Adyen

Die Integration von Corma mit Adyen stellt die Benutzer Ihres Adyen Customer Area unter die Identity Governance von Corma. Finanz-, Payment- und Sicherheitsteams wissen, wer Transaktionen sehen, Erstattungen auslösen oder Zahlungseinstellungen ändern kann, und können es gegenüber einem Prüfer belegen. Adyen ist eine globale Finanztechnologie-Plattform für Zahlungen, Daten und Finanzprodukte, mit der Unternehmen online, in Apps und im Geschäft Zahlungen annehmen.

Das Wichtigste in Kürze

• Adyen rechnet pro Transaktion ab, nicht pro Benutzer: Jedes überzählige Konto im Customer Area erhöht das Risiko, ohne dass Kosten auffallen.
• Zugriffe in Adyen kombinieren Rollen mit einem Kontoumfang: Ein Benutzer kann das Unternehmenskonto oder nur bestimmte Händlerkonten erhalten.
• PCI DSS v4 verlangt, Zugriffe ausgeschiedener Benutzer sofort zu entziehen und alle Benutzerkonten mindestens alle sechs Monate zu überprüfen.

Wie funktionieren Zugriffe im Adyen Customer Area?

In Adyen erhalten Benutzer Rollen, also Bündel von Berechtigungen, sowie Zugriff auf das Unternehmenskonto oder auf ausgewählte Händlerkonten. Admin-Rollen können Benutzer anlegen und die Rollen vergeben, die sie selbst haben. Die Multi-Faktor-Authentifizierung ist Pflicht, ausser der Benutzer meldet sich per SAML-Single-Sign-On an, und Offboarding heisst, den Benutzer zu deaktivieren. Der Zugriff auf das Unternehmenskonto ist der weiteste Umfang, den Adyen vergibt, und verdient deshalb die genaueste Prüfung.

Adyen empfiehlt ausserdem, mindestens einen Admin-Benutzer zu behalten, der sich nicht per SSO anmeldet. Dieses Notfallkonto ist legitim, sollte aber dokumentiert, einer namentlich genannten Person zugeordnet und wie alle anderen überprüft werden.

Schliesslich nutzt Adyen API-Zugangsdaten, also die Identitäten, mit denen Ihre Systeme Adyen aufrufen. Sie sind von menschlichen Benutzern getrennt: Diese nicht-menschlichen Identitäten gehören in denselben Review-Umfang.

Bei welchen PCI-DSS-Anforderungen hilft Corma?

• Anforderung 8.2.5, Zugriffe ausgeschiedener Benutzer werden sofort entzogen: Corma deaktiviert den Adyen-Benutzer im Offboarding-Workflow seiner Identity-Governance-Plattform.
• Anforderung 8.2.6, inaktive Benutzerkonten werden innerhalb von 90 Tagen entfernt oder deaktiviert: Corma überwacht die Nutzung des Customer Area und markiert Konten, die still geworden sind.
• Anforderung 7.2.4, Benutzerkonten und Zugriffsrechte werden mindestens alle sechs Monate überprüft: Corma führt automatisierte Access-Review-Kampagnen durch und bewahrt die Nachweise auf.

Diese Anforderungen stammen aus dem PCI-DSS-Standard des PCI Security Standards Council. Corma unterstützt die Kontrollen, und Ihr Assessor bestätigt weiterhin Ihre gesamte Compliance.

Häufige Fragen

Wie verbinde ich Corma mit Adyen?

Ein Adyen-Administrator autorisiert Corma über einen sicheren OAuth-Flow in etwa einer Minute, ohne Code und ohne Konfigurationsdateien. Corma beginnt dann mit der Synchronisierung der Benutzer im Customer Area.

Brauchen wir weiterhin Single Sign-On für Adyen?

Behalten Sie es, wenn Sie es nutzen. SSO regelt die Anmeldung, Corma regelt, ob jeder Benutzer im Customer Area und jede Rolle noch bestehen sollen.

Wie werden unsere Zahlungsdaten geschützt?

Corma fordert nur die Berechtigungen an, die für die Zugriffsverwaltung nötig sind, verschlüsselt Daten bei der Übertragung und im Ruhezustand, hostet sie in Frankreich auf AWS und ist nach ISO/IEC 27001:2022 zertifiziert.

Sie bereiten Ihr nächstes PCI-DSS-Assessment vor? Demo mit Corma buchen.