La norme de sécurité de l’industrie des cartes de paiement (Payment Card Industry Data Security Standard ou PCI DSS) est un standard de sécurité des données qui s'applique aux différents acteurs de la chaîne monétique.
La norme PCI DSS est établie par les cinq principaux réseaux cartes (Visa, MasterCard, American Express, Discover Card et JCB) et est gérée par le Conseil des normes de sécurité PCI (forum international ouvert pour l'amélioration, la diffusion et la mise en œuvre de normes de sécurité pour la protection des données de comptes). Ce standard a été créé afin d’augmenter le contrôle des informations du titulaire de la carte dans le but de réduire l'utilisation frauduleuse des instruments de paiement.
Historique Le PCI DSS à l’origine, était différent selon le fournisseur, il y avait cinq programmes différents : Visa : Cardholder Information Security Program ; MasterCard : Site Data Protection ; American Express : Data Security Operating Policy ; Discover Card : Information Security and Compliance ; JCB : Data Security Program.
Chaque groupe avait approximativement les mêmes objectifs, c’est-à-dire de créer un niveau supplémentaire de protection pour les émetteurs de cartes qui permettrait aux commerçants d’assurer un niveau maximum de sécurité quand ils stockent, traitent et transmettent les informations du titulaire de la carte.
Le conseil des normes de sécurité PCI (PCI SSC) a été créé le . Les groupes précédemment cités ont aligné leur politique respective et ont établi la première version (1.0) du PCI DSS.
En la version est mise à jour (1.1) intégrant des clarifications et des révisions mineures.
La version 1.2 est paru le , elle ne change pas les prérequis mais améliore la clarté, la flexibilité et distingue les risques ainsi que les menaces. En , le conseil des normes de sécurité PCI a annoncé le passage à la version 1.2.1 dans le but de réaliser des corrections mineures pour améliorer, encore une fois, la clarté et la cohérence parmi les standards et les documents supports"PCI SECURITY STANDARDS COUNCIL RELEASES VERSION 2.0 OF THE PCI DATA SECURITY STANDARD AND PAYMENT APPLICATION DATA SECURITY STANDARD" (PDF). . La version 2.0 est publiée en mais n’a été promulguée chez les commerçants et les fournisseurs de services qu’à partir du jusqu’au .
La version 3.0 est paru en et est active depuis le jusqu’au .
La version 3.1 a été mise en place en .
La version 3.2 a été mise en place en .
La version 4 a été mise en place en .
Conditions Le PCI DSS spécifie douze conditions de conformité, regroupées dans six groupes appelés «objectifs de contrôle».
Ces douze conditions ont été divisées en sous-conditions plus précises mais celles-ci n'ont pas changé depuis la création du standard. Objectif de contrôle Conditions du PCI DSS Création et gestion d’un réseau et d’un système sécurisé 1. Installer et gérer une configuration de pare-feu pour protéger les données du titulaire de carte 2. Ne pas utiliser les mots de passe et autres paramètres de sécurité par défaut définis par le fournisseur Protection des données du titulaire 3. Protéger les données stockées du titulaire 4. Chiffrer la transmission des données du titulaire sur les réseaux publics ouverts Maintenir un programme de gestion des vulnérabilités 5. Protéger tous les systèmes contre les logiciels malveillants et mettre à jour régulièrement les logiciels anti-virus ou programmes 6. Développer et gérer des systèmes et des applications sécurisés Mise en œuvre de mesures de contrôle d’accès strictes 7. Restreindre l’accès aux données du titulaire aux seuls individus qui doivent les connaître 8. Identifier et authentifier l’accès aux composants du système 9. Restreindre l’accès physique aux données du titulaire Surveillance et test réguliers des réseaux 10. Suivre et surveiller tous les accès aux ressources réseau et aux données du titulaire 11. Tester régulièrement les processus et les systèmes de sécurité Maintenir une politique de sécurité des informations 12. Maintenir une politique qui adresse des informations de sécurité pour l’ensemble du personnel Chaque année est établi un certificat de conformité par une entité externe que l’on appelle l’évaluateur de sécurité qualifié (QSA), qui va ensuite réaliser un rapport de conformité (ROC) pour les organisations qui gèrent un grand nombre de transactions, ou un questionnaire d’auto-évaluation (SAQ) pour les entreprises ayant un plus petit volume de transactions.
Mises à jour et supplément d’informations Le Conseil des normes de sécurité PCI (PCI SSC) a publié des informations complémentaires pour clarifier certaines des conditions. Ces informations sont incluses dans les documents suivants : Supplément d'informations : Exigence 11.3 Test de pénétration"Information Supplement: Requirement 11.3 Penetration Testing" (PDF). Supplément d'informations : Exigence 6.6 Revue du code et pare-feu d'application clarifié"Information Supplement: Requirement 6.6 Code Reviews and Application Firewalls Clarified" (PDF). Navigation dans le PCI DSS : Comprendre l'objectif des exigences"Navigating the PCI DSS - Understanding the Intent of the Requirements" (PDF). Supplément d'informations : Guide de la norme PCI DSS"PCI DSS Wireless Guidelines" (PDF). Supplément d’informations : Migration depuis SSL et les premières versions de TLS et son changement de date (PCI DSS 3.2)
Conformité et validation de conformité La conformité à la norme PCI DSS permet de vérifier que les points de contrôles sont bien mis en œuvre et qu’ils sont efficaces pour la protection des données de cartes bancaires.
Bien que la norme de sécurité des données des cartes de paiement (PCI DSS) devrait être utilisée dans toutes les entreprises qui traitent, stockent et transmettent les informations du titulaire de la carte de paiement, la validation formelle de cette norme n’est pas obligatoire dans toutes les organisations. Actuellement, seuls Visa et MasterCard demandent aux commerçants et fournisseurs de services d’être en conformité avec la norme. Les plus petites entités n’en ont pas l'obligation, mais doivent cependant mettre en œuvre tous les contrôles nécessaires afin d'éviter d'engager leur responsabilité dans le cas où une fraude, associée à un vol des données du titulaire de la carte, aurait lieu.
Les banques émettrices ne sont pas obligées de valider la norme PCI DSS, mais elles doivent cependant sécuriser les données sensibles d’une manière conforme à la norme. Les banques d’acquisitions doivent remplir les conditions de la norme et cette conformité doit être validée par un audit"PCI Compliance scan"..
Dans le cas d’une faille de sécurité, toutes les entités exposées qui ne sont pas en conformité avec la norme PCI DSS au moment de la faille devront s’acquitter d’une amende.
Obligation de certification Être conforme à la norme PCI DSS n’est pas requis par la loi fédérale aux États-Unis. Cependant dans certains États la loi se réfère à la norme directement ou émet des propos similaires.
En 2007, l’État du Minnesota décrète une loi interdisant la conservation des informations contenues dans les cartes de paiement"Minnesota Session Laws - CHAPTER 108--H.F.No. 1758"..
En 2009, l’État du Nevada a promulgué la norme, requérant la conformité avec la norme de sécurité pour les commerçants réalisant des affaires dans l’État, elle protège également les entités conformes de toute responsabilitéNevada Revised Statutes, Chap. 603A §215..
En 2012, l’État de Washington a également incorporé la norme dans sa propre loi. Cependant, contrairement à la loi présente au Nevada, les entités ne sont pas obligées d’être en conformité avec la norme mais les entités conformes seront protégées dans le cas d’une faille dans les données"Wash..
Certification et réseau local sans fil En , le conseil des normes de sécurité PCI a publié un guide pour expliquer le fonctionnement de la norme PCI DSS dans un réseau sans fil. Ce guide recommande l’utilisation du système de prévention des intrusions dans les réseaux sans fil (WIPS) pour automatiser le scan des réseaux sans fil dans les grandes organisations.
Le guide définit clairement comment la sécurité du réseau sans-fil s’applique avec la norme PCI DSS 1.2"Don’t Let Wireless Detour your PCI Compliance" (PDF)..
Ces recommandations s’appliquent au déploiement des réseaux locaux sans fil (WLAN) dans l'environnement des titulaires de cartes de paiement, aussi connu sous le nom de CDE. Un CDE est défini comme un environnement informatique qui possède ou transmet des données de cartes de crédit"Payment Card Industry (PCI) Data Security Standard Glossary, Abbreviations and Acronyms"..
Réseau local sans fil et classification de l'environnement informatique des titulaires de cartes de paiement (CDE) Le guide concernant la norme PCI DSS dans les réseaux sans fil classe le CDE dans trois scénarios qui dépendent du déploiement du réseau local sans fil.
L’organisation n’a pas encore déployé de réseau local sans fil, dans ce cas, trois conditions de la norme PCI DSS sont requises (sections 11.1, 11.4 et 12.9). L’organisation a déployé le réseau local sans fil en dehors du domaine des données du titulaire. Ces réseaux sont segmentés par un pare-feu. S’il n’y a pas de réseaux sans fil connu dans le CDE, alors trois conditions de la norme PCI DSS sont requises (sections 11.1, 11.4 et 12.9). L’organisation a déployé un réseau local dans le CDE. Dans ce cas trois conditions sont requises (Conditions 11.1, 11.4 et 12.9) ainsi que six conditions de sécurité du déploiement (conditions 2.1.1, 4.1.1, 9.1.3, 10.5.4, 1.6 et 12.3) de l’application de la norme PCI DSS.
Conditions d’un déploiement sécurisé pour un réseau local sans fil Les conditions pour un déploiement sécurisé ne s’appliquent qu’aux organisations qui ont un réseau local sans fil connu dans le CDE. Le but de ces conditions est de déployer un réseau avec ses propres protections.
Les conditions clefs de la norme version 1.2 qui sont en rapport avec la sécurité des réseaux sans fil sont classées ci-dessous : Section 2.1.1 Changement des paramètres par défaut : changer les mots de passe par défaut et le SSID sur les appareils sans fil. Activer la sécurité WPA ou WPA2. Section 4.1.1 Sécurité : S’assurer que les réseaux sans-fil sur lesquels sont transmises les données du titulaire ou les données qui sont connectés au CDE, mettent en œuvre les meilleures pratiques du secteur (par exemple, IEEE 802.11i) pour appliquer un chiffrement robuste pour l’authentification et la transmission. L’utilisation du protocole WEP n’est plus autorisée comme contrôle de sécurité depuis le . Section 9.1.3 Sécurité physique : Restreindre l’accès physique aux appareils sans fil. Section 10.5.4 Journaux : Les registres des technologies orientées vers l'extérieur sont écrits sur un serveur de journal interne centralisé et sécurisé ou sur un dispositif de support. Section 10.6 Examen des journaux : Examiner les journaux et évènements de sécurité des composants pour repérer des anomalies ou des activités suspectes. Section 12.3 Politiques d’usage : Développer les politiques d’utilisation des technologies critiques et définir l’utilisation adéquate de ces technologies
Exigences minimales de numérisation pour les réseaux locaux sans fil Ces exigences minimales de numérisation s’appliquent à toutes les organisations indépendamment du type de réseau local sans fil dans le CDE. Le but de ces exigences est d’éliminer tous les éléments indésirables ou non autorisés dans le CDE. Section 11.1 Vérification trimestrielle : Tester la présence des points d’accès sans fil, détecter et identifier les points d’accès autorisés et non autorisés trimestriellement"Walk Around Wireless Security Audits – The End Is Near" (PDF)..