Conformité à la norme PCI-DSS
La norme PCI-DSS existe parce que les données des cartes constituent une cible spécifique et bien connue, et la norme en tient compte : elle est détaillée, normative et intransigeante quant à son champ d’application. La plupart des missions PCI sur lesquelles j’ai travaillé n’ont pas échoué parce qu’un contrôle était impossible à mettre en œuvre — elles ont rencontré des difficultés parce que personne n’avait correctement cartographié les flux réels des données des titulaires de cartes, ce qui signifie que le champ d’application de « ce qui doit être conforme » était soit trop large pour être applicable, soit trop restreint pour être réaliste.
Le champ d’application d’abord, toujours
Avant d’aborder les pare-feu, le chiffrement ou la journalisation, je souhaite disposer d’un véritable diagramme de flux de données : où les données de carte pénètrent dans votre environnement, chaque système qui les traite ou pourrait les traiter, chaque tiers intervenant dans la chaîne, et chaque point où la segmentation est censée isoler l’environnement des données des titulaires de carte du reste du système. Une segmentation qui semble efficace sur un schéma de réseau et une segmentation qui résiste réellement à un test d'intrusion sont deux choses différentes, et la norme PCI exige cette dernière.
Comment je procède lors d’une évaluation
Une fois le périmètre bien défini, je passe en revue les douze exigences par rapport à ce qui est réellement en place : configuration des pare-feu et des routeurs, identifiants par défaut, chiffrement des données en transit et au repos, contrôle d’accès et principe du moindre privilège, journalisation et surveillance, gestion des vulnérabilités, ainsi que les politiques censées relier tous ces éléments entre eux. Je recherche les lacunes qui ont tendance à se cacher à la vue de tous : un système de point de vente géré par un fournisseur pour lequel personne n’applique de correctifs, une sauvegarde qui stocke les données de cartes bancaires non chiffrées, une durée de conservation des journaux qui ne répond pas réellement à l’exigence, ou encore des contrôles d’accès qui existent sur le papier mais ne sont pas mis en pratique.
Que vous ayez besoin d’un questionnaire d’auto-évaluation ou d’un rapport complet sur la conformité établi par un évaluateur de sécurité agréé, je vous aide à mettre votre environnement en ordre avant le début de l’évaluation formelle, afin que l’audit confirme ce qui est déjà vrai plutôt que de mettre en évidence des problèmes dont vous entendez parler pour la première fois.
À qui s'adresse ce document ?
Les commerçants et prestataires de services qui traitent, stockent ou transmettent des données de titulaires de cartes, les entreprises dont l’activité a dépassé le périmètre PCI initial sans qu’elles aient mis à jour leur programme de conformité en conséquence, ainsi que toute personne à qui une banque acquéreuse ou un prestataire de services de paiement a indiqué qu’il était temps de prendre cette question au sérieux.
Si votre diagramme de périmètre est obsolète — ou s’il n’existe pas —, c’est par là qu’il faut commencer. Contactez-moi.