02 / Conformité et certification
PCI DSS, en partant de là où vont réellement les données de carte
Nous vous aidons à trouver le véritable environnement des données de titulaires de carte, à le réduire quand c'est possible, et à préparer les mesures, tests et preuves que votre évaluation demandera.
Présentation
Ce que PCI DSS vous demande
La norme Payment Card Industry Data Security Standard (PCI DSS) est maintenue par le PCI Security Standards Council. Elle s'applique aux entités qui stockent, traitent ou transmettent des données de titulaires de carte, et aux systèmes qui peuvent affecter la sécurité de ces données. Ses exigences couvrent les réseaux, la configuration, la protection des données, les accès, la journalisation, les tests et les politiques.
Le périmètre détermine l'ampleur du travail. Tout système situé dans l'environnement des données de carte ou connecté à lui est concerné, sauf si une segmentation l'en tient à l'écart, et la segmentation ne compte que si elle est testée. Cartographier d'abord les flux coûte moins cher que corriger des systèmes qui n'auraient jamais dû être dans le périmètre.
Black Fox n'est ni Qualified Security Assessor (QSA) ni Approved Scanning Vendor (ASV). Nous vous préparons, testons ce que la norme exige de tester et vous aidons à rassembler les preuves. L'évaluation formelle est menée par un QSA ou, lorsque votre acquéreur ou les réseaux de cartes le permettent, au moyen d'un questionnaire d'auto-évaluation (SAQ). Nous travaillons avec des partenaires de longue date et coordonnons l'évaluation avec un QSA parmi eux ou un QSA de votre choix.
À qui s'adresse ce service
Les commerçants, prestataires de paiement et autres prestataires qui manipulent des données de carte ou peuvent en affecter la sécurité, les équipes dont l'acquéreur demande un Report on Compliance ou un SAQ, et les organisations qui ont besoin des tests d'intrusion et de segmentation exigés par la norme.
Le travail, du cadrage aux preuves.
Ce que nous faisons
Périmètre et flux
Nous suivons où les données de carte entrent, circulent, sont stockées et sortent, et documentons l'environnement et les systèmes connectés.
Segmentation
Des conseils pour réduire le périmètre par la segmentation réseau, la tokenisation ou des pages de paiement externalisées, avec les compromis exposés clairement.
Analyse d'écarts
Une revue exigence par exigence de votre situation, avec des constats classés par risque et par effort.
Aide au SAQ
Une aide pour choisir le questionnaire adapté à vos canaux de paiement et y répondre avec une preuve derrière chaque réponse.
Tests d'intrusion et de segmentation
Tests d'intrusion internes et externes et tests de segmentation tels que la norme les exige, selon des méthodes reconnues comme le guide PCI sur les tests d'intrusion.
Durcissement et preuves
Standards de configuration, revues d'accès, journalisation et enregistrements que votre évaluateur échantillonnera.
Déroulement de la mission
Lancement
Nous convenons de vos canaux de paiement, des interlocuteurs et de la date d'évaluation, et signons d'abord un accord de confidentialité si vous le souhaitez.
Périmètre
Cartographie des flux et une déclaration de périmètre que vous pouvez défendre devant un évaluateur.
Analyse d'écarts
Entretiens, revue des configurations et échantillonnage, avec à la clé un rapport priorisé.
Remédiation et tests
Nous travaillons avec vos équipes sur les écarts et menons les tests d'intrusion et de segmentation prévus.
Accompagnement de l'évaluation
Nous coordonnons l'évaluation du QSA, l'un de nos partenaires de longue date ou un QSA de votre choix, ou vous aidons à remplir votre SAQ, puis à traiter les éventuels constats.
Ce que vous recevez
- Schémas des flux de données de carte et déclaration de périmètre
- Rapport d'analyse d'écarts et plan d'action priorisé
- Recommandations et résultats des tests de segmentation
- Rapports de tests d'intrusion avec preuves de concept
- Dossier de travail SAQ avec renvois vers les preuves
- Index des preuves pour votre évaluateur
Black Fox vous prépare et vous accompagne, mais ne délivre pas elle-même de certificats, de rapports d'attestation ni d'évaluations officielles. Lorsqu'un certificat ou un rapport est l'objectif, nous coordonnons l'audit avec nos partenaires de certification de longue date ou un organisme de votre choix, pour que le travail se déroule de bout en bout dans une seule mission.
Questions
Êtes-vous QSA ?
Non. Black Fox n'est ni Qualified Security Assessor ni Approved Scanning Vendor. Nous vous préparons et réalisons les tests qui peuvent être confiés à un testeur qualifié, interne ou externe. Un QSA mène l'évaluation formelle, un ASV réalise les scans de vulnérabilités externes qui doivent provenir d'un ASV. Nous coordonnons cette évaluation avec l'un de nos partenaires de longue date ou un QSA de votre choix.
Faut-il un QSA ou un SAQ suffit-il ?
Cela dépend de votre rôle, de votre volume de transactions et des exigences de votre acquéreur ou des réseaux de cartes. Interrogez d'abord votre acquéreur. Nous vous aidons à comprendre quel type de SAQ correspond à vos canaux de paiement.
La segmentation sort-elle des systèmes du périmètre ?
Oui, si elle isole réellement l'environnement des données de carte et que des tests le prouvent. Une segmentation non testée ne réduit pas le périmètre.
Externaliser les paiements supprime-t-il PCI DSS ?
Cela réduit le périmètre, souvent beaucoup, mais rarement à zéro. Les pages, scripts et systèmes qui envoient vos clients vers le prestataire de paiement restent en général sous votre responsabilité.
Services associés
- Sécurité managéeGestion des vulnérabilitésRevues de vulnérabilités récurrentes par Black Fox Security : scans, tri, priorisation selon l'exploitabilité et l'exposition, suivi des correctifs.
- Sécurité managéeDurcissement de la sécuritéDurcissement par Black Fox Security : postes de travail, serveurs et réseaux, référentiels de configuration sécurisée, supervision et sécurité personnelle.
Trouvez les limites de votre environnement de données de carte
Dites-nous comment vous encaissez les paiements. Nous vous montrerons ce qui est dans le périmètre et ce qui n'a pas à y être.