für 2025 auf dem neuesten Stand?

Die PCI-DSS-Bestimmungen (Payment Card Industry Data Security Standard) wurden zuletzt im März 2023 mit der Veröffentlichung von PCI DSS v4.0 aktualisiert. Diese Version führte mehrere neue Anforderungen und Änderungen ein, um die Sicherheit zu verbessern und sich entwickelnden Bedrohungen zu begegnen. Organisationen müssen bis zum 31. März vollständig konform sein st, 2025.

Checkliste für die Erstellung einer PCI-konformen Passwortrichtlinie

Um eine PCI-DSS-konforme Passwortrichtlinie zu erstellen, befolgen Sie diese logischen Schritte:

1. Definieren Sie Komplexitätsanforderungen: Stellen Sie sicher, dass Passwörter für neue Passwörter mindestens 12 Zeichen lang sind und für solche, die aufgrund einer Kompromittierung geändert wurden, 15 Zeichen. Erfordern Sie eine Mischung aus Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen.
2. Änderungshäufigkeit festlegen: Schreiben Sie Passwortänderungen alle 90 Tage vor. Erwägen Sie einen risikobasierten Ansatz, um dieses Intervall zu verlängern, wenn das Risiko einer Kompromittierung gering ist.
3. Passwortverlauf implementieren: Speichern und überprüfen Sie den Verlauf von mindestens den letzten vier Passwörtern, um eine Wiederverwendung zu verhindern.
4. Sperrmechanismen konfigurieren: Sperren Sie Konten nach fünf fehlgeschlagenen Anmeldeversuchen für mindestens 30 Minuten oder bis sie manuell von einem Administrator entsperrt werden.
5. Sichere Passwortspeicherung: Verwenden Sie starke Verschlüsselungsmethoden, um Passwörter zu speichern. Speichern Sie sie niemals im Klartext oder in einer reversiblen Form.
6. Benutzer schulen: Bieten Sie regelmäßige Schulungen über die Bedeutung starker Passwörter und die Risiken schwacher oder wiederverwendeter Passwörter an. Fördern Sie die Verwendung von Passwortmanagern.
7. Überwachen und überprüfen: Überprüfen und überprüfen Sie die Passwortrichtlinie regelmäßig, um sicherzustellen, dass sie wirksam und mit den PCI-DSS-Standards konform bleibt. Passen Sie sie bei Bedarf basierend auf neuen Bedrohungen und Best Practices an.
8. Dokumentieren Sie die Richtlinie: Dokumentieren Sie die Passwortrichtlinie klar und machen Sie sie allen relevanten Mitarbeitern zugänglich. Stellen Sie sicher, dass sie im gesamten Unternehmen einheitlich durchgesetzt wird.

Indem Sie diese Schritte befolgen, können Sie eine robuste und konforme Passwortrichtlinie erstellen, die die Sicherheit Ihres Unternehmens verbessert und die PCI-DSS-Anforderungen erfüllt. Für weitere Informationen zum Erstellen einer neuen Passwortrichtlinie empfehlen wir Ihnen, diese Blog-Serie zu lesen:

• Strategieempfehlungen für die Passwortrichtlinienplanung
• Einrichten der Schlüsselkomponenten einer Passwortrichtlinie
• So kommunizieren Sie eine neue Passwortrichtlinie an Endbenutzer

Wo Tools von Drittanbietern helfen können

Wenn Sie Ihrer AD eine zusätzliche Schutzebene hinzufügen möchten, empfehlen wir die Implementierung von MFA für Windows-Anmeldung, VPN und RDP-Zugriff mit Specops Secure Access.

Ein Tool wie Specops Password Policy kann Unternehmen erheblich dabei helfen, die PCI-DSS-Compliance zu erreichen, indem es robuste Passwortverwaltungspraktiken automatisiert und durchsetzt. Es stellt sicher, dass Passwörter die erforderlichen Komplexitätsstandards erfüllen, wie z. B. Mindestlänge, Zeichenvielfalt und die Einbeziehung von Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen.

Das Tool kann auch den Passwortverlauf erzwingen, wodurch verhindert wird, dass Benutzer kürzlich verwendete Passwörter wiederverwenden, und Sperrmechanismen implementieren, um Konten nach mehreren fehlgeschlagenen Anmeldeversuchen zu sichern. Darüber hinaus unterstützt Specops Password Policy die sichere Speicherung von Passwörtern unter Verwendung starker Verschlüsselungsmethoden zum Schutz sensibler Daten.

Über diese Kernanforderungen hinaus verfügt Specops Password Policy über eine Breached Password Protection-Funktion, die Ihr Active Directory kontinuierlich mit einer wachsenden Datenbank von über 4 Milliarden eindeutigen kompromittierten Passwörtern abgleicht. Es bietet auch detaillierte Berichts- und Auditfunktionen, die für den Nachweis der Compliance während PCI-DSS-Bewertungen unerlässlich sind. Durch die Automatisierung dieser Prozesse hilft Specops Unternehmen, eine konsistente und sichere Passwortrichtlinie aufrechtzuerhalten, das Risiko von Datenschutzverletzungen zu verringern und die laufende Einhaltung der PCI-DSS-Standards sicherzustellen.

Testen Sie Specops Password Policy kostenlos.