La conformité à la norme PCI DSS (Payment Card Industry Data Security Standard) est une exigence indispensable pour toute organisation qui traite, stocke ou transmet des données relatives aux cartes de paiement. Cependant, de nombreuses entreprises sous-estiment sa complexité et commettent des erreurs qui non seulement retardent la mise en conformité, mais augmentent également le risque de failles de sécurité.

Dans cet article, nous passons en revue quatre des erreurs les plus courantes commises lors de la mise en œuvre de la norme PCI DSS et, surtout, nous expliquons comment les éviter.

Sous-estimer le périmètre de l’environnement PCI

Définir correctement la portée de l’environnement PCI DSS est probablement l’étape la plus critique et, en même temps, la plus sous-estimée de tout le processus de mise en conformité. L’une des erreurs les plus courantes consiste à ne pas définir correctement la portée de l’environnement PCI. De nombreuses organisations pensent que cette norme ne s'applique qu'aux systèmes qui traitent les paiements (ou, pire encore, uniquement aux systèmes qui stockent les données des titulaires de cartes), mais la réalité est bien plus large.

La section 4 – Portée des exigences PCI DSS du document « Payment Card Industry Data Security Standard 4.0.1 », daté de juin 2024, stipule que la portée inclut non seulement les systèmes qui traitent, stockent ou transmettent des données de titulaires de cartes, mais également tout système qui :

  • est connecté à l’environnement de données des cartes (CDE)
  • pourrait compromettre votre sécurité
  • a un accès direct ou indirect à ces systèmes

De plus, de nombreuses organisations tombent dans le piège inverse : comme elles ne comprennent pas pleinement le champ d’application, elles finissent par inclure trop d’éléments, ce qui augmente inutilement les coûts et la complexité.

 

Comment l'éviter :

Tout d’abord, il faut déterminer quels éléments sont inclus dans le périmètre de la norme PCI DSS, et nous nous appuierons sur la norme elle-même pour identifier ces éléments.

Les exigences 12.5.2 et 12.5.2.1 détaillent les éléments qui relèvent du périmètre et dont nous devons donc tenir compte lors de sa définition.

Enfin, nous devrons mener une analyse approfondie du périmètre de la norme PCI DSS, en effectuant toutes les tâches supplémentaires liées à cet exercice que nous n’avons pas encore réalisées (flux de données de cartes, identification des composants entrant dans le périmètre, segmentation, etc.). Pour ce faire, nous pouvons nous appuyer sur les ressources publiques suivantes fournies par le PCI SSC :

 

 

Disposer d’un inventaire des actifs obsolète ou incomplet

Sans inventaire clair des systèmes, des applications et des périphériques, il est pratiquement impossible de se conformer aux exigences de la norme PCI DSS, car nombreuses sont celles dont la conformité dépend de la disponibilité d’un inventaire complet, fiable et à jour (renforcement de la sécurité, gestion des vulnérabilités et application des correctifs, segmentation, etc.). Sans compter qu’un inventaire non vérifié constitue en soi un manquement à la norme (procédure de test 12.5.1.b).

Comment y remédier :

Pour mener une évaluation exhaustive de la norme PCI DSS, il est nécessaire de comprendre ce que le PCI SSC définit comme des « composants système ». Ces informations sont détaillées dans la norme elle-même, mais de nombreuses entreprises engagées dans le processus de mise en œuvre de la norme PCI DSS n’y prêtent pas attention.

La section 4 – Champ d’application des exigences PCI DSS du document « Payment Card Industry Data Security Standard 4.0.1 », daté de juin 2024, détaille le champ d’application de la norme PCI DSS, y compris une liste exhaustive de ce qui est considéré comme des « composants du système », qui comprend (avec divers exemples) sans s’y limiter :

  • Les systèmes qui stockent, traitent ou transmettent des données de compte
  • Les systèmes fournissant des services de sécurité
  • Les systèmes facilitant la segmentation
  • Composants de virtualisation
  • Composants cloud

Ces informations sont très utiles pour établir un inventaire des actifs, mais pour garantir sa pérennité à long terme, il est nécessaire de mener des actions supplémentaires telles que :

  • Tenir à jour un inventaire centralisé.
  • Intégrer le matériel, les logiciels et les services cloud.
  • Passer régulièrement en revue les modifications apportées à l'infrastructure.

Absence de segmentation adéquate du réseau

La segmentation du réseau est l’un des piliers essentiels pour réduire le périmètre de la norme PCI DSS et protéger les données des titulaires de cartes. Cependant, de nombreuses organisations ne la mettent pas correctement en œuvre ou estiment qu’une segmentation de base est suffisante.

Dans la pratique, une segmentation inadéquate peut faire en sorte que l’ensemble du réseau d’entreprise relève du champ d’application de la norme PCI DSS, ce qui augmente de manière exponentielle les coûts, la complexité de la mise en conformité et la surface d’attaque.

Parmi les erreurs les plus courantes, on peut citer :

  • Se fier uniquement à une segmentation logique sans règles de pare-feu strictes.
  • Ne pas restreindre suffisamment le trafic entre les réseaux internes.
  • Accorder un accès trop large « pour des raisons de commodité opérationnelle ».
  • Ne pas vérifier si la segmentation fonctionne (absence de tests).
  • Omettre les environnements cloud ou hybrides de la stratégie de segmentation.

Comment y remédier :

Pour éviter ces problèmes, il est essentiel d’adopter une approche structurée :

  • Définir clairement l'environnement des données des titulaires de carte (CDE): identifier les systèmes qui stockent, traitent ou transmettent les données des titulaires de carte, et délimiter précisément cet environnement.

N’oubliez pas les composants disposant d’une connectivité « sans restriction » (réseau plat) vers des composants qui stockent, traitent ou transmettent des données de cartes, car ils sont également considérés comme faisant partie du CDE.

  • Isolez le CDE du reste du réseau à l’aide de pare-feu, de VLAN, de groupes de sécurité cloud, etc., en limitant les communications au strict nécessaire.
  • Appliquez le principe du « refus par défaut »: bloquez par défaut et n’autorisez que les communications explicitement autorisées.
  • Vérifiez régulièrement l’efficacité de la segmentation : la norme PCI DSS exige que vous démontriez que la segmentation est efficace. Cela implique :
    • De mener des tests d’intrusion ciblés pour tenter de « contourner » la segmentation (exigences 11.4.5 et 11.4.6 de la norme PCI DSS v4.0.1)
    • de revoir périodiquement les règles du pare-feu (exigence 1.2.7 de la norme PCI DSS v4.0.1)

Considérer la conformité comme un projet ponctuel

L’une des erreurs les plus dangereuses (et les plus courantes) consiste à considérer la conformité PCI DSS comme un projet ayant un début et une fin, plutôt que comme un processus continu. De nombreuses organisations concentrent leurs efforts juste avant une évaluation, parviennent à « réussir le test », puis baissent la garde jusqu’au cycle suivant.

Ce problème se manifeste par des signes évidents, qui vous seront peut-être familiers :

  • Une activité intense de dernière minute avant les évaluations.
  • Une documentation mise à jour une seule fois par an.
  • Des processus manuels et non pérennes.
  • Une dépendance excessive vis-à-vis de consultants externes pour « rattraper le retard ».

Cette approche compromet non seulement la conformité, mais expose également l'organisation à de réelles menaces.

La norme PCI DSS n’est pas conçue comme une simple liste de contrôle ponctuelle, mais plutôt comme un ensemble de contrôles qui doivent être maintenus dans la durée. Lorsque la conformité est considérée comme une mesure temporaire :

  • Les contrôles de sécurité se détériorent au fil du temps.
  • Les modifications apportées aux systèmes ou à l’infrastructure ne sont pas correctement évaluées.
  • Des écarts apparaissent et peuvent passer inaperçus pendant des mois.
  • L’organisation entre dans un cycle réactif plutôt que proactif (lorsqu’un incident survient ou en vue de la prochaine évaluation).

Dans la pratique, cela signifie qu'une entreprise peut être «conforme »(ce qui n'est pas synonyme de «sécurisée ») au moment de l'évaluation formelle, mais ne pas l'être pour le reste de l'année.

Comment y remédier :

Pour éviter cette erreur, il est essentiel d’intégrer la norme PCI DSS dans les opérations quotidiennes de l’organisation en tenant compte (entre autres) des aspects suivants :

  • Intégrer la sécurité dans les processus métier: la conformité ne doit pas être une initiative isolée menée par l’équipe de sécurité. Elle doit faire partie intégrante du développement logiciel, des opérations informatiques, de la gestion du changement, des ressources humaines, etc.
  • Mettre en place une surveillance continue en implémentant des contrôles automatisés dans la mesure du possible, surveiller en permanence les journaux, les accès et les configurations, etc.
  • Procéder régulièrement à des revues et à des évaluations (ne pas attendre l’évaluation officielle), en réalisant des auto-évaluations internes, en programmant des revues trimestrielles ou mensuelles, et en identifiant les écarts avant qu’ils ne deviennent des problèmes.
  • Gérer chaque changement apporté à l’infrastructure de manière contrôlée peut avoir une incidence sur la conformité : il convient d’évaluer l’impact sur la norme PCI DSS avant de mettre en œuvre les changements, de documenter les modifications pertinentes et de vérifier que les contrôles restent efficaces.

Il existe de nombreuses autres tâches qui contribuent à faire de la conformité à la norme PCI DSS et de la sécurité de l’environnement un processus continu, mais le présent article n’a pas pour objectif de les détailler toutes.

La section 5 – « Meilleures pratiques pour l’intégration de la norme PCI DSS dans les processus opérationnels courants » du document « Payment Card Industry Data Security Standard 4.0.1 », daté de juin 2024, explique comment une organisation peut mettre en œuvre des processus « opérationnels courants » (BAU) dans le cadre de sa stratégie globale de sécurité, en prenant des mesures pour garantir que les contrôles de sécurité mis en place pour protéger les données et l’environnement continuent d’être correctement appliqués et de fonctionner efficacement dans le cadre des opérations commerciales normales.

Une mise en œuvre correcte de la norme PCI DSS ne se résume pas à la simple conformité à une norme, mais vise à protéger votre entreprise, votre réputation et la confiance de vos clients.

Éviter ces erreurs courantes peut faire la différence entre une conformité efficace et un processus coûteux et frustrant. La clé réside dans l’adoption d’une approche proactive et continue, en phase avec le principe de «sécurité dès la conception».

Votre organisation est-elle prête à se conformer à la norme PCI DSS sans commettre ces erreurs ? C’est le moment de l’évaluer et d’en discuter avec les experts d’Integrity360.

 

Contactez-nous