PCI DSS

Qu’est-ce que PCI-DSS ?

PCI DSS signifie Payment Card Industry Data Security Standard ( Standard de sécurité des données des cartes de paiement), et constitue un ensemble de normes de sécurité de l’information destinées à toute organisation qui gère et accepte des cartes de crédit de marque des principaux réseaux de cartes de crédit — American Express, Discover Financial Services, JCB International, MasterCard et Visa. PCI DSS existe depuis 2006 et les organisations concernées sont actuellement tenues de se conformer à PCI DSS 3.2.1. Les entreprises et sociétés qui respectent les normes PCI de sécurité des données sont plus dignes de confiance auprès de leurs clients, ce qui leur assure de protéger les informations sensibles. Le non-respect de ces normes peut entraîner des violations de sécurité et, par conséquent, de lourdes pertes en chiffre d’affaires et en fidélité client.

Une nouvelle version, la PCI DSS 4.0, est actuellement en phase de RFC (request for comments) et devrait être achevée à la mi-2021. Selon le Conseil PCI, la norme PCI DSS 3.2.1 restera active pendant 18 mois, une fois que tous les documents de la norme PCI DSS 4 auront été publiés.

La norme PCI est appliquée par les réseaux de cartes et les entreprises qui utilisent les interactions des cartes, mais elle est gérée par le Conseil des normes de sécurité de l'industrie des cartes de paiement (Payment Card Industry Security Standards Council). Le Conseil des normes de sécurité veille à ce que toutes les informations et politiques de conformité soient à jour et fournissent les informations les plus précises et les plus utiles aux entreprises.

Qui doit se conformer à la norme PCI DSS ?

L'objectif de la norme de sécurité des données PCI (PCI DSS) est de protéger les données des titulaires de cartes (CHD) et les données d'authentification sensibles (SAD) partout où elles sont traitées, stockées ou transmises. Toutes les organisations qui stockent, traitent ou transmettent des données relatives aux titulaires de cartes doivent assurer la sécurité des paiements.

Les normes de sécurité PCI comprennent des exigences techniques et opérationnelles pour :

• Organismes acceptant ou traitant des transactions de paiement
• Développeurs de logiciels et fabricants d'applications et d'appareils utilisés dans ces transactions

PCI 3.2.1, publiée en mai 2018, est la version actuelle à laquelle les organisations couvertes doivent se conformer.

La validation de la conformité est effectuée annuellement ou trimestriellement, selon une méthode adaptée à la désignation du niveau marchand de l'organisation, qui est fonction du volume annuel des transactions par carte de crédit traitées.

Résumé des niveaux marchands PCI et des exigences en matière d'audit et de rapports

Le tableau ci-dessous donne une vue d'ensemble des niveaux PCI pour les commerçants, des architectures de paiement généralement utilisées à chaque niveau et des exigences correspondantes en matière d'audit et d'établissement de rapports PCI. Note : Il existe des différences subtiles dans les critères de référence au niveau du commerçant entre les sociétés de cartes de crédit. Il est donc conseillé aux lecteurs de consulter leurs conseillers PCI et leurs partenaires QSA pour obtenir une évaluation précise des exigences qui s'appliquent à leur organisation. 

12 exigences de la norme PCI DSS

La norme PCI DSS 3.2.1 comprend 6 objectifs, 12 exigences, 78 exigences de base et plus de 400 procédures de test. Le tableau ci-dessous résume les objectifs de la norme PCI DSS et les exigences correspondantes. Pour plus de détails sur les sous-exigences et les tests, le lecteur est invité à consulter le guide de référence de la norme PCI DSS.

Risques potentiels liés à la non-conformité aux normes PCI

La norme PCI DSS existe depuis plus de 12 ans, mais de nombreuses organisations continuent d'être confrontées à des conclusions négatives critiques lors des audits. Une poignée d'organisations continuent également à signaler qu'elles ont été victimes d'une violation de données, même après avoir récemment passé avec succès un audit PCI. L'essentiel à retenir est que la conformité ne signifie pas nécessairement que les données et les applications sont sécurisées. La conformité doit être considérée comme la base de référence, et les organisations doivent également se concentrer sur l'identification et l'atténuation des vecteurs de menace qui ne sont pas nécessairement couverts par leurs mandats de conformité.

Il s'agit des défis les plus courants en matière de conformité à la norme PCI :

1. Il faut gérer la portée et contrôler le coût des audits PCI. Le Conseil de sécurité du PCI a publié un guide pour la définition du périmètre et la segmentation du réseau. Le document propose un cadre pour aider les organisations couvertes à identifier les composants CDE (environnement de données pour titulaires de carte), les systèmes connectés PCI et à impact sur la sécurité PCI, ainsi que les composants hors champ de contrôle. Malheureusement, la mise en œuvre du cadre de cadrage et de segmentation est difficile pour de nombreuses organisations en raison de la nature de plus en plus dynamique et complexe des environnements de datacenters et des architectures de paiement. S’appuyer sur des cartes statiques, ponctuelles de données et des flux réseau pour remplir et maintenir l’inventaire des composants PCI, combiné à des pratiques incohérentes de gestion des modifications informatiques et des modifications du pare-feu , conduit à des erreurs de cadrage et de segmentation, ce qui entraîne à son tour des échecs d’évaluation PCI et des coûts d’audit plus élevés.
2. Incapacité à maintenir continuellement sa conformité en matière de sécurité PCI et sa posture de segmentation. Les normes PCI sécurité exigent que les organisations maintiennent continuellement leur posture de segmentation PCI et veillent à ce qu’elle soit continuellement conforme aux exigences PCI et aux exigences de base. Des architectures dynamiques et complexes de datacenters et de paiement, combinées à des désalignements entre les processus de sécurité et les opérations informatiques, entraînent des failles en matière de sécurité et de contrôle. En raison des pratiques informatiques, les composants PCI finissent souvent par se mélanger avec des composants non PCI au sein de la même zone, VLAN ou sous-réseau, sans contrôles supplémentaires pour restreindre le trafic vers le CDE. Dans certains cas, la déconnexion entre la gestion des modifications informatiques, la provisionnement des ressources et la gestion des modifications du pare-feu entraîne un inventaire incorrect des systèmes connectés PCI dans le champ d’application et des règles de pare-feu mal configurées. Une mauvaise gestion des vulnérabilités et des processus de gestion des correctifs empêche également une organisation de maintenir continuellement sa posture de sécurité PCI. Le rapport Verizon Payment sécurité propose un examen détaillé des tendances en matière de sécurité des paiements et des défis critiques auxquels les organisations continuent de faire face. Verizon publie ce rapport chaque année depuis 2010. Dans le rapport de 2020, les auteurs concluent que les exigences PCI suivantes présentent les plus grands écarts de contrôle :
3. Req 11. Tester les systèmes et les processus de sécurité
4. Req 5. Protéger contre les logiciels malveillants
5. Req 10. Suivre et contrôler l'accès
6. Req 12. Gestion de la sécurité
7. Req 8. Authentifier l'accès
8. Req 1. Installer et maintenir une configuration de pare-feu
9. Avoir des réseaux plats. Il est surprenant de constater que de nombreuses organisations continuent aujourd'hui à utiliser des réseaux plats parce qu'ils sont simples à architecturer et faciles à exploiter et à entretenir. Toutefois, un réseau plat signifie que tout ce qui se trouve dans l'environnement (y compris les composants non connectés à PCI et non CDE) est dans le champ d'application de PCI, ce qui entraîne des coûts d'audit PCI plus élevés. Un réseau plat signifie également que si un acteur malveillant parvient à compromettre un seul hôte, il peut ensuite facilement traverser le réseau et accéder aux applications de paiement et à la base de données des titulaires de cartes.
10. Nécessité de sécuriser la transition vers le modèle de fonctionnement du travail à distance. Au fur et à mesure que les organisations passent à un modèle de travail entièrement à distance, elles doivent évaluer comment ces changements affectent la portée de leur environnement PCI et quels contrôles supplémentaires elles doivent mettre en œuvre pour contrôler le trafic légitime vers le CDE. Les exemples incluent la sécurisation de l'accès à distance légitime des administrateurs autorisés aux applications de paiement à partir des ordinateurs portables des employés, la sécurisation de l'assistance à la clientèle et de la facturation à distance, et la sécurisation des connexions autorisées sur site, sans contact, entre les kiosques sans contact orientés vers l'internet et les applications du centre de données.

Quels sont les défis courants liés à la mise en œuvre de la norme de sécurité des données PCI ?

La visibilité en temps réel des charges de travail, des utilisateurs, des appareils et de leurs connexions et flux est importante :

• Veiller à ce que la portée de l'environnement PCI soit actualisée et précise, ce qui signifie que les règles de segmentation et de pare-feu sont correctement appliquées.
• Fournir des informations précieuses pour les analyses trimestrielles obligatoires des vulnérabilités internes et utiliser ces informations pour cartographier les voies d'attaque latérales potentielles associées aux vulnérabilités.
• surveiller en permanence l'environnement PCI pour détecter les changements dans les charges de travail, les dispositifs, les utilisateurs, les connexions et les tentatives de connexion infructueuses qui pourraient être des indicateurs d'une attaque potentielle.
• Identifier les changements dans la surface d’attaque et les vecteurs de menace qui ne sont pas nécessairement couverts par les exigences de conformité PCI.

L'importance de la visibilité en temps réel pour une conformité efficace à la norme PCI DSS

• La visibilité en temps réel aide à garantir la précision du scope PCI en surveillant en continu toutes les connexions des systèmes CDE, PCI-connecté et PCI impactant la sécurité, tous relevant du champ PCI. Une organisation peut alors appliquer une microsegmentation basée sur l’hôte pour appliquer les règles de pare-feu applicables afin de restreindre le trafic entrant et sortant vers l’environnement PCI uniquement à ceux qui sont « autorisés » ou « légitimes ». (Exigence 1)
• Le maintien permanent d'une segmentation efficace et précise de l'environnement PCI permet de contrôler les coûts d'audit PCI.
• L'élimination des règles de pare-feu mal configurées et obsolètes réduit l'exposition d'une organisation couverte à une violation potentielle des données.
• Profitez de l'intégration avec les outils d'automatisation informatique (comme Chef, Puppet, Ansible, Terraform) pour vous assurer que les politiques de segmentation sont provisionnées, en même temps que le provisionnement des ressources de charge de travail et la mise en production de l'environnement.
• La visibilité en temps réel aide l’organisation à évaluer les changements apportés au périmètre PCI lors de la transition vers le télétravail. Cela aide l’organisation à identifier les lacunes de contrôle critiques et les vecteurs d’attaque potentiels. Les organisations peuvent alors appliquer une microsegmentation basée sur l’hôte pour restreindre les connexions pair-à-pair entre les appareils domestiques et les ordinateurs portables de l’utilisateur distant, et pour contrôler les connexions utilisateur-application des datacenters.
• Contrôlez les connexions entre les charges de travail, les utilisateurs et les périphériques PCI autorisés qui sont dispersés dans plusieurs VLAN, zones et sous-réseaux, et suivez les changements des opérations informatiques, sans réarchitecture de l'environnement réseau.
• Dans les environnements cloud-native et greenfield, les organisations peuvent profiter de l’intégration avec les plateformes d’orchestration de conteneurs pour fournir des « politiques de segmentation » au moment de la création d’une charge de travail.
• En plus de respecter directement les exigences de conformité PCI, une organisation peut appliquer la microsegmentation pour réduire sa surface d’attaque, entraver le mouvement latéral et contenir la propagation rapide des rançongiciel.

Utiliser la microsegmentation basée sur l’hôte pour relever vos défis de conformité PCI et de cybersécurité

• La visibilité en temps réel permet de garantir l'exactitude du champ d'application PCI en surveillant en permanence toutes les connexions du CDE, les systèmes connectés au PCI et les systèmes ayant un impact sur la sécurité du PCI, qui sont tous dans le champ d'application du PCI. Une organisation peut alors appliquer une micro-segmentation basée sur l'hôte pour mettre en œuvre les règles de pare-feu applicables afin de restreindre le trafic entrant et sortant vers l'environnement PCI uniquement à ceux qui sont "autorisés" ou "légitimes". (Exigence 1)
• Le maintien permanent d'une segmentation efficace et précise de l'environnement PCI permet de contrôler les coûts d'audit PCI.
• L'élimination des règles de pare-feu mal configurées et obsolètes réduit l'exposition d'une organisation couverte à une violation potentielle des données.
• Profitez de l'intégration avec les outils d'automatisation informatique (comme Chef, Puppet, Ansible, Terraform) pour vous assurer que les politiques de segmentation sont provisionnées, en même temps que le provisionnement des ressources de charge de travail et la mise en production de l'environnement.
• La visibilité en temps réel aide l’organisation à évaluer les changements apportés au périmètre PCI lors de la transition vers le télétravail. Cela aide l’organisation à identifier les lacunes de contrôle critiques et les vecteurs d’attaque potentiels. Les organisations peuvent alors appliquer une intégration basée sur l’hôte pour restreindre les connexions pair-à-pair des appareils domestiques vers les ordinateurs portables de l’utilisateur distant, et pour contrôler les connexions utilisateur-application des datacenters.
• Contrôlez les connexions entre les charges de travail, les utilisateurs et les périphériques PCI autorisés qui sont dispersés dans plusieurs VLAN, zones et sous-réseaux, et suivez les changements des opérations informatiques, sans réarchitecture de l'environnement réseau.
• Dans les environnements "cloud-native" et "greenfield", les entreprises peuvent tirer parti de l'intégration avec les plateformes d'orchestration de conteneurs pour fournir des "politiques de segmentation" à la naissance d'une charge de travail.
• En plus de respecter directement les exigences de conformité PCI, une organisation peut appliquer la microsegmentation pour réduire sa surface d’attaque, entraver les mouvements latéraux et contenir la propagation rapide des rançongiciels.

En savoir plus

Commencez dès maintenant à mettre en œuvre les mesures nécessaires pour vous conformer à la norme PCI et protéger vos clients et votre entreprise.

Découvrez comment la microsegmentation peut aider à réduire votre portée PCI DSS et à atteindre la conformité avec notre livre blanc, « Trois étapes pour segmenter efficacement votre conformité PCI ».