Aller au contenu

QSA · QPA · 3DS Assessor

RechercherEnglish

Consultants en sécurité · PCI QSA Company · Dublin et Paris

Des évaluateurs PCI qui ont fait le métier, pas seulement la paperasse.

247 CyberLabs est une PCI QSA Company fondée par des praticiens de la sécurité. Nous vous disons où vous en êtes vraiment, nous vous aidons à corriger, et le QSA qui définit le périmètre de votre évaluation est celui qui la signe.

Parler à un QSACe que nous faisons

Qualifiés par le PCI Security Standards Council, et inscrits chez lui sous notre nom.

  • QSA

    Évaluateur PCI DSS

  • QPA

    Qualified PIN Assessor

  • 3DS Assessor

    3-D Secure

  • Europe & CEMEA

    autorisés à évaluer

Nos QSA détiennent aussi : CISSP · CISA · CISM

Vérifier auprès du PCI SSC →

Ce que vous obtenez de nous

De vrais consultants, pas une usine à rapports.

PCI a produit une génération d’évaluateurs qui n’ont jamais défendu un réseau, et des cabinets dont le produit est un rapport livré le plus vite possible. Nous n’en faisons pas partie.

  1. Nous disons les choses telles qu’elles sont.

    Si un contrôle ne tient pas, vous l’apprenez de nous d’abord, en termes clairs, avec ce qu’il faut faire.

  2. Nous ne cochons pas des cases.

    Un Report on Compliance est le résultat d’une évaluation, pas son but. Nous regardons comment votre environnement fonctionne réellement.

  3. Nous ne tordons pas les règles pour un contrat de plus.

    Un rapport conforme mais faux ne vaut rien, ni pour vous ni pour nous. Nous préférons perdre une mission que d’en signer un.

  4. Nous avons fait le métier.

    Nous sommes venus à l’évaluation après avoir exploité la sécurité : pare-feu, opérations, réponse à incident. Nous jugeons ce que nous avons nous-mêmes construit et défendu.

  5. Nous construisons ce dont nous avons besoin.

    Quand les outils n’existaient pas, nous avons écrit notre propre logiciel. Nous l’utilisons sur chaque mission.

Ce que nous faisons

Des évaluations PCI accréditées, et le conseil qui va avec.

Le QSA qui définit le périmètre de votre évaluation est celui qui la signe — des évaluateurs accrédités qui travaillent selon une seule méthode, un seul système qualité et un logiciel que nous avons conçu pour le métier.

Voir tous les services →
ÉvaluationÉvaluations PCI DSSUn Report on Compliance qui décrit quelque chose de réel, mené et signé par le même QSA, sans surprise tardive et sans tordre les règles.ÉvaluationÉvaluations PCI PINUne évaluation PIN menée et signée par le Qualified PIN Assessor qui l'a cadrée. Les clés, les équipements et les cérémonies entre les deux, regardés tels qu'ils fonctionnent.ÉvaluationÉvaluations PCI 3DSUne évaluation PCI 3DS de votre access control server, directory server ou 3DS Server, menée et signée par le 3DS Assessor qui l'a cadrée, avec les HSM et le protocole regardés tels qu'ils fonctionnent.ÉvaluationÉvaluations d'écart PCIOù vous en êtes réellement par rapport à PCI DSS, avant que quiconque n'ait à signer quoi que ce soit, avec un plan de remédiation ordonné par ce qui compte.ConseilConseil PCIUn QSA disponible pour les questions qui n'ont pas de réponse dans le manuel, avec des réponses que vous pouvez présenter à votre acquéreur, par écrit, avec le raisonnement.ConseilConseil en conformitéUn programme PCI qui tourne toute l'année, construit à partir de votre périmètre et de votre façon réelle de fonctionner, et la même expertise appliquée au-delà des réseaux de cartes quand c'est ce dont vous avez besoin.

Des tests de sécurité lus par des gens qui savent ce qu’ils doivent trouver.

Tests d’intrusion et de segmentation cadrés par nos QSA sur les exigences dont dépendent vos preuves, réalisés avec des partenaires spécialisés lorsque nous ne testons pas nous-mêmes, et lus par l’évaluateur qui s’appuiera dessus.

Tests de sécurité →

Au-delà du ROC.

La même expertise nous mène au-delà des réseaux de cartes : architecture cryptographique, gestion des PIN et des clés, authentification forte au sens de la DSP2, conception de la sécurité des paiements pour des organisations qui ne déposeront jamais de Report on Compliance.

Conseil en conformité →

Construit, pas acheté

Nous avons écrit notre propre logiciel parce que ceux du marché ne convenaient pas.

Tableurs, portails et outils GRC génériques rendaient les évaluations plus lentes et plus floues. Alors nous avons conçu un logiciel pour le métier : des preuves demandées une seule fois et liées à chaque exigence qu’elles servent, des constats suivis jusqu’à leur clôture, des rapports rédigés à partir du travail lui-même. Nous l’utilisons sur chaque mission : votre QSA consacre son temps au jugement, pas à la paperasse.

Voir ce qu’il fait →

Déroulement

Un seul QSA, du premier appel de cadrage à la signature.

Trois actes, cinq phases, aucun passage de relais. Vous savez toujours ce qui vient ensuite, et qui s’en charge.

Un seul QSA, du périmètre à la signature

  1. 01 · Préparer

    Qu’évaluons-nous ?

    1. Périmètre

      Convenir de ce qui est dans le périmètre, et pourquoi.

    2. Préparation

      Répondre à chaque exigence en langage clair, preuves à l’appui.

    Vous décrivez, votre QSA valide

  2. 02 · Évaluer

    Où en sommes-nous ?

    1. Analyse d’écart

      Chaque exigence testée ; les écarts deviennent des constats.

    2. Remédiation

      Les constats traités ensemble jusqu’à leur clôture.

    Votre QSA teste, vous comblez les écarts

  3. 03 · Rapporter

    Le mettre par écrit.

    1. Rapport et contrôle qualité

      Rapport de conformité (ROC) et attestation (AOC), revus en contrôle qualité avant signature.

    Votre QSA rédige et signe

Un seul dossier continu

  1. Réponses
  2. Preuves
  3. Conclusions
  4. ROC et AOC
Chaque réponse que vous donnez est reprise jusque dans le rapport. Rien n’est saisi deux fois.
Notre méthode, étape par étape →

De vraies missions. De vrais résultats.

La plupart de nos missions sont sous NDA : ces exemples sont donc anonymisés, mais les situations, décisions et résultats sont réels.

Voir toutes les études de cas →

Industrie

Nuit de ransomware, et trois semaines pour redémarrer

Un groupe industriel européen, 20+ usines, environ 10 000 postes

Liens coupés en quelques heures, activité normale trois semaines plus tard, tous les clients reconnectés en moins de trois mois, et un programme de sécurité que le groupe fait toujours vivre.

3 semaines

entre la coupure des liens et le retour à l'activité normale

Paiements

À quoi ressemble vraiment une première évaluation PCI 3DS

Un processeur de paiement par carte opérant des services 3DS pour ses banques

De 41 exigences avec des points ouverts à un Report on Compliance, une attestation et un certificat signés en deux mois, avec en chemin une lettre d'état d'avancement pour les partenaires du processeur.

41

exigences ouvertes après les journées sur site, 6 cinq semaines plus tard, 0 à la signature

Base de connaissances

Ce que nous savons, par écrit.

Des avis issus de la table d’évaluation, pas des résumés du standard. Signés et revus par nos QSA.

Parcourir la base de connaissances →

PCI DSS5 min de lecture

Choisir le bon SAQ

Posez deux questions avant de choisir un questionnaire. En quelle qualité traitez-vous le paiement, et qu'est-ce qui touche réellement la carte ? Quatre missions où la réponse évidente était la mauvaise, dans les deux sens.

Opérations de conformité3 min de lecture

Comment fournir des preuves revues en quelques minutes

Six règles tirées de nos notes de revue sur un premier Report on Compliance. Quand une case contient le bon type de fichier, nous le revoyons en quelques minutes. Sinon, nous l'ouvrons seulement pour l'écarter, et l'évaluation ralentit pour nous deux.

PCI DSS6 min de lecture

Contrôles compensatoires, refusés et acceptés

Nous rédigeons rarement un contrôle compensatoire formel, et nous refusons la plupart des substituts qu'on nous propose. Quatre refus, deux acceptations et un recadrage, pour montrer où se situe réellement la ligne.

Europe & CEMEA

Parlez à un QSA, pas à un commercial.

Votre premier échange se fait avec un QSA, qui peut vous dire ce qu’implique réellement votre évaluation, et qui la mènerait et la signerait. Autorisés par le PCI Security Standards Council en Europe et dans la région CEMEA, depuis Dublin et Paris.

Parler à un QSANotre méthode, étape par étape

  • Dublin

    Siège social et inscription au PCI SSC

  • Paris

    Notre société française, pour nos clients francophones

DublinParis