So erstellen Sie ein Zertifikatsinventar für PCI DSS 4.0 Requirement 4.2.1.1

Wir sprechen täglich mit Organisationen, die sich auf die Anforderungen von PCI DSS 4.0 vorbereiten. Der 31. März 2025 markiert das Ende der Übergangsfrist, und zu diesem Datum müssen Unternehmen vollständig konform mit PCI DSS v4.0.1 sein.

Eine der Änderungen von PCI 4.0.1 gegenüber PCI 3.2 ist eine aktualisierte Requirement 4, die die Verschlüsselung von Übertragungen von Karteninhaberdaten über öffentliche Netzwerke abdeckt, um sensible Informationen vor unbefugtem Zugriff und Abfangen zu schützen. Der PCI Security Standards Council beschreibt diese Änderung als eine Möglichkeit, „den Fokus auf ‚starke Kryptografie‘ zum Schutz von Übertragungen von Karteninhaberdaten widerzuspiegeln“.

Lassen Sie uns genau aufschlüsseln, was sich geändert hat, und den besten Weg betrachten, um mit möglichst wenig Aufwand ein Zertifikatsinventar aufzubauen, das PCI DSS 4.0-konform ist

In v4.0.1 hat der PCI Security Standards Council Requirement 4 ergänzt. Dieser Blog widmet sich der Requirement 4.2.1.1, die wie folgt lautet:

„Ein Inventar der vertrauenswürdigen Schlüssel und Zertifikate der Organisation, die zum Schutz von PAN während der Übertragung verwendet werden, wird gepflegt.“

Diese Anforderung gilt bis zum 31. März 2025 als Best Practice, danach wird sie verbindlich und muss bei einer PCI DSS-Bewertung vollständig berücksichtigt werden.

Durch ein Inventar kann eine Organisation zentrale kryptografische Assets und Ablaufdaten von Schlüsseln überwachen. Diese proaktive Nachverfolgung ermöglicht es der Organisation, Schwachstellen in Verschlüsselungssoftware, Zertifikaten und kryptografischen Algorithmen zu beheben.

Der PCI Security Standards Council weist außerdem darauf hin, dass es eine gute Praxis ist, im Zertifikatsinventar die ausstellende CA und das Ablaufdatum des Zertifikats aufzuführen.

Wir werden mehrere verschiedene Möglichkeiten durchgehen, wie Sie Ihr Zertifikatsinventar aufbauen können. Alle hier besprochenen Methoden basieren auf fünf zentralen Schritten:

1. Priorisierung der Assets, die basierend auf den PCI-Anforderungen im Geltungsbereich liegen. Dazu gehören auch Zertifikate für Assets Dritter, wie z. B. Zahlungsgateways auf Ihrer Website.
2. Verwendung von Kennungen zur Nachverfolgung der relevanten Zertifikate.
3. Sobald Sie wissen, was im Geltungsbereich liegt, können Sie die Berichte der Assets exportieren, um ein vollständiges Inventar der Zertifikate darzustellen.

Welcher Ansatz für Sie am besten funktioniert, hängt vom aktuellen Zustand Ihres Zertifikatsbestands, dessen Komplexität und den Ressourcen ab, die Sie für die Verwaltung des Bestands und die Einhaltung von PCI 4.0.1 aufwenden.

Tabellenkalkulationen werden von Organisationen häufig verwendet, um den Zertifikatsbestand zu verfolgen und zu verwalten, und könnten für ein Inventar gemäß Requirement 4.2.1.1 genutzt werden.

Wenn eine Organisation heute bereits Tabellenkalkulationen verwendet, um Zertifikate zu verfolgen, kann die Erstellung einer ähnlichen Version zur Nachverfolgung von Zertifikaten, die zum Schutz von PAN während der Übertragung verwendet werden, eine akzeptable Möglichkeit sein, die PCI 4.0-Anforderung zu erfüllen.

Es ist zwar nicht der ausgereifteste Ansatz, kann aber funktionieren, sofern eine strenge Pflege und dedizierte Ressourcen für die manuelle Nachverfolgung vorhanden sind. Wenn ein Team überlastet ist und keine Kapazitäten hat, um sicherzustellen, dass die Tabelle aktuell bleibt, ist dies der falsche Ansatz.

Dies ist auch der falsche Ansatz, wenn Sie derzeit eine Tabelle verwenden, diese aber veraltet oder unvollständig ist. Sie benötigen dann etwas Automatisiertes, das Ihnen hilft, mit einem aktuellen Inventar zu starten. Mehr dazu weiter unten.

1. Definieren Sie die erforderlichen Datenfelder. Identifizieren Sie alle notwendigen Datenpunkte, die für jedes Zertifikat erfasst werden müssen. Dazu gehören unter anderem:Zertifikatsname/ID: Eine eindeutige Kennung für jedes Zertifikat.Aussteller: Die Zertifizierungsstelle (CA), die das Zertifikat ausgestellt hat.Subjekt: Die Entität, für die das Zertifikat ausgestellt wurde (z. B. Domainname).Zertifikatstyp: SSL/TLS, Codesignierung, Client-Zertifikat usw.Schlüsselstärke: Die kryptografische Stärke des Zertifikats (z. B. 2048-Bit-RSA).Verwendeter Algorithmus: Der verwendete kryptografische Algorithmus (z. B. RSA, ECC).Gültigkeitszeitraum: Start- und Enddatum des Zertifikats.Ablaufdatum: Wann das Zertifikat abläuft.Schlüsselverwalter: Die Person oder das Team, das für die Verwaltung des Zertifikats zuständig ist.Verwendung: Die spezifische Anwendung oder das System, in dem das Zertifikat verwendet wird.Widerrufsstatus: Ob das Zertifikat widerrufen wurde.Erneuerungsstatus: Vermerke dazu, ob das Zertifikat zur Erneuerung anliegt.Schwachstellenhinweise: Bekannte Schwachstellen in Bezug auf das Zertifikat oder die zugehörigen Algorithmen.Kommentare/Anmerkungen: Zusätzliche Bemerkungen oder Maßnahmen im Zusammenhang mit dem Zertifikat.
2. Befüllen Sie die Tabelle. Geben Sie die Informationen für jedes Zertifikat in die entsprechende Zeile und Spalte ein.
3. Implementieren Sie eine bedingte Formatierung. Richten Sie eine bedingte Formatierung ein, um Zertifikate zu markieren, die kurz vor dem Ablauf stehen (heben Sie z. B. Zertifikate, die innerhalb der nächsten 30 oder 60 Tage ablaufen, rot oder gelb hervor).
4. Erstellen Sie Erinnerungen und Benachrichtigungen. Verwenden Sie Tabellenfunktionen, um die Anzahl der Tage bis zum Ablauf zu berechnen, und erstellen Sie automatische Benachrichtigungen oder Erinnerungen für Zertifikate, die erneuert werden müssen.
5. Regelmäßige Überprüfung und Aktualisierung. Planen Sie regelmäßige Überprüfungen der Tabelle, um sicherzustellen, dass alle Informationen aktuell sind. Aktualisieren Sie die Tabelle, wann immer ein Zertifikat ausgestellt, erneuert oder widerrufen wird.
6. Sichern Sie die Tabelle. Stellen Sie sicher, dass die Tabelle sicher gespeichert wird und der Zugriff nur auf autorisiertes Personal beschränkt ist. Wenn die Tabelle sensible Informationen enthält, sollten Sie sie verschlüsseln oder in einer sicheren, PCI-konformen Umgebung speichern.

Certificate Lifecycle Management-Tools (wie AppviewX und Venafi) wurden entwickelt, um die Ausstellung, Erneuerung und Bereitstellung von Zertifikaten zu automatisieren. Angesichts der Anzahl der Schritte im Prozess – und der Fehler, die dabei auftreten können – entstand CLM als Möglichkeit für Sicherheits- und IT-Fachleute, ihren Zertifikatsbestand in den Griff zu bekommen.

Konzeptionell müssen CLMs umfassend in ihrem Umfang sein, damit sie ein Zertifikat signieren, validieren, ausstellen, bereitstellen, widerrufen und darüber berichten können. Für bestehende CLM-Nutzer bieten diese Tools Funktionen, die helfen, die PCI-Anforderung 4.2.1.1 zu erfüllen.

Einige CLMs helfen auch bei der Inventarisierung vertrauenswürdiger Schlüssel, was ein weiterer Teil von Requirement 4.2.1.1 ist.

Für diejenigen, die derzeit kein CLM haben, kann die Einführung eines solchen aufwendig und ressourcenintensiv sein (mit Benutzerhandbüchern, die 2.761 Seiten lang sind).

Ein weiteres Szenario, in dem CLMs nicht gut geeignet sind, sind komplexe Zertifikatsbestände, die komplexe Discovery-Szenarien erfordern. Zwar bieten CLMs eine automatisierte Erkennung, doch das Seeding, die Integrationen und die Erkennungsmethoden können Zeit zur Konfiguration benötigen und kritische Zertifikate übersehen.

Der genaue Prozess, dem Sie folgen, variiert je nach verwendetem CLM-Tool. Hier beschreiben wir auf hoher Ebene die Schritte, die Sie unabhängig vom verwendeten Tool durchführen müssen.

1. Beginnen Sie mit der Zertifikatserkennung. Abhängig vom verwendeten CLM-Tool und Ihrem aktuellen Stand im Zertifikatsmanagement kann dieser Prozess mehr oder weniger ressourcenintensiv sein. Ziehen Sie die Dokumentation Ihres CLM-Anbieters zur Integration mit CAs und zum Scannen Ihrer Infrastruktur heran, um sicherzustellen, dass alle Zertifikate, die in den Geltungsbereich von PCI 4.0 fallen, erkannt werden.
2. Beginnen Sie mit dem CLM-Inventar. Diese Tools bieten ein zentrales Repository, in dem Zertifikate in Ihrer gesamten Organisation erkannt, inventarisiert und verwaltet werden können. Einige CLMs können sich mit verschiedenen Zertifizierungsstellen (CAs) integrieren, um Zertifikatsdetails zu importieren.
3. Nutzen Sie Audit-Logs und Compliance-Berichte. Die meisten CLM-Plattformen führen detaillierte Audit-Logs über alle an Zertifikaten vorgenommenen Aktionen. Manche können auch Compliance-Berichte erstellen, die den PCI DSS-Anforderungen entsprechen, was den Nachweis der Konformität bei Audits erleichtert.

Wir sind hier offensichtlich nicht neutral, aber wir denken, dass ein Zertifikatsüberwachungstool – wie Red Sift Certificates – eine der besten Möglichkeiten ist, Ihr Zertifikatsinventar aufzubauen, um Requirement 4.2.1.1 zu erfüllen.

Red Sift Certificates ist gut geeignet für Unternehmen, die nicht sicher sind, ob sie vollständige Transparenz über ihr aktuelles Zertifikatsinventar haben. Das liegt daran, dass Red Sift Certificates das einzige Tool auf dem Markt ist, das Certificate Transparency (CT) Logs in Echtzeit überwacht, um jedes Zertifikat zu erfassen, sobald es ausgestellt wird. Bis heute hat Red Sift Certificates über 7 Milliarden Zertifikate verarbeitet. Die Konfigurations- und Bereitstellungsüberwachung erfolgt von 10 globalen Standorten aus.

Für alle, die sich Sorgen um ablaufende Zertifikate machen, sorgt diese CT-Log-Überwachung außerdem dafür, dass Informationen über bereitgestellte Zertifikate stets aktuell bleiben. Red Sift Certificates ist geeignet für alle, die bereits eine Lösung zur Automatisierung der Zertifikatsrotation haben oder eine solche suchen.

Es ist jedoch wichtig zu beachten, dass Red Sift Certificates – im Gegensatz zu CLMs – den Erneuerungsprozess nicht automatisiert.

Der Aufbau eines Zertifikatsinventars für PCI 4.2.1.1 ist mit Red Sift Certificates ganz einfach.

1. Entdecken Sie alle Ihre Zertifikate. Geben Sie eine einzige Seed-Domain ein, und Red Sift Certificates identifiziert alle Zertifikate Ihrer Organisation. Wir wissen, das klingt zu gut, um wahr zu sein, aber mit einer einzigen Domain kann Red Sift Certificates ein vollständiges Inventar aller eigenen, von Dritten stammenden, selbstsignierten und privaten Zertifikate erstellen, die im Internet sichtbar sind. Die App erreicht dies, indem sie alle Hostnamen und Netzwerkbereiche, die zu Ihrer Organisation gehören, erkennt und anschließend überwacht. Wir können sogar eine Verbindung zu Ihrer Cloud-Computing-Instanz herstellen. Und das Beste daran: Dies kann in weniger als einer Stunde erledigt werden.
2. Markieren Sie alle Zertifikate im Geltungsbereich von PCI. Mit einfachen Gruppen oder Tags können Sie kennzeichnen, welche Zertifikate im Geltungsbereich von Requirement 4.2.1.1 liegen, sodass Sie eine einfache Möglichkeit zur Berichterstattung haben.
3. Exportieren Sie nach Bedarf. Exportieren Sie Ihr Inventar als .csv-, .xls- oder JSON-Datei, um das Inventar zu dokumentieren. Dies kann basierend auf der Zeit seit dem letzten Export oder immer dann geschehen, wenn sich etwas ändert – je nach Präferenz und Bedarf des Nutzers.

Wenn Sie ein Zertifikatsinventar aufbauen möchten und denken, dass Red Sift Certificates der richtige Ansatz für Ihre Organisation sein könnte, schreiben Sie uns oder buchen Sie eine Demo. Unsere Teammitglieder helfen Ihnen gerne, Ihr Inventar rechtzeitig vor der PCI 4.0.1-Deadline aufzubauen.

Wenn Sie Fragen zu den bevorstehenden kryptografischen Anforderungen von PCI 4.0.1 haben, schauen Sie sich unser On-Demand-Webinar an, um mehr zu erfahren.