Selbstbewertungsfragebogen (SAQ)

Sichern Sie Ihr Unternehmen noch heute mit CyberHoot!!!

Jetzt anmelden

Ein Selbstbewertungsfragebogen (SAQ) wird am häufigsten im Bereich des Payment Card Industry Data Security Standard (PCI-DSS) eingesetzt , um festzustellen, ob ein Händler oder Dienstleister die PCI-DSS-Standards erfüllt. Es gibt acht verschiedene SAQ-Typen, jeweils für unterschiedliche Arten von Organisationen, die PCI-Informationen verarbeiten. Die acht verschiedenen Typen sind unten aufgeführt:

Die Art und Weise, wie Sie Kreditkarten verarbeiten und mit Karteninhaberdaten umgehen, bestimmt, welchen SAQ Ihr Unternehmen ausfüllen muss. Wenn Sie beispielsweise kein Ladengeschäft haben und alle Ihre Produkte online über einen Drittanbieter verkaufen, erfüllen Sie wahrscheinlich die Voraussetzungen für SAQ A oder SAQ A-EP. Wenn Sie ein Ladengeschäft haben, das Kreditkarten über das Internet verarbeitet und auch Kreditkartendaten von Kunden speichert, fallen Sie wahrscheinlich unter SAQ D.

Transaktionsvolumen diktiert Auditanforderungen

Neben dem Ausfüllen eines SAQ zur Erfüllung Ihrer PCI-Compliance-Anforderungen gibt es für KMU eine weitere Kennzahl, die berücksichtigt werden sollte: das Transaktionsvolumen. PCI-DSS definiert ebenfalls Transaktionsvolumenbereiche, die bestimmen, ob Sie eine Selbstbewertung durchführen können (unter 20,000 Kreditkartentransaktionen pro Jahr) und ob Sie bei Compliance-Level 2 oder 1 einen externen QSA (Qualified Security Assessor) mit der Durchführung eines Audits Ihres Unternehmens beauftragen müssen.

Was bedeutet das für ein KMU?

Der SAQ (Selbstbewertungsfragebogen) ist nicht nur ein Leitfaden zur Compliance, sondern auch zu besserer Cybersicherheit. Das Ausfüllen eines PCI-SAQ ist eine der besten Möglichkeiten, um sicherzustellen, dass Sie keine geschäftlichen Sicherheitsanforderungen verpassen. Händlerprozessoren möchten außerdem nicht mit unsicheren Unternehmen zusammenarbeiten und verlangen daher in der Regel von jedem Händler einen PCI-SAQ als Nachweis für Zahlungssicherheit. Wenn Ihr Unternehmen mit PCI-Daten arbeitet, haben Sie wahrscheinlich bereits einen SAQ ausgefüllt oder müssen einen ausfüllen. In der obigen Tabelle finden Sie den für Ihr Unternehmen zutreffenden SAQ. Das Durcharbeiten Ihres SAQ hilft Ihnen zu entscheiden, was Sie tun sollten. Die folgenden Informationen helfen Ihnen jedoch, Ihre Cybersicherheitshygiene noch weiter zu verbessern.  

Zusätzliche Empfehlungen zur Cybersicherheit

Darüber hinaus helfen Ihnen die folgenden Empfehlungen, sich und Ihr Unternehmen vor den vielfältigen Bedrohungen des täglichen Lebens zu schützen. Alle unten aufgeführten Vorschläge erhalten Sie durch die Inanspruchnahme der vCISO-Programmentwicklungsdienste von CyberHoot.

1. Kontrollieren Sie Ihre Mitarbeiter mit Richtlinien und Verfahren. Sie benötigen mindestens eine Kennwortrichtlinie, eine Richtlinie zur akzeptablen Nutzung, eine Richtlinie zum Umgang mit Informationen und ein schriftliches Informationssicherheitsprogramm (WISP).
2. Schulen Sie Ihre Mitarbeiter darin, wie sie Phishing-Attacken. Führen Sie ein Lernmanagementsystem wie CyberHoot ein, um Ihren Mitarbeitern die Fähigkeiten beizubringen, die sie benötigen, um selbstbewusster, produktiver und sicherer zu sein.
3. Testen Sie Ihre Mitarbeiter mit Phishing-Angriffen. Mit den Phishing-Tests von CyberHoot können Unternehmen ihre Mitarbeiter mit glaubwürdigen Phishing-Angriffen testen und diejenigen, die scheitern, einem Phishing-Training unterziehen.
4. Einsatz kritischer Cybersicherheitstechnologie, einschließlich Zwei-Faktor-Authentifizierung auf allen kritischen Konten. Aktivieren Sie E-Mail-SPAM-Filter, validieren Sie Backups, implementieren Sie DNS-Schutz, Antivirusund Anti-Malware auf allen Ihren Endpunkten.
5. Stellen Sie im modernen Homeoffice-Zeitalter sicher, dass Sie die Verbindung zu Ihrem Netzwerk herstellende private Geräte verwalten, indem Sie deren Sicherheit (Patches, Virenschutz, DNS-Schutz usw.) validieren oder ihre Verwendung vollständig verbieten.
6. Wenn Sie in den letzten zwei Jahren keine Risikobewertung durch Dritte durchführen ließen, sollten Sie jetzt eine durchführen lassen. Die Etablierung eines Risikomanagement-Rahmens in Ihrem Unternehmen ist entscheidend, um Ihre größten Risiken mit der begrenzten Zeit und dem begrenzten Geld zu bewältigen.
7. Schließen Sie eine Cyber-Versicherung ab, um sich im Ernstfall abzusichern. Eine Cyber-Versicherung unterscheidet sich nicht von einer Auto-, Feuer-, Hochwasser- oder Lebensversicherung. Sie ist für Sie da, wenn Sie sie am meisten brauchen.

Alle diese Empfehlungen sind in CyberHoot (Produkt oder vCISO-Services) integriert. Mit CyberHoot können Sie Ihre Mitarbeiter steuern, schulen, beurteilen und testen. Besuchen Sie CyberHoot.com und registrieren Sie sich noch heute für unsere Services. Bleiben Sie außerdem mit unseren monatlichen Cybersicherheits-Newslettern stets auf dem Laufenden.

Um mehr über die PCI-Konformität und die PCI-SAQs zu erfahren, sehen Sie sich dieses kurze 2-minütige Video an:

Quellen: 

Sicherheitsmetriken

PCI-Sicherheitsstandards

Gegenseitigkeit

Weitere Leseempfehlungen:

Ein Überblick über die PCI-Konformität

MSPs sollten Risikobewertungen verlangen

Verwandte Begriffe:

PCI-DSS

Risikobewertung

AES-Verschlüsselung

CyberHoot stellt Ihnen weitere Ressourcen zur Verfügung. Nachfolgend finden Sie Links zu allen unseren Ressourcen. Schauen Sie sich diese jederzeit gerne an: 

• Blog
• Cybrary (Cyber-Bibliothek)
• Infografiken
• Newsletter
• Pressemitteilungen
• Anleitungsvideos (HowTo) – sehr hilfreich für unsere SuperUser!

Hinweis: Wenn Sie unseren Newsletter abonnieren möchten, besuchen Sie einen der oben stehenden Links (außer Infografiken), geben Sie Ihre E-Mail-Adresse auf der rechten Seite ein und klicken Sie auf „ Newsletter senden“.