Les 12 exigences de la norme PCI DSS
1. Exigence de sécurité de la gestion
La première exigence de la norme PCI DSS porte sur la mise en place d'une structure de sécurité solide, avec des politiques, des procédures et des rôles et responsabilités bien définis. Cette exigence est importante car elle fournit une base pour la mise en œuvre des autres exigences de la norme.
Exemples d’actions à mettre en place pour respecter l’exigence sur la sécurité de la gestion
L'organisation doit :
- Désigner un responsable de la sécurité des informations (RSI) qui sera chargé de superviser les efforts de conformité à la norme PCI DSS. Le RSI doit avoir les compétences et l'expérience nécessaires pour diriger les efforts de sécurité de l'organisation.
- Mettre en place une politique de sécurité des informations (PSI) qui définit les objectifs et les principes de la sécurité des informations de l'organisation. La PSI doit être claire, concise et facilement accessible à tous les employés.
- Mettre en place un programme de formation à la sécurité des informations pour tous les employés. La formation doit couvrir les principes fondamentaux de la sécurité des informations, ainsi que les risques spécifiques liés aux données des titulaires de cartes de paiement.
2. Exigence de sécurité du réseau
La deuxième exigence de la norme PCI DSS porte sur la sécurisation du réseau contre les intrusions et les attaques. Cette exigence est importante car le réseau est la porte d'entrée pour les cyberattaquants.
Exemples d’actions à mettre en place pour respecter l’exigence sur la sécurité du réseau
L'organisation doit :
- Installer un pare-feu pour bloquer les accès non autorisés au réseau. Le pare-feu doit être configuré pour autoriser uniquement les connexions légitimes.
- Limiter l'accès au réseau aux utilisateurs autorisés. L'organisation doit mettre en place des politiques et des procédures pour contrôler l'accès au réseau.
- Mettre en place un processus de gestion des vulnérabilités pour identifier et corriger les vulnérabilités connues. L'organisation doit effectuer des audits réguliers de son réseau pour identifier les vulnérabilités potentielles.
3. Exigence de sécurité des systèmes
La troisième exigence de la norme PCI DSS porte sur la sécurisation des systèmes informatiques contre les accès non autorisés et les modifications malveillantes. Cette exigence est importante car les systèmes informatiques contiennent souvent des données sensibles, notamment des données des titulaires de cartes de paiement.
Exemples d’actions à mettre en place pour respecter l’exigence sur la sécurité des systèmes
L'organisation doit :
- Installer des logiciels antivirus et anti-malware sur tous ses systèmes informatiques. Les logiciels antivirus et anti-malware doivent être mis à jour régulièrement pour protéger les systèmes contre les dernières menaces.
- Mettre à jour ses systèmes régulièrement pour corriger les vulnérabilités connues. Les organisations doivent mettre en place un processus de gestion des mises à jour pour garantir que tous les systèmes sont à jour.
- Mettre en place un processus de gestion des mots de passe pour gérer de manière sécurisée les mots de passe des utilisateurs. Les mots de passe doivent être forts et uniques, et ils doivent être changés régulièrement.
4. Exigence de sécurité des applications
La quatrième exigence de la norme PCI DSS porte sur la sécurisation des applications logicielles contre les vulnérabilités et les attaques. Cette exigence est importante car les applications logicielles peuvent être une source de vulnérabilités qui peuvent être exploitées par les cyberattaquants.
Exemples d’actions à mettre en place pour respecter l’exigence sur la sécurité des applications
L'organisation doit :
- Mettre en place un processus de développement sécurisé pour développer des applications sécurisées. Le processus de développement sécurisé doit inclure des tests de sécurité pour identifier et corriger les vulnérabilités.
- Mettre à jour ses applications régulièrement pour corriger les vulnérabilités connues. Les organisations doivent mettre en place un processus de gestion des mises à jour pour garantir que toutes les applications sont à jour.
- Mettre en place un processus de gestion des accès pour limiter l'accès aux applications aux utilisateurs autorisés. L'organisation doit mettre en place des politiques et des procédures pour contrôler l'accès aux applications.
5. Exigence de sécurité des données
La cinquième exigence de la norme PCI DSS porte sur la protection des données des titulaires de cartes de paiement contre les accès non autorisés, les modifications malveillantes et la destruction. Cette exigence est la plus importante de la norme, car elle vise à protéger les données les plus sensibles de l'organisation.
La norme PCI DSS définit les données des titulaires de cartes de paiement comme suit :
- Les numéros de carte de crédit, les dates d'expiration et les codes CVV/CVC.
- Les noms et adresses des titulaires de cartes de crédit.
- Les informations de facturation, telles que les adresses de facturation et les numéros de téléphone.
- Les informations de sécurité, telles que les questions de sécurité et les réponses.
Mesures à mettre en place pour se conformer à l’exigence de la norme PCI DSS sur la sécurité des données
Pour se conformer à l'exigence 5, les organisations doivent mettre en œuvre les mesures suivantes :
- Stocker les données des titulaires de cartes de paiement dans un environnement sécurisé. Cela signifie que les données doivent être stockées dans un emplacement physique sécurisé, tel qu'un centre de données sécurisé, et que les systèmes qui stockent les données doivent être protégés contre les accès non autorisés.
- Chiffrer les données des titulaires de cartes de paiement lorsqu'elles sont en transit ou stockées. Le chiffrement est le processus de conversion des données en un format illisible sans la clé de déchiffrement appropriée. Le chiffrement des données protège les données contre les accès non autorisés, même si elles sont compromises.
- Éliminer les données des titulaires de cartes de paiement de manière sécurisée. Les organisations doivent s'assurer que les données des titulaires de cartes de paiement sont éliminées de manière sécurisée, par exemple en les supprimant de manière permanente ou en les détruisant physiquement.
Exemples spécifiques de mesures que les organisations peuvent prendre pour se conformer à l'exigence 5 sur la sécurité des données
- Utiliser des pares-feux, des logiciels antivirus et anti-malware pour protéger les systèmes qui stockent les données des titulaires de cartes de paiement.
- Limiter l'accès aux données des titulaires de cartes de paiement aux personnes autorisées.
- Mettre en place une politique de mots de passe solide qui exige que les mots de passe soient longs, complexes et changés régulièrement.
- Utiliser des systèmes de gestion des identités et des accès (IAM) pour contrôler l'accès aux données des titulaires de cartes de paiement.
- Mettre en place une politique de sauvegarde des données qui exige que les données des titulaires de cartes de paiement soient sauvegardées régulièrement.
- Tester régulièrement les systèmes et applications pour détecter les vulnérabilités .
- Élaborer un plan de réponse aux incidents pour gérer les incidents de sécurité qui surviennent.
6. Exigence de sécurité des personnes
La sixième exigence de la norme PCI DSS porte sur la sensibilisation des employés aux risques de sécurité et la fourniture d'une formation appropriée. Cette exigence est importante car les employés sont souvent la première ligne de défense contre les cyberattaques.
Exemples d’actions à mettre en place pour respecter l’exigence sur la sécurité des personnes
L'organisation doit :
- Informer ses employés des risques de sécurité et des mesures qu'ils doivent prendre pour protéger les données des titulaires de cartes de paiement.
- Mettre en place une formation à la sécurité des informations pour tous les employés. La formation doit porter sur les principes fondamentaux de la sécurité des informations, ainsi que sur les risques spécifiques liés aux données des titulaires de cartes de paiement.
- Surveiller les activités des employés pour détecter les comportements suspects. L'organisation doit mettre en place des procédures pour enquêter sur les incidents de sécurité et prendre des mesures correctives.
7. Exigences de sécurité des processus
La septième exigence de la norme PCI DSS porte sur la mise en place de processus de sécurité solides pour gérer les risques. Cette exigence est importante car elle permet à l'organisation de réagir efficacement aux incidents de sécurité.
Exemples d’actions à mettre en place pour respecter l’exigence sur la sécurité des personnes
L'organisation doit mettre en place un processus pour :
- Tester régulièrement ses systèmes et applications pour détecter les vulnérabilités.
- Enquêter sur les incidents de sécurité et prendre des mesures correctives.
- Documenter les procédures de sécurité. Les procédures de sécurité doivent être clairement définies et facilement accessibles à tous les employés.
8. Exigence de sécurité des événements
La huitième exigence de la norme PCI DSS porte sur la mise en place de processus pour détecter et réagir aux incidents de sécurité. Cette exigence est importante car elle permet à l'organisation de minimiser les dommages causés par une cyberattaque.
Exemples d’actions à mettre en place pour respecter l’exigence sur la sécurité des évènements
L'organisation doit mettre en place un processus pour :
- Détecter les incidents de sécurité, tels que les intrusions et les fuites de données.
- Enquêter sur les incidents de sécurité et prendre des mesures correctives.
- Communiquer les incidents de sécurité aux parties prenantes concernées.
9. Exigence de sécurité des sauvegardes
La neuvième exigence de la norme PCI DSS porte sur la mise en place de processus pour sauvegarder les données des titulaires de cartes de paiement. Cette exigence est importante car elle permet à l'organisation de récupérer rapidement ses données en cas d'incident de sécurité.
Exemples d’actions à mettre en place pour respecter l’exigence sur la sécurité des sauvegardes
- L'organisation doit mettre en place un processus pour sauvegarder les données des titulaires de cartes de paiement régulièrement.
- Les sauvegardes doivent être stockées dans un emplacement sécurisé et hors ligne.
- Les sauvegardes doivent être testées régulièrement pour garantir qu'elles sont récupérables.
10. Exigence de sécurité du cryptage
La dixième exigence de la norme PCI DSS porte sur le chiffrement des données des titulaires de cartes de paiement. Cette exigence est importante car elle permet de protéger les données contre les accès non autorisés, même si elles sont compromises.
Exemples d’actions à mettre en place pour respecter l’exigence sur la sécurité du cryptage
- L'organisation doit chiffrer toutes les données des titulaires de cartes de paiement qui sont stockées ou transmises électroniquement.
- Le chiffrement doit être utilisé pour protéger les données sensibles, telles que les numéros de carte de crédit, les dates d'expiration et les codes CVV/CVC.
- Le chiffrement doit être utilisé pour protéger les données pendant le transport, y compris les transmissions par Internet et par courrier électronique.
11. Exigence de sécurité de l'accès physique
La onzième exigence de la norme PCI DSS porte sur la protection physique des installations et des données. Cette exigence est importante car elle empêche les accès non autorisés aux systèmes et aux données.
Exemples d’actions à mettre en place pour respecter l’exigence sur la sécurité de l’accès physique
- L'organisation doit limiter l'accès physique aux installations sensibles, telles que les centres de données et les salles serveurs.
- Les installations sensibles doivent être sécurisées avec des portes verrouillées et des systèmes de surveillance.
- Le personnel autorisé doit être formé sur les procédures de sécurité physique.
12. Exigence de sécurité de la surveillance
La douzième exigence de la norme PCI DSS porte sur la surveillance des activités de sécurité. Cette exigence permet à l'organisation de détecter les anomalies et les menaces potentielles et de réagir en conséquence.
Exemples d’actions à mettre en place pour respecter l’exigence sur la sécurité de la surveillance
- L'organisation doit mettre en place un système de surveillance pour surveiller l'activité réseau, les événements système et les activités des utilisateurs.
- La surveillance doit être effectuée en temps réel et les événements doivent être analysés pour détecter les anomalies.
- Les incidents de sécurité doivent être identifiés et traités rapidement.
La conformité à la norme PCI DSS est un processus continu qui nécessite une attention constante et des efforts de la part de l'ensemble de l'organisation. Les organisations qui souhaitent se conformer à la norme peuvent obtenir de l'aide de tiers certifiés, tels que les ASV (Attestation of Service Validation).
Ziwit Consultancy ServicesAudits manuels et pentests sur site ou à distance
