Synergien bei der Implementierung des Kreditkartensicherheitsstandards PCI-DSS durch ISO 2700x, ISO 20000 und ITIL

Abstract

Organisationen richten ihre IT vielfach nach Standards aus, die den Stand der Technik darstellen. Dabei sind die Implementierung eines Standards und die vorzunehmende (Re-)zertifizierung mit hohem Aufwand verbunden. Es sind für ein Audit IT-Prozesse und Tools zu implementieren sowie ausgewählte Informationen bereitzustellen. Aufgrund von Überschneidungen zwischen den Standards lassen sich Synergien heben. Dies wird am Beispiel des proprietären IT-Sicherheitsstandards PCI-DSS (Payment Card Industry Data Security Standard) erörtert. PCI-DSS ist verpflichtend für Unternehmen, die Kreditkartendaten verarbeiten. Die Compliance ist durch eine Zertifizierung nachzuweisen. Die Anforderungen an ein PCI-DSS-Audit kann eine an ISO 20000 (ITIL) oder ISO 2700x ausgerichtete Organisation einfacher erfüllen aufgrund der Überschneidungen von PCI-DSS mit den weiteren genannten Normen. Ziel dieses Beitrags ist es, diese Überschneidungen hervorzuheben, die zu Synergieeffekten (Aufwandsreduzierungen) bei einer PCI-DSS-Zertifizierung führen können. Often organizations align their IT with standards which represent the state of the art. It is a tremendous effort to implement the standard and to become (re)certified. An organization prepares an audit by implementing IT processes including tools and providing selected information. Overlaps of standards create synergies. This is discussed by using the proprietary IT security standard PCI-DSS (Payment Card Industry Data Security Standard). PCI-DSS is mandatory for those companies, which process credit card data. Compliance is verified by a certificate. A company can fulfil PCI-DSS requirements within an audit easier, if ISO 20000 (ITIL) or ISO 2700x are already implemented. This article discusses the interferences of PCI-DSS with the other standards mentioned above, since overlaps will reduce certification efforts.