Affirmer qu'un prestataire de services tiers est « conforme à la norme PCI » n'est pas une conclusion en soi ; c'est le point de départ d'une vérification plus approfondie.
Pour de nombreuses organisations, l’assurance fournie par un tiers se résume encore à l’obtention d’une attestation de conformité (AOC), à son archivage dans un référentiel et à l’hypothèse qu’aucun examen supplémentaire n’est nécessaire. Or, la norme PCI DSS exige davantage que la simple preuve qu’un prestataire a effectué une évaluation à un moment donné.
Vous devez déterminer si le prestataire relève du champ d’application de la norme, quels services ont été évalués, quelles responsabilités il a acceptées, si sa validation reste à jour et si les preuves corroborent effectivement les services auxquels votre organisation a recours.
Le Conseil des normes de sécurité PCI a précisé comment les prestataires de services tiers doivent être pris en compte, validés et documentés lors d’une évaluation PCI DSS. Ces recommandations soulignent un point important : il n’est pas nécessaire que les prestataires stockent, traitent ou transmettent des données de compte pour entrer dans le champ d’application. Ils peuvent également être concernés parce que leurs services contribuent au respect des exigences de la norme PCI DSS ou sont susceptibles d’affecter la sécurité de l’environnement des données des titulaires de carte.
Cela a des implications importantes pour les commerçants, les prestataires de services et les auditeurs.
Dans le cadre de l’évaluation PCI DSS d’un client, une relation avec un prestataire de services tiers est pertinente lorsque ce dernier fournit des services qui :
C'est sur ce troisième point que les organisations sous-estiment souvent leur champ d'application.
Un prestataire n’a pas besoin d’avoir connaissance d’un numéro de compte principal (PAN) pour compromettre sa sécurité. Un prestataire de services de sécurité gérés, un fournisseur de cloud, un fournisseur d’identité, une société d’hébergement, un prestataire de gestion d’applications ou un fournisseur d’assistance à distance peut ne pas traiter directement les données de paiement, mais son accès ou ses services peuvent néanmoins affecter la sécurité des systèmes entrant dans le champ d’application.
Cela signifie que la bonne question n’est pas simplement :
« Ce prestataire traite-t-il des données de carte ? »
Mais :
Les systèmes, le personnel, les accès ou les services de ce prestataire pourraient-ils avoir une incidence sur la sécurité des données de compte ou nous aider à respecter une exigence de la norme PCI DSS ?
Lorsque la réponse est oui, les services concernés, les voies d’accès, les dépendances système et les responsabilités gérées par le prestataire doivent être pris en compte dans le périmètre et l’évaluation PCI DSS du client.
La conformité PCI DSS s’applique à un périmètre, un service et une période bien définis.
Un prestataire peut exploiter plusieurs produits, plateformes ou gammes de services. Son attestation de conformité peut couvrir l’un d’entre eux, mais pas nécessairement le service utilisé par votre organisation. Le périmètre évalué peut être limité à des entités juridiques, des services, des environnements, des sites, des régions ou des modèles de prestation spécifiques, tels que documentés dans l’attestation de conformité (AOC) et les documents d’évaluation justificatifs.
L'affirmation « notre prestataire est conforme à la norme PCI » n'apporte en soi que très peu d'informations.
Vous devez encore déterminer :
Sans cette analyse, un AOC peut susciter une fausse confiance.
Une organisation peut disposer d’un document valide tout en s’appuyant sur un service qui ne relève pas du périmètre évalué du prestataire.
Un prestataire de services tiers dispose généralement de deux moyens pour valider ses responsabilités au titre de la norme PCI DSS.
Le prestataire peut réaliser une évaluation annuelle de conformité à la norme PCI DSS et fournir à ses clients les justificatifs appropriés, généralement un certificat de conformité (AOC).
En fonction de ses exigences de validation, le prestataire peut effectuer :
Il s’agit généralement de la procédure la plus simple pour les clients, car le prestataire a déjà défini son périmètre, évalué les contrôles applicables et documenté les résultats.
Toutefois, le client doit tout de même examiner attentivement l’AOC. La réception du document ne dispense pas de vérifier qu’il couvre bien le service concerné.
Lorsque le prestataire n’a pas réalisé sa propre évaluation annuelle, il peut participer à l’évaluation PCI DSS d’un client.
Le prestataire doit mettre à la disposition de l’évaluateur du client les preuves, le personnel, les systèmes et les processus nécessaires pour que celui-ci puisse effectuer les procédures de test PCI DSS applicables et parvenir à une conclusion étayée. Les responsabilités du prestataire sont alors évaluées dans le cadre du rapport de conformité de ce client. Il ne s’agit pas d’une simple déclaration de la part du prestataire. Cela nécessite des preuves détaillées et des tests effectués par l’évaluateur. Il ne s’agit pas non plus d’une option accessible à tous les commerçants.
Un commerçant ne peut pas utiliser son propre SAQ pour valider la conformité interne à la norme PCI DSS d’un prestataire de services non validé. Le SAQ du commerçant couvre l’environnement éligible de ce dernier et les exigences qui lui sont applicables.
Le commerçant ne devrait pas être tenu de :
Un prestataire au service d’un commerçant soumis au SAQ est tenu de valider sa propre conformité au moyen d’un SAQ D pour prestataires de services ou d’un ROC.
Par conséquent, lorsqu’un prestataire ne disposant pas de sa propre validation indique à un commerçant SAQ qu’il peut simplement être « couvert par l’évaluation du client », le commerçant doit remettre en question cette position.
La méthode consistant à intégrer les contrôles du prestataire dans l’évaluation du client s’applique aux organisations qui remplissent un ROC et choisissent d’évaluer directement ces responsabilités du prestataire. Il ne s’agit pas d’une alternative universelle à la validation des prestataires de services.
Une attestation de conformité constitue une preuve importante, mais uniquement si elle est examinée de manière appropriée.
Il ne suffit pas de vérifier le nom du prestataire et la date d'achèvement de l'évaluation. Votre diligence raisonnable doit permettre de confirmer que l'AOC s'applique bien au service, à l'environnement et à la relation en question.
Vérifiez que l’entité juridique mentionnée sur l’AOC est bien celle qui fournit votre service.
Les grands groupes peuvent exercer leurs activités par l’intermédiaire de plusieurs filiales. L’évaluation d’une société mère ne couvre pas automatiquement toutes ses filiales ou toutes ses activités régionales.
Consultez la description des services évalués.
Le prestataire peut proposer plusieurs environnements cloud, services d’hébergement, produits de paiement ou services gérés. L’AOC doit couvrir le service spécifique que vous utilisez, et non pas simplement un autre service fourni par la même entreprise.
La validation PCI DSS n'est pas permanente.
Un AOC ne doit pas rester dans le dossier indéfiniment sans qu'il soit vérifié si le statut de conformité PCI DSS du prestataire est toujours à jour et si des documents de validation mis à jour sont disponibles.
Vérifiez quelle version de la norme PCI DSS a été utilisée lors de l'évaluation du prestataire.
Cela permet de déterminer si la validation effectuée par le prestataire repose sur la version applicable de la norme PCI DSS et si elle est adaptée à la période d'évaluation et de reporting du client.
Le contrat et les documents justificatifs doivent indiquer clairement quelles exigences de la norme PCI DSS sont :
Un AOC ne transfère pas l’ensemble des responsabilités au prestataire. Les clients restent tenus de comprendre et de gérer leur partie de l’environnement de contrôle.
Tout prestataire répondant aux critères de périmètre de la norme PCI DSS doit être répertorié dans la section 4.4 du rapport de conformité.
Cela inclut les prestataires qui :
Le cas échéant, les services, connexions, accès et dépendances du prestataire doivent également être pris en compte dans les sections du ROC traitant du périmètre, des composants du système, des connexions réseau, de la segmentation, des flux de données et des sites évalués.
L’essentiel est la cohérence.
Les prestataires répertoriés dans le ROC doivent être conformes aux éléments suivants :
Un prestataire ne doit pas apparaître dans un document et disparaître des autres.
Lorsqu'un prestataire tiers est responsable d'une exigence PCI DSS, celle-ci peut être déclarée comme « en place ».
Mais cette conclusion doit s’accompagner de preuves à l’appui.
La documentation relative à l’évaluation doit préciser :
« En place » ne signifie pas simplement « le fournisseur nous a dit qu’il était conforme ».
Il s’agit d’une conclusion d’évaluation documentée, étayée par des contrats, des preuves de validation et des essais.
En l’absence de ces éléments, la conclusion pourrait ne pas être défendable.
L'exigence 12.8 de la norme PCI DSS traite de la manière dont les organisations gèrent les prestataires de services tiers qui ont accès aux données de compte ou qui pourraient compromettre leur sécurité.
Elle exige des organisations qu'elles exercent une surveillance continue de cette relation, plutôt que de considérer l'assurance fournie par le prestataire comme un simple exercice annuel de collecte de documents.
L'exigence 12.8.1 impose de dresser une liste des prestataires de services tiers concernés, accompagnée d'une description des services fournis par chacun d'entre eux.
Cet inventaire doit refléter l'environnement actuel des données des titulaires de carte. Il doit être mis à jour lorsque des services sont mis en place, modifiés ou supprimés.
L'exigence 12.8.2 impose la conclusion d'accords écrits avec les prestataires concernés.
Ces accords doivent reconnaître la responsabilité du prestataire en matière de protection des données de compte ou concernant les exigences de la norme PCI DSS qu’il gère pour le compte du client.
Une formulation contractuelle vague peut entraîner une incertitude quant à la personne responsable de contrôles particuliers.
L'exigence 12.8.3 impose aux organisations de mettre en place un processus de sélection des prestataires de services, comprenant notamment une vérification préalable appropriée avant le début de la relation.
Les considérations relatives à la norme PCI DSS doivent donc être intégrées aux procédures d’appel d’offres et d’intégration des prestataires, et ne pas être abordées uniquement au moment du début de l’évaluation annuelle.
Avant de signer un contrat, les organisations doivent s'assurer :
Le niveau de diligence raisonnable doit être proportionné au service, à l’accès, aux données traitées, aux dépendances techniques et à l’impact potentiel sur le CDE.
La plupart des non-conformités constatées chez les tiers ne sont pas dues à l’absence totale de documentation au sein des organisations.
Elles sont dues à une documentation qui semble adéquate jusqu'à ce qu'on l'examine de près.
Un AOC plus ancien figure toujours dans le référentiel de conformité, mais personne n’a vérifié si le prestataire avait bien effectué sa dernière évaluation.
Le document est valide, mais il concerne un autre produit, un autre modèle d'hébergement, un autre site, une autre région ou une autre entité juridique.
La liste des tiers de l'organisation ne correspond plus à ses systèmes, intégrations, flux de paiement ou services cloud actuels.
Le client part du principe que le prestataire gère un contrôle, alors que la documentation du prestataire précise que la responsabilité incombe au client.
Les exigences sont marquées comme « en place » sur la seule base du statut déclaré par le prestataire, sans identification du service concerné, de la répartition des responsabilités, des preuves de validation ou des tests étayant cette conclusion.
Le prestataire ne dispose d’aucune validation indépendante et attend du commerçant qu’il intègre ses contrôles dans un SAQ, bien que ce dernier ne soit pas chargé d’évaluer l’environnement du prestataire.
Ces lacunes restent souvent cachées jusqu’à ce que l’évaluation formelle soit en cours. À ce stade, leur résolution peut impliquer de relancer les fournisseurs, de revoir les contrats, de redéfinir le périmètre et de rassembler des preuves, le tout sous une pression de temps considérable.
Une gestion efficace des tiers nécessite un processus reproductible qui relie les équipes chargées des achats, des affaires juridiques, de la sécurité de l'information, des paiements et de la conformité.
Commencez par dresser un inventaire complet des prestataires qui traitent des données de compte ou qui pourraient avoir une incidence sur leur sécurité. Associez chaque prestataire au service qu’il fournit, aux systèmes auxquels il a accès et aux exigences PCI DSS applicables.
Pour chaque prestataire concerné, procurez-vous des preuves de validation à jour et vérifiez qu’elles couvrent bien le service que vous utilisez. Précisez par écrit quels contrôles sont gérés par le prestataire et lesquels relèvent de votre responsabilité.
Cet examen ne doit pas être effectué une seule fois pour être ensuite oublié. Les services des prestataires évoluent. Les contrats changent. Les plateformes migrent. Un prestataire peut modifier son périmètre d’évaluation ou remplacer un service par un autre.
Un processus abouti comprend donc :
L’objectif n’est pas simplement de collecter des documents. Il s’agit de s’assurer que les contrôles, les responsabilités et la validation du prestataire soutiennent votre propre conformité à la norme PCI DSS.
Les prestataires de services tiers peuvent considérablement compliquer la définition du périmètre et l’évaluation de la conformité PCI DSS, en particulier lorsque les responsabilités sont partagées entre plusieurs fournisseurs, plateformes et équipes internes.
Les spécialistes en conformité des paiements d’Integrity360 peuvent aider les organisations à :
Integrity360 propose des services d’évaluation de la sécurité des paiements depuis 2009 et accompagne les organisations dans le respect des exigences relatives à la norme PCI DSS, à la norme 3DS, à la norme P2PE, au Secure Software Framework, aux prestataires de services de jetons, à la sécurité des codes PIN, ainsi qu’à la production et à la mise à disposition des cartes.
Le statut PCI DSS d’un prestataire est important, mais il ne peut être considéré isolément.
Vous devez savoir ce qui a été évalué, quand cette évaluation a eu lieu, quels services étaient concernés et si les responsabilités du prestataire sont clairement étayées par des contrats et des preuves.
Il est utile de disposer d’un AOC (Attestation de conformité) dans vos dossiers.
Un AOC à jour, pertinent et applicable au service concerné peut étayer une évaluation PCI DSS défendable lorsqu’il est pris en compte conjointement avec la répartition des responsabilités, les engagements contractuels, les contrôles côté client et les preuves de test applicables.
Contactez Integrity360 pour passer en revue le périmètre de vos prestataires de services tiers, valider vos preuves et vous préparer à votre prochaine évaluation PCI DSS.