Met de term kaarthoudergegevensomgeving of CDE worden de mechanismen bedoeld waarmee informatie over kaarthouders binnen een bedrijf wordt verwerkt, verzonden en opgeslagen. Concreet bestaat deze omgeving uit alle systeemcomponenten die rechtstreeks betrokken zijn bij de verwerking van kaarthoudergegevens. Het gaat hierbij om software, hardware en andere procedures of maatregelen die van invloed zijn op de beveiliging van creditcardtransacties en -gegevens.

Hieronder bespreken we wat je moet weten over de CDE: welke rol deze speelt in betalingen, hoe de CDE werkt en hoe bedrijven een sterke, veilige en betrouwbare betalingsomgeving kunnen cultiveren.

Wat staat er in dit artikel?

• Welke rol speelt de CDE in de betaalkaartsector?
  
• Componenten, vereisten en gegevenstypen binnen de CDE
  
• PCI DSS-vereisten voor een CDE
  
• Hoe maak en onderhoud je een veilige CDE?
  
• Hoe om te gaan met een CDE-inbreuk
  

Welke rol speelt de CDE in de betaalkaartsector?

De CDE is de infrastructuur waarin betaalkaartgegevens binnen een bedrijf worden verwerkt, opgeslagen of verzonden. Deze omgeving omvat alle technische en operationele systemen die betaalkaartgegevens verwerken. Hier volgt een overzicht van enkele van de belangrijke functies die de CDE biedt binnen het bredere betalingsecosysteem:

• Bescherming van kaarthoudergegevens: Bedrijven gebruiken de CDE om de betaalgegevens van klanten te beschermen tegen ongeoorloofde toegang en gegevenslekken. In 2021 waren er volgens een rapport van Flashpoint en Risk Based Security meer dan 4.100 van deze inbreuken. Met een speciale omgeving kunnen bedrijven beveiligingsmaatregelen richten op waar ze het meest nodig zijn.

• Compliance met normen: Entiteiten die kaarthoudergegevens verwerken, moeten zich houden aan de Payment Card Industry Data Security Standard (PCI DSS), en de CDE is waar de compliance-inspanningen plaatsvinden om aan deze normen te voldoen.

• Risicobeperking: De CDE stelt bedrijven in staat om risico's voor betaalkaartgegevens te onderkennen en te verminderen. Gezien de mogelijke gevolgen van een datalek is het beschermen van deze gegevens belangrijk. In 2013 resulteerde bijvoorbeeld een grote inbreuk op creditcardgegevens bij Target in meer dan $ 290 miljoen aan cumulatieve uitgaven en een daling van de aandelenkoersen.

• Vertrouwen van de klant: Een veilige CDE kan het vertrouwen van klanten vergroten door klanten te laten zien dat hun betaalgegevens veilig zijn.

• Behoud van de integriteit van transacties: De CDE zorgt ervoor dat transacties veilig en nauwkeurig worden uitgevoerd, waarbij de integriteit van het betalingsproces wordt behouden.

• Vermijden van juridische en financiële gevolgen: Datalekken kunnen leiden tot juridische stappen en aanzienlijke financiële verliezen. Bedrijven gebruiken de CDE om zich tegen dergelijke uitkomsten te beschermen.

Een bedrijf dat betaalkaartgegevens verwerkt zonder een effectieve CDE-strategie riskeert zijn financiële gezondheid en reputatie. Hieronder bespreken we hoe je een doordacht plan kunt ontwikkelen om risico's te minimaliseren en voordelen te maximaliseren.

Componenten, vereisten en gegevenstypen binnen de CDE

Binnen een CDE haken verschillende componenten op elkaar in om gevoelige betaalkaartinformatie te beheren. Hier volgt een overzicht van deze componenten, de vereisten om ze te beveiligen en de soorten gegevens die ze verwerken:

Componenten

• Computerhardware: Dit betreft de servers en werkstations waarop software voor betalingsverwerking draait. Het omvat ook netwerkcomponenten zoals routers, switches en firewalls die gegevens sturen en beschermen die zich door netwerken bewegen.
  
• Betaalterminals: Dit zijn fysieke apparaten bij verkooppunten waar de betaalkaarten van klanten worden geveegd, ingestoken of aangetikt.
  
• Opslagsystemen: Hiermee worden bedoeld gebieden waar betaalkaartgegevens worden bewaard, of het nu gaat om digitale bestanden, databases of back-ups. Deze categorie omvat ook verwijderbare media zoals USB-drives of back-uptapes.
  
• Toepassingen: Dit is software die betalingen verwerkt, waaronder POS-systemen en online betaalgateways.
  
• Toegangscontroles: Dit zijn systemen die zijn ontworpen om de identiteit te verifiëren van gebruikers die toegang hebben tot de CDE, in de vorm van fysieke toegang tot beveiligde gebieden en digitale toegang tot gegevenssystemen.
  

Vereisten

• Gegevensencryptie: Betaalkaartgegevens moeten worden versleuteld met behulp van sterke cryptografische standaarden, vooral wanneer ze worden verzonden via open of openbare netwerken.
  
• Toegangsbeheer: Alleen geautoriseerde personen mogen toegang hebben tot de CDE en hun activiteiten moeten worden geregistreerd en gecontroleerd.
  
• Fysieke beveiliging: De fysieke toegang tot de CDE moet worden gecontroleerd en bewaakt, met toegangspunten die beveiligd zijn tegen ongeoorloofde toegang.
  
• Regelmatig testen: Regelmatige scans en penetratietests zijn nodig om kwetsbaarheden op te sporen en op te lossen.
  
• Beleid voor het bewaren en wissen van gegevens: Bedrijven moeten een duidelijk beleid hebben over hoe lang kaarthoudergegevens worden bewaard en procedures hebben voor het veilig verwijderen van kaarthoudergegevens wanneer deze niet meer nodig zijn.
  
• Regels voor leveranciers: Als derden toegang hebben tot de CDE, moeten zij zich ook aan deze beveiligingseisen houden.
  

Gegevenstypen

• Informatie over de kaarthouder: Hierbij gaat het om de naam, het kaartnummer, de vervaldatum en de servicecode van de kaarthouder. Deze informatie staat vaak op de voorkant van een betaalkaart.
  
• Gevoelige authenticatiegegevens: Dit betreft elementen zoals de beveiligingscode van de kaart (de kaartverificatiecode [CVV] of CVV2), persoonlijke identificatienummers (PIN-codes) en magneetstrip- of chipgegevens, die worden gebruikt om kaarthouders te authenticeren en transacties te autoriseren.
  

De CDE moet een hoge prioriteit hebben voor elk bedrijf dat te maken heeft met betalingen van klanten, ongeacht de branche, het betalingsvolume en andere risicofactoren. Bedrijven die de componenten van hun CDE begrijpen en zich houden aan beveiligingsvereisten, kunnen kaarthoudergegevens effectief beschermen tegen inbreuken en misbruik.

PCI DSS-vereisten voor een CDE

De PCI DSS biedt richtlijnen voor het beveiligen van betaalkaartgegevens binnen de CDE. Deze uitgebreide en gedetailleerde normen hebben tot doel om kaarthoudergegevens te beschermen vanaf het moment dat een kaart wordt gebruikt tot het einde van het transactieproces en daarna. Hier is een gedetailleerd overzicht van de belangrijkste vereisten:

• Installeer en onderhoud de firewallconfiguratie: Firewalls fungeren als poortwachters van de CDE. Ze moeten correct zijn ingesteld en worden beheerd om inkomend en uitgaand netwerkverkeer te beheren op basis van een toegepaste verzameling regels, waardoor ongeoorloofde toegang wordt geblokkeerd.

• Wijzig de standaardinstellingen van de leverancier voor systeemwachtwoorden en beveiligingsparameters: Systemen worden vaak geleverd met standaardwachtwoorden en -instellingen, die gemakkelijk kunnen worden misbruikt. Bedrijven moeten deze standaardinstellingen wijzigen in unieke, complexe wachtwoorden en configuraties voordat de systemen worden gekoppeld.

• Bescherm opgeslagen kaarthoudergegevens: Als een bedrijf kaarthoudergegevens opslaat, moeten deze worden versleuteld met behulp van algemeen aanvaarde methoden. Toegang tot deze gegevens moet op een need-to-know-basis zijn, met een strikt beleid voor het bewaren van gegevens waarin wordt bepaald hoe lang gegevens worden bewaard en met duidelijke procedures voor het verwijderen ervan.

• Versleutel de overdracht van kaarthoudergegevens via openbare netwerken: Omdat gegevens tijdens de overdracht kunnen worden onderschept, moeten ze worden versleuteld met behulp van sterke versleutelingsmethoden wanneer ze worden verzonden via netwerken die gemakkelijk toegankelijk zijn, zoals internet.

• Gebruik antivirussoftware en werk deze regelmatig bij: Antivirussoftware helpt systemen te beschermen tegen schadelijke programma's. Het moet worden gebruikt op alle systemen die vaak het doelwit zijn van malware. Regelmatige updates zijn essentieel.

• Ontwikkel en onderhoud beveiligde systemen en applicaties: Bedrijven moeten alle systeemcomponenten beschermen tegen kwetsbaarheden door beveiligingspatches te installeren. Wanneer bedrijven applicaties ontwikkelen, moet beveiliging een primaire overweging zijn.

• Toegang verlenen tot kaarthoudergegevens op een strikte 'need-to-know'-basis: Bedrijven moeten het beginsel dat alleen strikt noodzakelijke rechten worden toegekend in de praktijk brengen, waarbij mensen alleen toegang krijgen tot de gegevens, middelen en functies die nodig zijn om hun werk uit te voeren.

• Wijs een unieke ID toe aan elke persoon met computertoegang: Hierdoor kunnen acties op belangrijke gegevens en systemen worden herleid tot individuen, wat helpt bij het handhaven van aansprakelijkheden.

• Beperk de fysieke toegang tot kaarthoudergegevens: Fysieke beveiliging moet voorkomen dat onbevoegden toegang krijgen tot systemen en gegevensopslag. Dit omvat sloten, toegangscontroles en bewakingsmechanismen.

• Volg en monitor alle toegang tot netwerkbronnen en kaarthoudergegevens: Mechanismen om gebeurtenissen te registreren en de mogelijkheid om gebruikersactiviteiten te volgen zijn belangrijk bij het opsporen en voorkomen van en het reageren op inbreuken.

• Test beveiligingssystemen en -processen regelmatig: Beveiligingssystemen en -processen moeten regelmatig aan stresstests worden onderworpen om er zeker van te zijn dat ze goed zijn geconfigureerd en kaarthoudergegevens er effectief mee worden beschermd.

• Voer een informatiebeveiligingsbeleid: Bedrijven moeten een formeel beleid opstellen en onderhouden dat zich met een duidelijke managementstructuur op technologie, bewustmakingsprogramma's en informatiebeveiliging richt, en dit beleid vervolgens communiceren naar alle werknemers en contractanten.

Het naleven van deze vereisten helpt bij het creëren van een veilige omgeving voor het verwerken van kaarthoudergegevens, waarmee de bedrijven en hun klanten tegen gegevenslekken worden beschermd, en vertrouwen en integriteit worden behouden. Door de PCI DSS na te leven, laten bedrijven zien dat ze beveiliging hoog in het vaandel hebben staan en zich houden aan het bredere doel van het creëren van een veilige betaalomgeving.

Hoe maak en onderhoud je een veilige CDE?

Hoe ziet het bouwen en onderhouden van een sterke CDE eruit? Hier is een overzicht van het proces:

• Definieer wat er onder de CDE valt: Bepaal alle systemen, personen en processen die zijn betrokken bij het opslaan, verwerken of verzenden van kaarthoudergegevens. Breng de gegevensstromen in kaart om te controleren of geen enkel onderdeel van de omgeving over het hoofd wordt gezien.

• Segmenteer het netwerk: Isoleer de CDE van andere netwerkbronnen om de toegang te beperken. Dit vermindert het aantal systemen dat kan communiceren met de CDE, waardoor de aantal potentiële aanvalsvectoren wordt geminimaliseerd.

• Bescherm gegevens met encryptie: Gebruik sterke encryptie voor het opslaan en verzenden van kaarthoudergegevens. Encryptie werkt als een slot, waardoor de gegevens onleesbaar worden voor onbevoegden zonder de juiste sleutel.

• Toegang beheren: Zorg ervoor dat alleen geautoriseerd personeel toegang heeft tot de CDE. Dit wordt gedaan door middel van de juiste identiteitsverificatie, met behulp van unieke ID's en sterke authenticatiemethoden.

• Fysieke beveiliging: Beveilig de fysieke locaties van de CDE met zaken als afgesloten ruimtes, bewakingscamera's en toegangscontrolesystemen tegen ongeoorloofde toegang.

• Onderhoud beveiligingssystemen: Zorg ervoor dat beveiligingstoepassingen zoals firewalls, antivirussoftware en inbraakdetectiesystemen up-to-date zijn om bescherming te bieden tegen nieuwe bedreigingen.

• Ontwikkel en handhaaf beveiligingsmaatregelen: Formuleer een duidelijk beleid waarin beveiligingsverwachtingen worden geformuleerd, en train het personeel dienovereenkomstig. Neem daarin procedures op voor de dagelijkse activiteiten met gedetailleerde instructies hoe te reageren op beveiligingsincidenten en hoe er regelmatige audits moeten worden uitgevoerd.

• Bewaak en log alle activiteiten: Gebruik registratiemechanismen om vast te leggen wie toegang hebben gehad tot de CDE, wat ze hebben gedaan en wanneer ze het hebben gedaan. Controleer logboeken regelmatig op verdachte activiteit.

• Test beveiligingsmaatregelen: Voer regelmatig tests uit, zoals kwetsbaarheidsscans en penetratietests, om zwakke plekken in de beveiliging op te sporen en op te lossen.

• Reageer op inbreuken: Maak een actieplan voor incidenten waarin wordt beschreven hoe je moet reageren op een inbreuk op de beveiliging. Dat plan moet een beeld schetsen van inperkingsstrategieën, communicatieplannen en stappen om nieuwe incidenten te voorkomen.

• Regelmatige evaluatie en verbetering: Beveiliging is een continu proces. Om nieuwe bedreigingen het hoofd te kunnen bieden, moeten de beveiligingscontroles, het beleid en de procedures regelmatig worden geëvalueerd en geactualiseerd.

• Due diligence voor leveranciers: Indien derden toegang hebben tot de CDE, moeten ze grondig worden gescreend en moet worden bepaald of ze voldoen aan de beveiligingsvereisten.

Voor een veilige CDE zijn continu toezicht en regelmatige updates van de beschermingsmechanismen nodig en moet in het hele bedrijf een cultuur van beveiligingsbewustzijn heersen.

Hoe om te gaan met een CDE-inbreuk

Zelfs met de meest zorgvuldige planning en onderhoud is het bijna onvermijdelijk dat er inbreuken zullen plaatsvinden. De aard van fraude verandert voortdurend, en zelfs in de beste CDE-benaderingen zullen zwakke plekken voorkomen. Geen enkele CDE-strategie is compleet zonder een robuust plan voor het afhandelen van inbreuken wanneer deze zich voordoen.

• Onmiddellijke reactie en inperking: Spoor het datalek op en perk het onmiddellijk in. Dit betekent dat de getroffen systemen moeten worden geïsoleerd om verder gegevensverlies te voorkomen. Als de inbreuk zich bijvoorbeeld op een specifieke server bevindt, moet die server worden losgekoppeld van het netwerk.

• Beoordeel en analyseer de inbreuk: Voer een grondig onderzoek uit om de omvang van de inbreuk te bepalen. Vastgesteld moet worden tot welke gegevens toegang is verkregen, hoe de inbreuk heeft plaatsgevonden en wat de duur van de blootstelling is geweest. Forensische tools en technieken kunnen helpen bij deze analyse.

• Breng relevante partijen op de hoogte: Transparantie is essentieel bij het beheren van een CDE-inbreuk. Het bedrijf moet alle getroffen klanten op de hoogte stellen en hen informeren over de aard van de inbreuk, welke informatie in gevaar is gebracht en welke stappen het bedrijf neemt om dit te corrigeren. Bovendien kan wettelijk zijn bepaald dat een bedrijf regelgevende instanties op de hoogte moet stellen van de inbreuk.

• Schakel juridische en compliance-experts in: Een juridisch adviseur moet de implicaties van de inbreuk beoordelen en zorgen dat alle relevante wet- en regelgeving wordt nageleefd. Werken met experts is vooral belangrijk omdat de wetten inzake datalekken per regio en branche verschillen.

• Verbeter de beveiligingsmaatregelen: Op basis van de bevindingen van het onderzoek moet het bedrijf betere maatregelen tegen inbreuken nemen. Denk hierbij aan het bijwerken van software, het versterken van firewalls en het verbeteren van versleutelingsmethoden.

• Training en bewustwording van medewerkers: Vaak vinden inbreuken plaats als gevolg van menselijke fouten. Het is belangrijk om werknemers voor te lichten over best practices op het gebied van gegevensbeveiliging en het belang van het beschermen van klantinformatie.

• Public relations management: Het bedrijf moet open communiceren over de stappen die het neemt om de inbreuk aan te pakken en nieuwe incidenten te voorkomen.

• Voortdurende monitoring: Nadat de onmiddellijke gevolgen van de inbreuk zijn aangepakt, moeten bedrijven systemen voortdurend monitoren zodat elke ongebruikelijk activiteit onmiddellijk wordt opgemerkt.

• Evaluatie en actualisering van het actieplan voor incidenten: Na een inbreuk moeten bedrijven hun actieplan voor incidenten evalueren en op basis van de geleerde lessen actualiseren. Dit verbetert de paraatheid in geval van nieuwe incidenten.

• Klantenondersteuning en assistentie: Bedrijven moeten ondersteuning bieden aan getroffen klanten, bijvoorbeeld door kredietbewakingsdiensten aan te bieden of een hotline voor vragen te openen.

Gedurende dit hele proces moeten bedrijven zich op zorgvuldige omgang met de feiten en op aansprakelijkheid richten, en proactieve maatregelen nemen om het vertrouwen te herstellen en de veiligheid van klantgegevens te waarborgen.