À quoi correspond un scan de vulnérabilité PCI DSS?
PCI DSS (Payment Card Industry, Data Security Standard) est un standard de sécurité applicable à l’industrie des cartes de paiement. A l’origine, chaque fournisseur de cartes bancaires souhaitait assurer un minimum de protection pour les commerçants avec leurs propres politiques de sécurité des données (Visa, Mastercard, American Express, Discover Card et JCB). Ces politiques visent à limiter les impacts
causés par une cyberattaque (vol de données, fraude, etc…) En 2014, le conseil des normes de sécurité PCI SSC a été mis en place, est l’ensemble des fournisseurs ont aligné leurs politiques respectives vers la première version PCI DSS (1.0).
Ce scan est-il nécessaire à votre entreprise ?
Oui, ce standard PCI DSS concerne l’ensemble des organisations qui traitent des données liées à des cartes de paiement (boutiques, restaurants, e-commerce, etc…).
Que doit-on tester et quels types de tests doit-on réaliser dans le cadre d’un environnement PCI DSS ?
Pour être conforme PCI DSS, il faut respecter certaines exigences :
➡️ Installer et maintenir une configuration de pare-feu pour protéger les données des titulaires de cartes
➡️ Ne pas utiliser les valeurs par défaut de fournisseur pour les mots de passe du système et les autres paramètres de sûreté
➡️ Protéger les données des titulaires de cartes stockées
➡️ Chiffrer la transmission des données de titulaire de carte sur les réseaux publics ouverts
➡️. Protéger tous les systèmes contre les logiciels malveillants et mettre régulièrement à jour des logiciels ou des programmes anti-virus
➡️. Développer et maintenir des systèmes et des applications sécurisées
➡️. Restreindre l’accès aux données du titulaire de la carte en fonction des besoins de l’entreprise
➡️. Identifier et authentifier l’accès aux composants du système
➡️. Restreindre l’accès physique aux données des titulaires de cartes
➡️. Suivre et surveiller tous les accès aux ressources réseau et aux données des titulaires de cartes
➡️. Tester régulièrement les systèmes et les processus de sécurité
➡️. Maintenir une politique de sécurité de l’information pour tout le personnel
Pour tendre vers une conformité PCI DSS, il faut structurer son système d’information sur le plan organisationnel et sur le plan technique. Au niveau organisationnel, il est assez courant de passer par une analyse de risques effectuée par des auditeurs spécialisés. Et au niveau technique, des outils permettent d’auditer les différents systèmes, notamment les scanner de vulnérabilités.
Boite noire, grise ou blanche ? Les interfaces de monitoring ou de gestion des logs rentrent-elles dans le périmètre des tests?
Les scans de vulnérabilités PCI DSS sont le plus souvent effectués sans aucune authentification ou informations données à l’auditeur (black box), cependant, dans certains cas, le client doit informer l’auditeur sur ses mesures de sécurité déjà existantes pour éviter de bloquer le scan (grey box). De plus, ceux-ci peuvent s’effectuer en externe ou en interne, et ils doivent être essentiellement ciblés sur les solutions qui traitent des informations de paiement (ex : applications e-commerce).
Comment peut-on réaliser ces tests ?
De nombreux fournisseurs de solutions de sécurité se sont spécialisés dans ce type de scan, le plus important est que ce fournisseur doit être approuvé par le conseil de sécurité PCI SSC (ASV – Approved Scanning Vendors).
Mais que se passe-t-il si l’auditeur trouve tout de même une faille dans ces applications ?
Et enfin, si l’auditeur effectue un scan de vulnérabilités PCI DSS et que celui-ci découvre des failles de sécurité, alors vous ne serez pas conforme. Pour obtenir une conformité, vous devez corriger les failles découvertes, et ainsi, l’auditeur pourra vous fournir un rapport de conformité ASV.
N’hésitez pas à consulter notre page dédiée au scan de vulnérabilité PCI DSS via ce lien : https://www.allistic.fr/pentest-test-dintrusion/
EDR, NDR, XDR… Mieux comprendre les solutions de cybersécurité modernes.
EDR, le premier rempart contre les cyberattaques Les solutions EDR, pour Endpoint Detection & Response, sont axées sur la protection des terminaux. Elles permettent de
Grandir et faire grandir – Interview d’Anthony
Ce mois ci, nous avons décidé d’interviewer Anthony.
Anthony a rejoint Allistic en tant qu’alternant dans le cadre de son Mastère Expert Cybersécurité
Profitez des fêtes en toute sécurité : Maîtrisez les risques cyber pendant la période de Noël
La période de Noël apporte son lot de joie et de célébrations, mais elle s’accompagne également de risques cyber croissants. Si les particuliers sont concernés,
