Qu'est-ce que la norme PCI DSS ?

Pour savoir si une organisation est vraiment conforme aux réglementations PCI-DSS, elle doit obtenir la certification PCI-DSS - la certification implique de suivre plusieurs bonnes pratiques. Les sociétés de cartes de crédit imposent des normes et se réunissent régulièrement pour examiner les meilleures pratiques et modifier les exigences en fonction de l'évolution du paysage de la cybersécurité.

La norme PCI-DSS définit un cadre que les organisations doivent suivre afin de s'assurer qu'elles sont certifiées. Voici quelques pratiques nécessaires à la certification PCI-DSS :

Bien que la plupart des règlements de conformité exigent de nombreux changements d'infrastructure et d'outils de sécurité, la norme PCI-DSS comporte très peu d'exigences, mais elles sont essentielles.

Toute erreur ou omission dans les exigences peut entraîner de lourdes amendes. Il est donc impératif que les organisations examinent les directives PCI-DSS et appliquent les contrôles appropriés à leur environnement.

Les sociétés de cartes de crédit imposent 12 exigences que les organisations doivent respecter pour rester conformes à la norme PCI-DSS. Les normes visent à protéger les données des titulaires de cartes.

Les exigences tournent donc autour des nombreuses façons dont les menaces enfreignent les défenses du réseau et permettent aux attaquants de voler des informations essentielles. Toute modification des exigences actuelles est annoncée et publiée par le Conseil de sécurité.

Les organisations doivent donc les revoir chaque année pour s'assurer qu'elles répondent en permanence aux exigences de conformité.

Les 12 exigences PCI-DSS sont les suivantes :

1. Installer des pare-feu et les configurer pour bloquer le trafic malveillant. La plupart des organisations ont déjà installé un pare-feu entre l'Internet extérieur et l'environnement interne, mais d'autres sont nécessaires dans les grands environnements où le Wi-Fi public est proposé et où les départements doivent être segmentés. Par exemple, les organisations utiliseront un pare-feu pour séparer les départements financiers et leurs données du département des ventes afin de protéger les données des titulaires de cartes.
2. Éviter d'utiliser les valeurs par défaut des fournisseurs pour les mots de passe système. Chaque ressource réseau est livrée avec le mot de passe par défaut du fabricant afin que les administrateurs puissent configurer le matériel pour qu'il fonctionne spécifiquement avec l'infrastructure de l'entreprise. Ces mots de passe sont ouvertement distribués au public, ce qui signifie que les attaquants peuvent accéder aux ressources du réseau sans obtenir d'informations d'identification. Après avoir connecté un composant au réseau, la première étape pour un administrateur est de changer le mot de passe par défaut par le sien. Il est préférable d'utiliser des mots de passe difficiles à deviner, mais faciles à retenir.
3. Protéger les données financières stockées des consommateurs. Cette exigence peut sembler évidente, mais toutes les organisations ne stockent pas les données des cartes de crédit et ne font pas le nécessaire pour assurer une sécurité de base. Par exemple, les données de carte stockées dans une base de données doivent être chiffrées et personne au sein de l'organisation ne doit y avoir un accès illimité. Toute demande d'accès doit être contrôlée et une piste d'audit doit être créée pour permettre de réagir en cas d'incident.
4. Les données financières transférées sur les réseaux publics doivent être chiffrées. Les données qui transitent par l'internet doivent être chiffrées pour éviter toute écoute clandestine. Les utilisateurs soumettent les informations relatives à leur carte de crédit sur un site de commerce électronique, et ces informations doivent être chiffrées. Les commerçants envoient les données relatives aux cartes de crédit à un processeur, et ces données doivent être chiffrées lorsqu'elles sont transmises aux services commerciaux. Certaines organisations portent la sécurité à un autre niveau et chiffrent le trafic au sein du réseau de l'entreprise.
5. Installer et maintenir un logiciel antivirus. Tous les serveurs et postes de travail de l'entreprise doivent être équipés d'un logiciel antivirus. Pour aller plus loin, tout appareil mobile qui stocke ou traite des données de cartes de crédit doit également être équipé d'un logiciel antivirus. La sécurité des points de terminaison est un défi plus récent pour les organisations depuis la popularité croissante des smartphones, mais elle devrait être une priorité pour les organisations prenant des paiements sur des appareils mobiles.
6. Ajouter des systèmes avec une protection des données en place. Les systèmes changent constamment et les administrateurs en ajouteront de nouveaux à mesure que l'entreprise se développe. Tout système installé dans l'infrastructure de l'entreprise doit être intégré en tenant compte de la sécurité. Toute nouvelle infrastructure doit être installée en intégrant la sécurité, et toute configuration doit être établie en tenant compte de la sécurité des données des cartes de crédit.
7. Utiliser les normes du moindre privilège pour l'accès aux données. Les utilisateurs ne doivent avoir accès aux données de cartes de crédit que si cela est nécessaire à l'exercice de leurs fonctions. Les menaces internes risquent d'exposer les données de cartes de crédit. Par conséquent, seuls les employés qui ont besoin d'un accès pour exercer leur fonction doivent y avoir accès. Dans certains cas, une partie du numéro de carte de crédit peut être masquée pour renforcer la sécurité. Par exemple, le personnel du service clientèle peut voir les quatre derniers chiffres d'un numéro de carte de crédit mais pas le numéro complet, tandis que le service de facturation peut voir le numéro complet pour aider les clients à modifier leur numéro de carte dans le dossier.
8. Enregistrer les demandes d'accès avec l'identifiant de l'utilisateur qui récupère les données de la carte de crédit. Qu'il s'agisse d'un compte compromis ou d'un initié malveillant, l'enregistrement de chaque demande d'accès avec l'identifiant de l'utilisateur laisse une piste d'audit. Les enquêteurs et les forces de l'ordre utilisent les pistes d'audit pour identifier un acteur malveillant, et elles aident les équipes de réponse aux incidents à identifier l'étendue des dommages et les consommateurs affectés par une violation de données.
9. Limiter l'accès physique aux données des cartes de crédit. Les serveurs qui stockent les données des cartes de crédit doivent être dotés de mesures de sécurité physique appropriées. Pour les organisations qui stockent des données de carte de crédit dans le cloud, le fournisseur de cloud doit fournir des politiques conformes aux normes PCI-DSS. La sécurité physique doit également consigner les demandes d'accès à l'infrastructure afin de créer une piste d'audit.
10. Consigner et surveiller les demandes d'accès aux ressources réseau stockant des données de cartes de crédit. La surveillance de l'accès aux données est une composante de plusieurs règlements de conformité. Les journaux et la surveillance vont de pair avec la sécurité et la protection des données. Les journaux suivent les événements de demande d'accès et les outils de surveillance utilisent ces événements pour identifier les anomalies qui déclenchent des notifications envoyées aux administrateurs. Les analystes utilisent la surveillance pour réagir rapidement aux incidents en cours afin de les contenir et de limiter les dommages causés par une violation.
11. Tester les systèmes et les procédures de sécurité. Il arrive que les systèmes de sécurité tombent en panne ou qu'ils ne fonctionnent pas comme prévu. Il est donc important que les administrateurs testent régulièrement les contrôles de sécurité dans l'ensemble de l'environnement. Certaines organisations organisent des événements de sécurité au cours desquels elles offrent des prix aux employés qui trouvent des ressources vulnérables. En plus des tests annuels, les administrateurs doivent examiner la documentation relative à la conformité PCI-DSS afin d'y déceler tout changement.
12. Documenter les politiques de sécurité et les distribuer aux employés. Les employés ne peuvent pas suivre les politiques de sécurité s'ils ne savent pas quelles politiques ils doivent suivre. La norme PCI-DSS exige des employeurs qu'ils documentent les politiques de sécurité afin que les employés puissent faire référence à ce qui doit être fait et identifier les moyens appropriés de traiter les données des clients.

La plupart des meilleures pratiques PCI-DSS suivent les exigences, mais les organisations peuvent mettre en place des politiques supplémentaires pour améliorer la sécurité.

Voici quelques pratiques supplémentaires que les organisations devraient envisager :