PCI DSS v4.0 verlangt ein tieferes Verständnis, mehr Nachweise und eine größere Konsistenz als frühere Versionen des Standards. PCI DSS verpflichtet Organisationen, sechs Ziele und zwölf Anforderungen in Bezug auf alle Systeme, Benutzer und Prozesse zu erfüllen, die Karteninhaberdaten und sensible Authentifizierungsdaten speichern, verarbeiten, übertragen oder beeinflussen können. Dies gilt für alles innerhalb einer erweiterten Karteninhaberdatenumgebung (CDE), einschließlich indirekt verbundener Systeme.
PCI DSS 4.0 behält diese Ziele bei, erhöht aber den Standard für deren Umsetzung. Es erfordert die regelmäßige Überprüfung der kontinuierlichen Kontrollvalidierung und einen stärkeren Nachweis durch dokumentierte Belege, ein klares Kontrolldesign und eine konsequente Durchsetzung. Es erweitert den Anwendungsbereich durch obligatorische Datenermittlung, erzwingt die Multi-Faktor-Authentifizierung (MFA) für alle CDE-Zugriffe, verschärft die Authentifizierungskontrollen und führt Flexibilität durch kundenspezifische Ansätze ein, was den Begründungsaufwand erhöht. Es gibt weitere Erwartungen wie risikobasierte Kontrollhäufigkeit, Sicherheit von Zahlungsskripten, aktualisierte Penetrationstests, verbesserte Reaktion auf Sicherheitsvorfälle, auf Phishing ausgerichtete Schulungen sowie erweiterte Protokollierung und Überwachung, die die operative Komplexität erhöhen.
