Certification PCI DSS - De la complexité à la simplicité
←
→
Transcription du contenu de la page
Si votre navigateur ne rend pas la page correctement, lisez s'il vous plaît le contenu de la page ci-dessous
Livre blanc, août 2013
Par Peer1 et CompliancePoint
www.peer1.fr
Certification PCI DSS
De la complexité à la simplicitéTable des
matières
Introduction 1
Des entreprises perdent des données client 1
Les clients sont informés de ces pertes 1
Le secteur des cartes bancaires souffre 1
Qu’est-ce que la certification PCI ? 2
Autres normes du secteur 2
Champ d’application de la norme PCI DSS 2
Idées reçues et préjugés sur la certification PCI DSS 4
…et l’idée reçue la plus dangereuse :
qui dit certification dit sécurité
À qui s’adresse la norme PCI DSS ? 4
Évaluations PCI DSS 5
Absence de certification : risques et implications 5
Coût des atteintes à la sécurité des données 5
Autres conséquences des atteintes à la sécurité des données 5
Avantages concurrentiels associés à la certification PCI DSS 6
Trouver un fournisseur de services Cloud certifié PCI DSS 6
Critères à prendre en considération
pour sélectionner un hébergeur 6
Critères de performance supplémentaires à retenir
pour choisir un hébergeur 7
Conclusions et appel à l’action 7
À propos de CompliancePoint 8Introduction « Il n’y a rien de pire qu’une mauvaise publicité », lit-on parfois. Pourtant, il y a pire encore : l’atteinte à la sécurité des cartes bancaires. Des entreprises perdent des données client Le 21 mai 2013, le St. Louis Post-Dispatch, journal du Missouri (États-Unis), indiquait que « au moins trois plaintes [avaient] été déposées contre [une chaîne d’épiceries du Middle West] après la divulgation d’actes de piratage impliquant environ 2,4 millions de cartes bancaires utilisées dans 79 magasins, de début décembre à fin mars. » Le titre de l’article indiquait que ces actes de piratage pourraient coûter 80millions de dollars à la chaîne rien que pour l’état de l’Illinois. Parfois, un article de journal n’a même pas besoin de citer des chiffres pour faire prendre conscience de la gravité de la situation. « Le gouvernement américain porte plainte contre [une chaîne hôtelière importante] suspectée de ne pas avoir protégé correctement les données bancaires de ses clients », pouvait-on lire dans un article du Huffington Post daté du 26 juin 2012. Les clients sont informés de ces pertes Les incidents de ce type ne sont pas rares. Selon le site PrivacyRights.org, plus de 607 472 154 personnes ont été victimes d’atteinte à la sécurité de leurs données depuis janvier 2005. Ce nombre est supérieur à la population actuelle des États- Unis. Un article paru récemment dans le magazine Forbes indiquait que le nombre d’atteintes à la sécurité des données avait atteint son record – 1 611 – en 2012. Ce nombre marque une augmentation de 48 pour cent par rapport à 2011. Les consommateurs sont inquiets. Selon le même article, s’ils recevaient une notification d’atteinte à la sécurité de leurs données en 2010, la probabilité qu’ils soient effectivement victimes de fraude était alors de un sur neuf. Aujourd’hui, cette probabilité est de un sur quatre. Un rapport d’investigation publié en 2013 par Verizon sur le thème des atteintes à la sécurité des données analyse 47 000 incidents signalés et 621 atteintes à la sécurité confirmées pour l’année 2012. Ces incidents ont été pris parmi les 44 millions enregistrés pour cette même année. La créativité croissante des criminels n’explique que partiellement ces chiffres. Bien que les catastrophes telles que celles mentionnées précédemment soient souvent évoquées publiquement, de nombreuses entreprises restent impassibles et ne prennent pas les mesures requises pour protéger leurs propres données. Pourtant, elles s’exposent inutilement à des risques financiers et juridiques, à des amendes et à bien d’autres problèmes qu’elles pourraient éviter. Le secteur des cartes bancaires souffre Au mois de février 2012, le Huffington Post relatait également les mésaventures d’une société de traitement de cartes bancaires : « Visa Inc. a rayé une société de traitement de cartes bancaires impliquée dans une série d’atteintes à la sécurité des données de grande ampleur de sa liste de fournisseurs respectant ses normes pour la sécurité des données. » Livre blanc : Certification PCI DSS Page 1
« [Le PDG de cette grande société de traitement de paiements] indique que la
société continue de traiter des transactions Visa mais que le fait d’être rayé de cette
liste risque de rendre ses partenaires réticents à traiter avec une entreprise qui a
subi une atteinte à la sécurité des données. »
« [Le PDG] a déclaré qu’il s’attendait à ce que [la société de traitement de paiements]
soit réintégrée à cette liste lorsqu’un nouveau rapport de conformité serait publié. Il s’est
cependant refusé à fixer une date. Il a affirmé que la situation était « parfaitement contenue »
mais que l’enquête se poursuivait et que certains points devaient encore être éclaircis. »
Le secteur des cartes bancaires a élaboré un plan de riposte pour lutter contre les pirates.
Si votre entreprise reçoit des paiements par carte bancaire de ses clients – et ne veut pas
subir les mêmes mésaventures que la société de traitement de paiements mentionnée
précédemment – lisez ce qui suit pour découvrir comment participer à cette riposte.
Qu’est-ce que la certification PCI ?
Les normes PCI DSS (Payment Card Industry Data Security Standards) sont un
ensemble de normes auxquelles le secteur des cartes bancaires et les entreprises
associées se conforment pour renforcer les contrôles sur les données bancaires, et
pour réduire les fraudes à la carte bancaire via l’exposition de ces données.
La norme PCI a été créée en réponse à une augmentation du nombre d’actes de
fraude, avec en parallèle une augmentation des détournements de cartes d’identité
et de carte bancaires. L’inefficacité de la réglementation des pouvoirs publics n’a
fait qu’accroître ces problèmes. Aussi le secteur des cartes bancaires a-t-il créé la
certification PCI DSS pour protéger ses intérêts professionnels.
Autres normes du secteur
Tous les acteurs du secteur des cartes bancaires doivent être sensibilisés à la certification
PCI DSS, mais d’autres normes peuvent également s’appliquer à certains d’entre eux.
Norme Acteurs affectés
PCI DSS (Payment Card Industry Data Toutes les sociétés qui saisissent, transmettent,
traitent ou stockent des données de cartes
Security Standard)
bancaires
PA DSS (Payment Application Data Tous les fournisseurs de logiciels qui développent,
vendent et fournissent sous licence des
Security Standard)
applications qui saisissent, transmettent, traitent
ou stockent des données de cartes bancaires
PTS (PIN Transaction Security) Tous les fournisseurs de terminaux de
transactions par carte bancaire ou code PIN
Champ d’application de la norme PCI DSS
La norme PCI DSS vise tous les composants système et tous les processus métier
qui stockent, traitent ou transmettent des données bancaires. Elle s’intéresse à :
1. L’endroit par lequel les données entrent dans une entreprise.
2. L’endroit où ces données sont stockées.
3. L’utilisation que font les entreprises des données qu’elles traitent.
4. La manière dont les données sortent des entreprises.
Livre blanc : Certification PCI DSS Page 2Pour sécuriser les données à chacune de ces étapes, les entreprises doivent
prendre des précautions spécifiques à différents niveaux :
• Segmentation du réseau (Firewalls/listes de contrôle d’accès)
• Architecture tier-N adaptée (serveurs d’applications/de bases de données)
• Contrôle physique
• Flux de travail/procédures métier
La norme PCI DSS englobe 12 exigences, subdivisées en 6 catégories
Domaine Exigence
Élaborer et gérer Exigence 1 : Installer et gérer un Firewall
un réseau sécurisé pour protéger les données bancaires.
Exigence 2 : Ne pas utiliser les
paramètres par défaut du fournisseur
pour les mots de passe système et les
autres options de sécurité.
Protéger les données bancaires Exigence 3 : Protéger les données
bancaires stockées
Exigence 4 : Crypter la transmission
des données bancaires sur les réseaux
publics ouverts
Mettre en œuvre un programme de Exigence 5 : Utiliser un antivirus et le
gestion des vulnérabilités mettre à jour régulièrement
Exigence 6 : Développer et gérer des
systèmes et des applications sécurisés
Implémenter des mesures strictes Exigence 7 : Restreindre l’accès aux
de contrôle d’accès données bancaires grâce au principe
« besoin de connaître »
Exigence 8 : Attribuer un identifiant
unique à chaque personne ayant accès à
un ordinateur
Exigence 9 : Restreindre l’accès physique
aux données bancaires
Suivre et tester régulièrement les Exigences 10 : Tracer et suivre tous les
réseaux accès aux ressources du réseau et aux
données bancaires
Exigence 11 : Tester régulièrement les
systèmes et les processus de sécurité
Gérer une stratégie de sécurité des Exigence 12 : Mettre en œuvre une
informations stratégie répondant aux problèmes
de sécurité de l’information pour les
salariés et les prestataires
Livre blanc : Certification PCI DSS Page 3Idées reçues et préjugés sur la certification PCI DSS
Bien qu’un certain nombre de sources crédibles accessibles gratuitement
expliquent ce qu’est la norme PCI DSS, certaines incompréhensions continuent de
circuler. En voici un aperçu :
• Si j’utilise une application certifiée PCI DSS, je suis certifié PCI DSS.
• Si je passe par un fournisseur de services certifié PCI DSS, je suis certifié PCI DSS.
• Je ne traite pas suffisamment de transactions par carte bancaire pour avoir
besoin de la certification PCI DSS.
• Mon entreprise a rempli un questionnaire SAQ, donc elle est certifiée PCI DSS.
• Si je ne stocke pas de données bancaires, je n’ai pas besoin d’être certifié PCI DSS.
… et l’idée reçue la plus dangereuse : qui dit certification dit sécurité
La certification peut être considérée comme l’une des composantes de la
sécurité, mais elle ne garantit pas à elle seule la sécurité de vos données.
La certification PCI DSS s’intéresse uniquement aux applications et à l’infrastructure
informatique qui affectent les données bancaires. Si votre entreprise a d’autres
données sensibles ou à fort impact, vous devez les sécuriser par d’autres moyens.
À qui s’adresse la norme PCI DSS ?
Quelle que soit leur taille, tous les commerçants qui permettent à leurs clients de
régler par carte bancaire doivent au moins avoir connaissance de la norme PCI DSS.
La norme PCI DSS distingue les « niveaux de commerçants » suivants pour prendre en
considération les commerçants qui acceptent des paiements par carte bancaire. (Les
exigences associées à chaque niveau sont sujettes à des révisions et modifications
périodiques.) En fonction de leur niveau, les commerçants doivent satisfaire à des
exigences spécifiques pour être certifiés PCI DSS.
Niveau de
Critères Exigences
commerçant
• Tout commerçant qui traite au
moins 6 millions de transactions
par carte bancaire par an
• Tout commerçant qui a été victime
de piratage ou d’une attaque
1 • Évaluation annuelle sur site de
compromettant la sécurité des
la sécurité des données PCI DSS
données bancaires
par un QSA (Qualified Security
• Tout prestataire de services qui Assessor)
traite plus de 300 000 transactions
• Scans de réseau trimestriels
par carte bancaire par an
effectués par un ASV (Approved
Scanning Vendor)
• Tout commerçant qui traite au
moins 1 million de transactions par
carte bancaire par an
2
• Tout prestataire de services
qui traite moins de 300 000
transactions par an
• Tout commerçant e-commerce • SAQ (Self-Assessment
3 qui traite moins de 1 million de Questionnaire) rempli par le
ransactions par an commerçant
• Tout commerçant qui traite moins • Scans de réseau trimestriels
4 de 1 million de transactions par an effectués par un ASV (Approved
Scanning Vendor)
Livre blanc : Certification PCI DSS Page 4Évaluations PCI Les évaluations de certification PCI DSS couvrent trois domaines principaux : • Contrôles administratifs – politique de contrôle et procédures • Contrôles techniques – infrastructure informatique et de sécurité • Sécurité physique Absence de certification : risques et implications L’absence de certification PCI DSS peut accroître considérablement le risque d’atteintes à la sécurité des données, avec les conséquences que cela entraîne. Coût des atteintes à la sécurité des données Selon CompliancePoint, le coût de l’atteinte à la sécurité des données s’élève à 354 USD par enregistrement impliqué. Ce coût se décompose de la manière suivante : Poste de coût Coût Découverte, réponse, notification 50$ Coût de productivité salarial 30$ Amendes réglementaires 60$ Restitution 30$ Remplacement de carte bancaire 35$ Exigences de sécurité et d’audit 10$ Perte d’opportunité – client 139$ Total/enregistrement 354$ Autres conséquences des atteintes à la sécurité des données Les atteintes à la sécurité des données peuvent avoir encore d’autres coûts, parmi lesquels : • coûts des procédures judiciaires • risque de débits compensatoires • publicité négative des médias • perte d’opportunités commerciales • amendes et augmentation des frais de transactions facturés par les sociétés de cartes bancaires • entachement de la réputation de l’entreprise et affaiblissement de son assise financière • détérioration de l’image de marque de l’entreprise, due à un manque de confiance au sein de ses effectifs et à l’extérieur Livre blanc : Certification PCI DSS Page 5
Avantages concurrentiels associés à la
certification PCI DSS
La certification PCI DSS permet à un commerçant de renforcer la confiance de
ses clients et prospects et de ses partenaires commerciaux actuels et potentiels.
De nombreuses entreprises abandonnent aujourd’hui les data centres internes
au profit des fournisseurs de services Cloud. Votre certification PCI DSS inspire
confiance à vos clients. Pour préserver ce capital confiance, vous devez choisir
un fournisseur de services lui aussi certifié PCI DSS. Sinon, votre entreprise ne
pourra pas utiliser les serveurs de votre fournisseur de services pour ses données
bancaires sans risquer de compromettre sa propre certification PCI DSS.
Trouver un fournisseur de services Cloud
certifié PCI DSS
Vous avez besoin d’un fournisseur de services Cloud certifié PCI DSS ? Ne cherchez
plus : rendez-vous simplement sur le site de CIS Security Benchmarks (http://
benchmarks.cisecurity.org/membership/roster/). Les membres de cette communauté
se sont regroupés pour mettre en place des environnements informatiques toujours
plus sûrs. Comme l’indique le site Web de CIS Security Benchmarks :
CIS Security Benchmarks, division de CIS, est reconnue comme une autorité
indépendante et digne de confiance facilitant la collaboration des experts des
secteurs public et privé, afin d’établir un consensus sur des solutions pratiques
et applicables. De par cette réputation, nos ressources sont recommandées
pour leur capacité à renforcer les systèmes, et elles font référence dans le
secteur. Elles sont utilisées par les entreprises concernées par les certifications
FISMA, PCI DSS et IPAA et par les autres exigences de sécurité.
Peer 1 Hosting met à la disposition de ses clients des installations, des pratiques
d’administration et une infrastructure conçues pour satisfaire aux exigences très
strictes de la norme PCI DSS 2.0. Nous sommes également audités régulièrement
par CompliancePoint, une entreprise indépendante.
Critères à retenir pour sélectionner un hébergeur
Si vous avez besoin d’une liste de points à contrôler pour choisir un fournisseur
certifié PCI DSS, nous vous suggérons de lire la page 11 du supplément
d’informations (en anglais) « Information Supplement: PCI DSS Cloud Computing
Guidelines », rédigé par le groupe d’intérêt spécial Cloud du PCI Security
Standards Council.
La liste ci-dessous rappelle les meilleures pratiques recommandées dans ce
document :
1. Installer et gérer un Firewall pour protéger les données bancaires.
2. N e pas utiliser les paramètres par défaut du fournisseur pour les mots de
passe système et les autres options de sécurité
3. Protéger les données bancaires stockées
4. Crypter la transmission des données bancaires sur les réseaux publics
ouverts
5. Utiliser un antivirus et le mettre à jour régulièrement
6. Développer et gérer des systèmes et des applications sécurisés
Livre blanc : Certification PCI DSS Page 67. Restreindre l’accès aux données bancaires grâce au principe « besoin de connaître »
8. Attribuer un identifiant unique à chaque personne ayant accès à un ordinateur
9. Restreindre l’accès physique aux données bancaires
10. Tracer et suivre tous les accès aux ressources du réseau et aux données bancaires
11. Tester régulièrement les systèmes et les processus de sécurité
12. M ettre en œuvre une stratégie répondant aux problèmes de sécurité de
l’information pour l’ensemble du personnel
Les auteurs abordent chacune de ces meilleures pratiques de manière détaillée
et recommandent aux clients et aux fournisseurs de services de les appliquer.
N’oubliez pas que les entreprises qui font appel à un fournisseur de services
certifié PCI DSS doivent aussi veiller à se conformer elles-mêmes aux exigences
de la norme PCI DSS.
Comme indiqué page 10, PEER 1 fait partie de la communauté CIS Security
Benchmarks, et ce statut de membre nous aide à conserver notre certification
PCI DSS et à mettre en œuvre les meilleures pratiques au fur et à mesure
qu’elles émergent.
CompliancePoint est le QSA (Qualified Security Addessor) de PEER 1. C’est à
son équipe d’experts que nous avons choisi de faire confiance pour maintenir la
certification PCI DSS de PEER1. Notre partenariat est très précieux, tout comme
la sécurité des données bancaires pour nos clients.
Critères de performance supplémentaires à retenir pour
choisir un hébergeur
Lorsque vous disposerez de votre solution pleinement certifiée PCI DSS
hébergée par Peer 1 Hosting, vous pourrez optimiser les performances
de votre application grâce à un certain nombre de services proposés par
CompliancePoint, parmi lesquels :
• Évaluation PCI DSS
• Élaboration d’une politique PCI DSS
• Scans de vulnérabilité
• Tests de pénétration
• Formation de sensibilisation à la sécurité
• Surveillance de conformité et programme de gestion
• Portail d’automatisation de la conformité
Conclusion et appel à l’action
Peer 1 Hosting met à votre disposition un environnement de travail Cloud certifié
PCI DSS. CompliancePoint facilite la mise en place de cet environnement grâce
à son approche de la gestion de la conformité basée sur l’ensemble du cycle de
vie de la conformité.
Nous réduisons les coûts et les efforts que nos clients doivent consentir pour
obtenir la certification PCI DSS et la conserver. Nous permettons à nos clients
de faire des économies lors de la mise en œuvre des contrôles physiques et
techniques. L’environnement PEER 1 Hosting est déjà audité, ce qui permet à nos
clients de gagner du temps et d’être plus efficaces lors de leurs propres audits.
Livre blanc : Certification PCI DSS Page 7Nous utilisons la même charte de conformité. Avec le partenariat Peer 1 Hosting- CompliancePoint, offrez à votre entreprise l’offre de solutions de certification PCI DSS dont elle a besoin. Pour plus d’informations sur les solutions d’hébergement certifiées PCI DSS : • Appelez Peer 1 au 0 805 210 280 • Rendez-vous sur le site www.peer1.fr et discutez en ligne avec un conseiller Pour obtenir des informations sur les services de certification PCI DSS, appelez CompliancePoint au 1 855 670 8780. À propos de CompliancePoint CompliancePoint occupe une position de leader sur le marché de la conformité et de la gestion des risques. Sa mission consiste à aider les entreprises à protéger leurs informations et à respecter la réglementation. À cet effet, CompliancePoint propose aux entreprises des évaluations effectuées par une tierce partie et les aide à élaborer des politiques et des programmes de sécurité d’entreprise reposant sur les principes de sécurité de l’information et sur les exigences réglementaires des normes PCI DSS v2.0 et PCI PA-DSS, HIPAA/HITECH, ISO 27001, SSAE SOC2 et FISMA/NIST. L’approche en trois points utilisée par CompliancePoint pour identifier les niveaux de conformité, résoudre les problèmes de conformité et proposer un programme pour gérer plus efficacement les données, les documents et les activités de conformité aide les entreprises à obtenir la certification mais aussi à la conserver. Livre blanc : Certification PCI DSS Page 8
Vous pouvez aussi lire
