De meest effectieve methode om de PCI DSS-nalevingskosten te verlagen, is niet het optimaliseren van bestaande controles, maar het verkleinen van het bereik.Minder systemen in het bereik betekenen minder controles, lagere penetratietestkosten, minder kwetsbaarheidsscans en eenvoudigere SAQ's.Deze 3-stappenstrategie is de praktische weg: begin met begrijpen wat er in de CDE zit, tokeniseer daarna de kaartgegevensstromen en elimineer ten slotte elk onnodig PAN-contact.
Waarom het bereik belangrijker is dan de controles
Veel bedrijven benaderen PCI DSS als een lijst van beveiligingscontroles die moeten worden doorstaan, en proberen elke controle zo efficiënt mogelijk te implementeren. Dit is de verkeerde aanpak. De juiste aanpak stelt de vraag:Hoeveel systemen moeten we dit jaar eigenlijk controleren?
Elk systeem in de CDE heeft nalevingskosten: kwetsbaarheidsscans, penetratietests, patchbeheer, toegangscontrole, logging, monitoring. Eén systeem minder in de CDE bespaart nalevingskosten proportioneel. Tien systemen minder bespaart in totaal mogelijk meer dan de kosten van de tokenisatieoplossing die deze vermindering mogelijk maakt.
Stap 1: de CDE volledig in kaart brengen
Voordat men het bereik kan verkleinen, moet men weten wat erin zit. Veel bedrijven onderschatten hun eigen CDE: systemen die schijnbaar geen kaartgegevens aanraken, worden vaak via netwerkconnectiviteit toch in het bereik opgenomen.
De volledige CDE-kartering omvat:
- Alle PAN-gegevensstromen volgen: waar komt de kaart het systeem binnen? Waar gaat het naartoe? Waar wordt het opgeslagen? Wordt het overgedragen via e-mails, logs, back-ups of CRM?
- Alle verbonden systemen identificeren: welke servers communiceren met systemen die PANs verwerken? Ook als ze zelf geen kaartgegevens aanraken, kunnen ze toch in de CDE vallen.
- Alle kanalen meenemen: online, telefoon, fysieke terminals, terugkerende betalingen, terugbetalingsstromen – alles moet in kaart worden gebracht.
Het resultaat van deze kartering is vaak verrassend: systemen die niemand als CDE-relevant beschouwde, zijn via indirecte verbindingen toch in bereik. En omgekeerd zijn er systemen die gemakkelijk uit de CDE zouden kunnen worden gehaald als de gegevensstroom licht werd aangepast.
Stap 2: kaartgegevensstromen tokeniseren
Met de CDE-kaart in de hand identificeert men de toegangspunten waar PANs het systeem binnenkomen: het betaalformulier in de e-commerce, de kaartregistratie in het callcenter, de handmatige invoer in backofficesystemen.
Tokenisatie vervangt de PAN op elk toegangspunt door een token: de PAN wordt opgeslagen in de kluis van de PCI DSS-gecertificeerde aanbieder en alle interne systemen ontvangen alleen de token. De token heeft geen betekenis als creditcardnummer: hij kan niet worden gebruikt voor de autorisatie van een transactie en onthult niets over de oorspronkelijke kaart.
Na de tokenisatie verlaten alle stroomafwaartse systemen (CRM, ERP, boekhouding, databaseservers, analytische platforms) de CDE. Alleen de tokenisatielaag (die al wordt gedekt door de PCI DSS Level 1-certificering van de aanbieder) blijft in het bereik.
Stap 3: elk onnodig PAN-contact elimineren
Na de tokenisatie van de hoofdstromen controleert men de resterende gevallen: zijn er nog processen die PANs aanraken? Veelvoorkomende resterende gevallen:
- Logs: systemen registreren soms per ongeluk PANs in fout- of debug-logs. Deze moeten worden geïdentificeerd en opgeschoond.
- E-mailcommunicatie: sommige workflows sturen transactiebevestigingen met volledig kaartnummer per e-mail. Deze moeten worden omgesteld naar tokens of gemaskeerde nummers.
- Back-upsystemen: als oude databaseback-ups PANs bevatten, moet men beslissen of men deze opschoont of de back-upsystemen in de CDE opneemt.
- Legacy-integraties: oude API-integraties met externe aanbieders sturen soms PANs in velden die eigenlijk tokens zouden moeten bevatten. Deze moeten worden bijgewerkt.
Veelgestelde vragen
Hoe lang duurt een PCI DSS-bereikverkleining?
De duur hangt af van de complexiteit van de bestaande systemen. Voor een eenvoudige e-commercehandelaar met een enkele betalingsintegratie kan de tokenisatie in 2-4 weken worden geïmplementeerd. Voor een handelaar met meerdere kanalen (online, telefoon, fysiek), legacy-systemen en complexe backend-integraties kunnen 3-6 maanden realistisch zijn. De bereikverkleining is een investering met een meetbare ROI: de besparingen op de jaarlijkse nalevingskosten amortiseren de implementatiekosten doorgaans in 1-2 jaar.
Hoe bevestigt men dat het verkleinde bereik correct is?
De acquirer of QSA (Qualified Security Assessor) is de instantie die het bereik valideert. Bij de jaarlijkse beoordeling verifieert de QSA (of bij een SAQ de interne beoordelingsafdeling) of de gedocumenteerde CDE volledig en correct is. Het is belangrijk om de CDE-verkleining vóór de beoordeling met de acquirer te communiceren en ervoor te zorgen dat de nieuwe scopingdocumentatie volledig en navolgbaar is.
Klaar om uw PCI DSS-bereik systematisch te verkleinen?Ontdek PCI Proxy EU en spreek met een expert.
Hulp nodig bij PCI-naleving?
Ons team helpt u uw CDE in kaart te brengen, het juiste SAQ te kiezen en tokenisatie te implementeren met gegevensresidentie in de EU.
Neem contact op