Pour quiconque accepte les paiements par carte, dans n'importe quel pays
PCI DSS 4.0 : repérez les lacunes de surface avant un évaluateur.
PCI DSS est la norme du secteur des cartes de paiement, et non une réglementation américaine. Si vous acceptez les paiements par carte (une page de paiement, un bouton de don, un formulaire de réservation), elle vous concerne. Une partie est visible depuis l'extérieur de votre réseau.
Les résultats d'analyse et l'application sont en anglais pour le moment.
PCI DSS est la norme de sécurité du secteur des cartes de paiement. Ce n'est pas une réglementation américaine : elle s'applique partout où des paiements par carte sont acceptés, si bien qu'une association britannique dotée d'un bouton de don et un commerçant britannique utilisant une page de paiement hébergée sont tous deux concernés. La suite explique quelles parties de la norme sont visibles depuis l'extérieur de votre réseau, et comment traiter les lacunes.
Qui est concerné
Toute organisation qui stocke, traite ou transmet des données de titulaires de carte a des obligations PCI DSS, quel que soit le pays où elle opère. La plupart des petites organisations s'en acquittent au moyen d'un questionnaire d'auto-évaluation plutôt que d'un audit complet, et le questionnaire applicable dépend de la manière dont les paiements sont traités. Utiliser une page de paiement hébergée réduit considérablement le périmètre, sans le supprimer, car la page qui redirige votre client vers le prestataire de paiement doit toujours être servie de façon sécurisée.
- Encaisser des paiements via une page de paiement tierce laisse votre propre site dans le périmètre
- Les dons, abonnements et réservations d'événements comptent au même titre que les ventes au détail
- Le périmètre dépend du cheminement des données de carte, pas du montant des sommes en jeu
Ce qu'une vérification externe peut voir, et ce qu'elle ne peut pas voir
PCI DSS couvre les personnes, les processus et la technologie. Une grande partie de tout cela est interne et invisible depuis Internet : segmentation du réseau, gestion des clés, contrôle des accès, formation du personnel, journalisation. Ce qu'une vérification externe peut établir, c'est si les parties qu'un attaquant ou un évaluateur peut atteindre depuis l'extérieur semblent correctes. Elle est donc utile comme passage en revue préalable à une évaluation, et inutile comme substitut à celle-ci.
- Visible : sécurité du transport, état des certificats, services exposés, politique de divulgation publiée
- Non visible : périmètre de l'environnement des données de titulaires de carte, contrôles internes, documents de politique
- Un bon résultat externe est un bon signe, pas une certification
Ce que cette vérification examine
Chaque élément ci-dessous correspond à quelque chose qu'un évaluateur s'attendrait à voir, et chacun est vérifiable de l'extérieur sans toucher vos systèmes de manière intrusive.
- Application du HTTPS : les données de titulaires de carte ne doivent jamais transiter en HTTP simple, si bien qu'un site HTTP sans redirection pose immédiatement problème
- État du protocole TLS : les anciennes versions du protocole ne sont plus acceptables au regard de la norme
- Validité du certificat : un certificat expiré ou non concordant compromet le chiffrement sur lequel comptent les clients
- HSTS : indique aux navigateurs de refuser la version non sécurisée de votre site lors des visites suivantes
- Exposition à des vulnérabilités connues : les logiciels non corrigés sur des services exposés à Internet sont l'une des défaillances les plus souvent relevées
- Heartbleed : une faille ancienne qui apparaît encore sur des services oubliés
- Services de base de données exposés : une base de données joignable depuis Internet est difficile à défendre lors de toute évaluation
- Observations sur le stockage cloud : une correspondance de nom laisse la propriété et l'accès public aux objets non vérifiés ; aucun objet n'est récupéré
- Éléments sur le transport du courrier : un STARTTLS annoncé est distingué d'une négociation TLS effectivement aboutie ; le comportement de relais n'est pas évalué
- security.txt : la norme attend un moyen documenté permettant de vous signaler une vulnérabilité
Là où les organisations perdent habituellement des points
En pratique, la même poignée de lacunes revient sans cesse, et la plupart relèvent de la configuration plutôt que de l'architecture. HSTS manque souvent parce qu'il n'a jamais été activé, et non parce que quelqu'un a décidé de s'en passer. security.txt est fréquemment absent simplement parce que personne ne savait qu'il était attendu. Les services non corrigés se trouvent généralement sur quelque chose de périphérique (un hôte de préproduction, un ancien sous-domaine, un microsite marketing) plutôt que sur le site principal que tout le monde surveille.
- Vérifiez les hôtes oubliés, pas seulement le site web principal
- Corrigez d'abord les éléments de la couche transport : ils sont rapides et pèsent le plus aux yeux d'un évaluateur
- Publiez un fichier security.txt : cela prend quelques minutes et c'est une attente documentée
Questions fréquentes
›PCI DSS s'applique-t-elle aux organisations britanniques ?
Oui. PCI DSS est une norme du secteur des cartes établie par les réseaux de paiement, et non une loi nationale : elle s'applique donc partout où des paiements par carte sont acceptés. Les organisations britanniques sont concernées au même titre que toutes les autres.
›Nous utilisons une page de paiement hébergée. Sommes-nous toujours concernés ?
Presque certainement, mais à un niveau bien moindre. Rediriger un client vers un prestataire de paiement réduit ce dont vous êtes responsable, mais la page qui effectue la redirection reste la vôtre et doit toujours être servie de façon sécurisée. Votre acquéreur ou votre prestataire de paiement peut vous indiquer quel questionnaire d'auto-évaluation s'applique.
›Un bon résultat ici équivaut-il à être conforme ?
Non, et il est important de ne pas l'interpréter ainsi. Il s'agit d'une vérification externe de la surface. Elle ne peut voir ni votre environnement de données de titulaires de carte, ni vos contrôles internes, ni votre documentation, et elle ne produit ni ne remplace une évaluation formelle. Considérez-la comme un moyen de repérer et corriger les lacunes visibles avant que quelqu'un d'autre ne les trouve.
›À quelle fréquence devrions-nous la relancer ?
Après tout changement d'hébergement, de certificats ou de DNS, et sinon de façon régulière. Les certificats expirent, de nouveaux services apparaissent sur d'anciens sous-domaines et des vulnérabilités sont publiées en continu : une surface externe n'a rien de figé.
Indicatif uniquement. Il s'agit d'une vérification externe de la surface, et non d'une évaluation ou d'une certification PCI DSS. Le périmètre de l'environnement des données de titulaires de carte, les contrôles internes et les exigences organisationnelles ne sont pas couverts, et rien ici ne constitue un conseil en conformité.
Également utile : la préparation à Cyber Essentials.