Alles, was Hotels über PCI-Compliance wissen müssen

Datensicherheit ist unabhängig von Ihrer Branche ein großes Thema. Laut IBM Security ist das globale durchschnittliche Kosten einer Datenschutzverletzung ist 4,35 Millionen $.

‍

Die kleineren Auswirkungen von Betrug — wie die Kosten einer Datenschutzverletzung für eine kleine Hotelkette — könnten verheerend sein. Aus diesem Grund ist die PCI-DSS-Konformität Ihres Hotels ein geringer Preis, den Sie für den Schutz für Sie und Ihre Gäste zahlen müssen.

‍

In diesem Blog werden wir uns mit PCI-Compliance befassen, was sie ist, warum sie wichtig ist und wie Sie die Richtlinien einhalten können.

Was ist PCI-Konformität?

Bevor wir uns mit der genauen Definition von PCI-Konformität befassen, sollten Sie Folgendes beachten: Auf Nachfrage von Kift Wie besorgt Reisende über den Datenschutz und die Sicherheit ihrer personenbezogenen Daten waren, die den Hotels zur Verfügung gestellt wurden, gaben 55,6% an, etwas besorgt zu sein. Zwanzig Prozent gaben an, sehr besorgt zu sein.

‍

Aus diesem Grund wurde der Payment Card Industry Data Security Standard (PCI DSS) eingehalten, um die Daten von Zahlungskarteninhabern zu schützen. Es umfasst eine detaillierte Reihe von Vorschriften für Unternehmen, die Zahlungskartendaten verwalten.

‍

Es wurde vom Payment Card Industry Security Standards Council (PCI SSC) gegründet, einer Allianz der fünf großen Kreditkartenunternehmen: Visa, MasterCard, American Express, Discover und JCB.

‍

Jedes Unternehmen, das mit Zahlungsdaten umgeht — einschließlich Hotels — muss PCI DSS einhalten. Wenn Sie dies nicht tun, können die Strafen, die mit einer Nichteinhaltung einhergehen, enorm sein.

‍

Was ist der Unterschied zwischen PCI-Konformität und PCI-Zertifizierung?

‍

PCI-Konformität

Die PCI-Konformität, die vom PCI SSC entwickelt wurde, ist eine Reihe von Richtlinien, die Unternehmen bei der Annahme, Speicherung, Verarbeitung und Übertragung von Zahlungskarten befolgen müssen.

‍

Es ist wichtig zu beachten, dass es nicht illegal ist, nicht PCI-konform zu sein. Wenn jedoch ein Verstoß auftritt und Sie die Vorschriften nicht einhalten, sind Sie haftbar und es können hohe Strafen verhängt werden.

‍

Die PCI-Konformität ist entscheidend, um Ihre Gäste und Sie selbst zu schützen.

‍

PCI-Zertifizierung

Die PCI-Zertifizierung bezieht sich auf eine umfassende Prüfung eines Unternehmens, um sicherzustellen, dass es die richtigen Verfahren und Richtlinien zum Schutz von Daten einhält. Das Audit muss von einem externen qualifizierten Sicherheitsgutachter (QSA) durchgeführt werden, damit Sie als konform angesehen werden.

‍

Dies ist ein langer Prozess, der oft bis zu sechs Monate dauert. Während dieser Zeit untersucht der Gutachter, wie die Software Ihres Hotels entwickelt wurde, wie die Entwickler geschult wurden und wie Sie die technischen/prozeduralen Kontrollen durchführen.

‍

Warum ist PCI-Compliance für Hotels wichtig?

Datenschutzverletzungen können sich nachteilig auf die Finanzen und den Ruf eines Unternehmens auswirken. Sollte es in Ihrem Hotel zu einer Datenschutzverletzung kommen, könnten Sie für Klagen von Gästen haftbar gemacht werden, Ihre Loyalität verlieren und hohe Strafgebühren zwischen 5.000 und 100.000 USD pro Monat zahlen müssen.

‍

PCI-Compliance hilft Ihnen, Datenschutzverletzungen zu verhindern und das Vertrauen Ihrer Gäste in Sie und Ihre Fähigkeit, ihre sensiblen Daten zu verarbeiten, aufzubauen. Deshalb ist es wichtig, die Gäste darüber zu informieren, dass du PCI-konform bist.

Als Hotel sind Sie in den folgenden Bereichen am anfälligsten:

‍

• eCommerce
• Verkaufsstelle
• Unternehmens-/internes Netzwerk
• Vernetzte Systeme
• Körperliche Angriffe

‍

Gründe, warum ein Hotel möglicherweise nicht PCI-konform ist

Ob Sie es glauben oder nicht, Sie könnten PCI-konform sein, ohne es zu wissen. Umso wichtiger ist es, sich selbst zum Experten für PCI-DSS-Konformität und deren Bedeutung für Ihr Unternehmen zu machen.

Wie bereits erwähnt, geraten Sie nicht in Panik (zu sehr), wenn Sie feststellen, dass Sie nicht konform sind. Es ist nicht illegal — nur riskant. Das Gute ist, dass Sie die Nichtkonformität erkennen und beheben können. Hier sind einige Gründe, warum Sie möglicherweise nicht konform sind:

‍

• Du benutzt immer noch Papier und PDF-Formulare zur Kreditkartenautorisierung: Dies ist ein sehr häufiger Grund für die Nichteinhaltung der PCI-Vorschriften, und es ist überraschend, wie viele Hotels nicht wissen, dass Genehmigungsformulare in Papier oder PDF nicht den Anforderungen entsprechen.
• Ihre physische Sicherheit ist lax: Ihre physische Sicherheit spielt eine große Rolle beim Schutz der Kreditkartendaten Ihrer Gäste. Unabhängig davon, ob Sie ein Sicherheitsteam haben oder nicht, stellen Sie sicher, dass die Mitarbeiter immer anwesend sind und darin geschult sind, worauf Sie achten müssen, wenn es um Diebe oder fragwürdiges Verhalten geht.
• Sie haben eine schwache Passwortrichtlinie: Zu häufig verwendete oder gemeinsam genutzte Passwörter stellen ein großes Risiko für Ihre Netzwerke dar. Stellen Sie sicher, dass Ihr Unternehmen strenge Passwortrichtlinien verfolgt, um zu verhindern, dass Betrüger Konten erraten oder sich in sie einhacken. Einige Unternehmen verlangen beispielsweise, dass Mitarbeiter ihre Passwörter regelmäßig ändern.
• Ihnen fehlen regelmäßige Sicherheitsüberprüfungen: Wenn es um die PCI-Compliance geht, kann das Fehlen regelmäßiger Sicherheitsbewertungen zu einer Sicherheitsverletzung führen. Sicherheitslücken in Ihrem Netzwerk oder Ihrer Software tauchen auf, und je länger sie unbeaufsichtigt bleiben, desto größer ist die Wahrscheinlichkeit, dass Sie Opfer von Betrug werden.
• Die Schulung Ihrer Mitarbeiter ist unzureichend: Apropos Sicherheitslücken: Betrüger können es auf Ihre Mitarbeiter abgesehen haben. Ohne eine angemessene Schulung könnten die Mitarbeiter Anzeichen eines Foulspiels übersehen.
• Ihre Software oder Hardware ist veraltet: Es ist möglich, dass ältere Software oder Hardware die aktuellen PCI-DSS-Standards nicht erfüllt und daher als nicht konform angesehen wird.

‍

5 Möglichkeiten, PCI-konform zu bleiben

Zum Glück gibt es mehrere Möglichkeiten, PCI-DSS-konform zu bleiben, und die meisten laufen darauf hinaus, proaktiv zu sein, in sichere Technologie zu investieren und einen Ansatz zu verfolgen, bei dem Sicherheit an erster Stelle steht. Hier sind sieben Möglichkeiten, wie Sie Datenschutzverletzungen verhindern können (und dadurch eine Menge Geld sparen):

‍

Befreien Sie sich von Papier- oder PDF-Autorisierungsformularen

Autorisierungsformulare in Papier und PDF sind nicht konform. Es gibt keine zwei Möglichkeiten, das zu ändern. Umstellung auf sichere digitale Lösungen wie Digitale Autorisierungen von Canary und Kontaktloser Check-In wird dazu beitragen, Betrug zu verhindern und Ihr Gasterlebnis zu verbessern. Nicht nur das, diese Lösungen helfen dir dabei, Rückbuchungsfälle zu gewinnen, falls sie auftreten sollten.

‍

So funktionieren digitale Autorisierungen: Jeder Gast erhält einen eindeutigen Link zu einem sicheren Formular. Ihr Team erhält eine E-Mail, sobald der Gast seine Kreditkarteninformationen eingegeben hat. Anschließend kannst du jede Autorisierung im Web-Dashboard von Canary verfolgen.

‍

Canary verwendet seine eigenen Tools — Betragsüberprüfung, ID-Verifizierung, IP-Markierung und Betrugserkennungsalgorithmen —, um Betrug zu erkennen und zu stoppen.

‍

‍

Möchten Sie damit beginnen, Betrug und Rückbuchungen zu verhindern? Demoversion Die Lösung für digitale Autorisierungen von Canary heute!

‍

Erstellen Sie eine interne Datensicherheitsrichtlinie

Eine interne Datensicherheitsrichtlinie besteht aus einer Reihe von Richtlinien und Verfahren für Ihre Mitarbeiter. Sie sollten darlegen, wie mit vertraulichen Informationen umzugehen ist. Eine gute interne Datensicherheitsrichtlinie hilft Ihnen in mehrfacher Hinsicht:

‍

• Definiert Rollen und Verantwortlichkeiten: Eine gut durchdachte Richtlinie sollte alle Rollen und Verantwortlichkeiten der Mitarbeiter in den Bereichen Bezahlung und Bearbeitung beschreiben. So lässt sich leichter sicherstellen, dass jeder Mitarbeiter versteht, was von ihm erwartet wird.
• Etabliert Sicherheitsprotokolle: Wenn es um PCI-Konformität geht, sollten hohe Standards die Norm sein. Eine Reihe von Sicherheitsprotokollen wie Verschlüsselungsstandards stellt sicher, dass sensible Daten immer geschützt sind.
• Bietet Gelegenheit zur Mitarbeiterschulung: Eine Sicherheitsrichtlinie hilft Ihnen dabei, Mitarbeiter zu schulen und somit Pannen zu vermeiden. Ihre Richtlinie könnte vorsehen, dass alle neuen Mitarbeiter im ersten Monat in Bezug auf Datensicherheitsstandards geschult werden müssen. Es ist auch eine gute Idee, aktuelle Mitarbeiter jährlich über den richtigen Umgang mit vertraulichen Informationen zu informieren.
• Schafft eine Sicherheitskultur: Eine aktuelle Richtlinie kann Ihnen helfen, eine Kultur zu schaffen, in der die Sicherheit von Kundendaten an erster Stelle steht. Auf diese Weise wird sichergestellt, dass die Mitarbeiter jederzeit wachsam bleiben.

‍

Das Wichtigste, an das Sie sich erinnern sollten, ist, dass die Sicherheitsmaßnahmen regelmäßig überprüft und aktualisiert werden sollten. Dies wird Ihnen helfen, PCI-konform zu bleiben.

‍

Erstellen Sie einen Reaktionsplan für Cybervorfälle

Ganz gleich, wie sicher Ihr Hotel Ihrer Meinung nach ist, ein Plan zur Reaktion auf Cybervorfälle ist wichtig und eine PCI-Anforderung. Es zeugt auch von der gebotenen Sorgfalt gegenüber Ihren Aufsichtsbehörden und Kunden.

‍

Wenn Sie einen Plan haben, können Sie im Falle einer Datenschutzverletzung schnell handeln, die Ursache der Datenschutzverletzung ermitteln und die Auswirkungen auf Ihr Hotel und dessen Ruf minimieren. Hier ist ein Beispiel für einen Reaktionsplan:

‍

1. Richten Sie ein Team für die Reaktion auf Vorfälle ein: Stellen Sie eine Gruppe von Personen mit unterschiedlichen Fachgebieten wie IT-Sicherheit, Recht und Kommunikation zusammen, um im Falle eines Verstoßes die Führung zu übernehmen.
2. Bewertung des Vorfalls: Führen Sie eine vorläufige Bewertung des Vorfalls durch, um Umfang und Schwere des Verstoßes zu ermitteln, einschließlich der betroffenen Daten, wie darauf zugegriffen wurde und wie lange der Verstoß unentdeckt blieb.
3. Den Verstoß eindämmen: Ergreifen Sie sofort Maßnahmen, um den Verstoß einzudämmen. Trennen Sie beispielsweise betroffene Systeme vom Netzwerk, deaktivieren Sie Benutzerkonten und ändern Sie Kennwörter.
4. Parteien benachrichtigen: Informieren Sie Ihre Kunden, Kreditkartenunternehmen und Aufsichtsbehörden über den Verstoß.
5. Beweise sichern: Bewahren Sie alle relevanten Beweise im Zusammenhang mit dem Vorfall auf, z. B. Protokolle und Systemabbilder.
6. Eine Untersuchung durchführen: Führen Sie eine Untersuchung durch, um die Ursache des Verstoßes herauszufinden. In dieser Phase können Sie zukünftige Verstöße verhindern.
7. Implementieren Sie Abhilfemaßnahmen: Stellen Sie Systeme aus Backups wieder her, installieren Sie Sicherheitspatches und verbessern Sie die Sicherheitskontrollen.
8. Überprüfen und aktualisieren Sie Ihren Notfallplan: Integrieren Sie die aus dieser Sicherheitsverletzung gewonnenen Erkenntnisse in Ihren Reaktionsplan und Ihre interne Datensicherheitsrichtlinie.

‍

Führen Sie Risikobewertungen durch

Eine Risikobewertung bedeutet lediglich, potenzielle Risiken für die Sicherheit von Zahlungskartendaten zu bewerten und auf der Grundlage der Ergebnisse Maßnahmen zu ergreifen. Hier ist ein Beispiel für eine Risikobewertung, die Sie in Ihrem Hotel durchführen müssen:

‍

1. Identifizieren Sie Vermögenswerte: Identifizieren Sie alle Ressourcen in Ihrem Hotel, die mit Zahlungskartendaten zu tun haben, z. B. Zahlungskartenterminals, Server und Datenbanken.
2. Identifizieren Sie Bedrohungen: Identifizieren Sie alle potenziellen Bedrohungen wie Datenschutzverletzungen, Malware-Infektionen, Insider-Bedrohungen usw.
3. Schwachstellen auswerten: Beurteilen Sie jedes Asset und ermitteln Sie seine Sicherheitslücken. Dies können beispielsweise schwache Passwörter oder veraltete Software sein.
4. Ermitteln Sie die Wahrscheinlichkeit und die Auswirkungen: Beurteilen Sie die Wahrscheinlichkeit und die Auswirkungen jeder Bedrohung und berücksichtigen Sie dabei den Wert der Zahlungskartendaten und den potenziellen Schaden für Ihr Hotel und Ihre Kunden.
5. Priorisieren Sie Risiken: Ordnen Sie Risiken anhand der von Ihnen ermittelten Wahrscheinlichkeit und Auswirkung ein und lösen Sie die schwerwiegendsten zuerst.
6. Entwickeln Sie Risikomanagementstrategien: Fügen Sie neue Sicherheitskontrollen hinzu, führen Sie Mitarbeiterschulungen durch oder beauftragen Sie externe Experten mit der Durchführung von Penetrationstests.
7. Implementierung und Überwachung der Kontrollen: Implementieren Sie die von Ihnen eingerichteten Kontrollen, überwachen und testen Sie sie anschließend kontinuierlich.

‍

Implementieren Sie ein Sicherheitsbewusstseinsprogramm

Eine der besten Möglichkeiten, Sicherheitsverstöße in Ihrem Hotel zu verhindern, ist die Schulung Ihrer Belegschaft. Wenn sich die Mitarbeiter der potenziellen Risiken bewusst sind, können sie Probleme schneller melden und vermeiden, Opfer von Betrug zu werden. Hier sind ein paar Möglichkeiten, wie Sie Ihr Programm zur Sensibilisierung für Sicherheit zusammenstellen können:

‍

1. Entwickeln Sie Ihre interne Datensicherheitsrichtlinie: Darin sollten die Erwartungen Ihrer Mitarbeiter und die Folgen einer Nichteinhaltung der PCI-Richtlinien dargelegt werden. Diese Richtlinie sollte regelmäßig überprüft und aktualisiert werden.
2. Führen Sie regelmäßig Schulungen durch: Informieren Sie Ihre Mitarbeiter über Sicherheitsbedrohungen wie Phishing-E-Mails, Social Engineering und physische Sicherheitsrisiken. Betrüger werden immer cleverer, daher ist es immer nützlich, individuellere Sicherheitsbedrohungen aufzuzeigen, falls sie überhaupt auftreten könnten.
3. Stellen Sie Ressourcen und Tools bereit: Geben Sie Ihren Mitarbeitern die Möglichkeit, das Hotel mit Passwortmanagern, Antivirensoftware und sicheren Messaging-Apps zu schützen. Stellen Sie ihnen auch E-Books und Hinweise zum Herunterladen im Hinterhaus zur Verfügung.
4. Ermutigen Sie zur Berichterstattung: Sorgen Sie für einen klaren, benutzerfreundlichen Meldeprozess, falls ein Mitarbeiter verdächtige Aktivitäten entdeckt. Die Mitarbeiter sollten wissen, an wen sie sich melden müssen oder wo sie einen Bericht erstatten müssen.
5. Führen Sie Phishing-Simulationen durch: Eine gute Möglichkeit, die Fähigkeit Ihrer Mitarbeiter zu testen, Betrug zu erkennen, besteht darin, regelmäßig gefälschte Phishing-E-Mails zu versenden. Wenn Sie wissen, wer Opfer wird und wer sich meldet, erhalten Sie eine gute Vorstellung davon, wer möglicherweise zusätzliche Schulungen benötigt.
6. Evaluieren und verbessern: Nehmen Sie regelmäßig Feedback von Mitarbeitern zur Wirksamkeit Ihres Sicherheitsbewusstseinsprogramms ein und verbessern Sie es kontinuierlich.

‍

Letzte Gedanken

Die PCI-Konformität ist für alle Hotels äußerst wichtig. Es hilft nicht nur, Betrug und Datenschutzverletzungen in Ihrem Hotel zu verhindern, sondern hilft Ihnen auch dabei, sich schneller zu erholen, Strafen bei Nichteinhaltung der PCI-Vorschriften zu vermeiden und Ihren Gästen ein beruhigendes Gefühl zu geben.

‍

Bleiben Sie PCI-konform, indem Sie von Papier- oder PDF-Autorisierungen auf digitale Dokumente umsteigen, eine interne Datensicherheitsrichtlinie erstellen, einen Reaktionsplan für Cybervorfälle erstellen, Risikobewertungen durchführen und ein Sicherheitsbewusstseinsprogramm implementieren.