PCI 3DS est le standard du Council pour les systèmes derrière 3-D Secure, l’étape d’authentification des paiements par carte en ligne. Un processeur qui opère ces systèmes pour ses banques a besoin d’un 3DS Assessor pour les évaluer. Celui-ci était mûr, bien doté, déjà conforme PCI DSS, et s’attendait à ce que l’évaluation 3DS soit du PCI DSS avec une autre page de garde.
Le premier jour
Trois jours sur site, avec un ordre du jour organisé selon les domaines du standard. À la fin de la première matinée, la forme de la mission était claire, et elle n’était pas technique.
Il n’existait aucune définition formelle de l’environnement 3DS. Aucun diagramme de flux 3DS. La liste des matériels et logiciels critiques n’incluait pas les principales applications 3DS. Deux documents de périmètre se contredisaient sur le système d’exploitation des serveurs cryptographiques. La société qui exploitait le centre de données avait des responsabilités que personne n’avait écrites. Vingt et une personnes ont été interrogées en trois jours, du directeur de la sécurité aux achats, au juridique, au support cryptographique et à l’administration des sauvegardes, et la plupart faisaient ce qu’il fallait. Presque personne ne pouvait le montrer pour l’environnement 3DS en particulier.
Le sas
Un moment de la visite mérite d’être raconté. Nous étions quatre, l’évaluateur compris, devant le sas à entrée unique qui protège la zone sensible. Quatre badges ont été présentés. Quatre personnes sont passées ensemble. Personne n’a dit un mot, et nous n’avons rien dit non plus, pour voir si quelqu’un réagirait. Personne. C’était normal.
De retour en salle de réunion, nous l’avons soulevé et nous avons rencontré une surprise sincère. Cela avait été acceptable pendant des années, avec tous les auditeurs précédents, et d’ailleurs il y avait la sécurité à l’entrée. Cette sécurité, c’était un gardien à l’accueil du bâtiment, à quelques mètres, et des tourniquets que n’importe qui pouvait enjamber.
Un sas que quatre personnes franchissent ensemble est une porte. L’exigence existe pour empêcher exactement cela, et « le dernier auditeur n’y voyait rien à redire » n’est pas un contrôle. Un contrôle compensatoire a été convenu et documenté pour le cycle, avec cette compréhension partagée : le constat, c’était l’habitude, pas le matériel.
Un sas que quatre personnes franchissent ensemble est une porte.
Cinq semaines de preuves
Les notes de post-évaluation ont connu quatre versions en cinq semaines. Chaque version listait chaque exigence avec un point ouvert, ce qui avait été reçu, et ce qui la clôturerait. La règle de travail a été écrite dans la première version et n’a jamais changé : si nous ne pouvons pas examiner la preuve, l’exigence n’est pas en place.
Les constats restés ouverts le plus longtemps :
- Le périmètre. La liste des logiciels critiques et les deux documents de périmètre contradictoires devaient devenir un seul inventaire daté de l’environnement 3DS, avec un diagramme et une matrice indiquant où chaque donnée 3DS est stockée et pour combien de temps.
- La conservation des données. Des valeurs d’authentification étaient conservées au-delà de ce que le standard autorise. Elles doivent disparaître dès que l’autorisation est terminée, et les anciennes copies ont dû être retrouvées et purgées de chaque endroit où elles avaient été écrites.
- La sécurité web. La politique de sécurité de contenu des pages 3DS autorisait les scripts en ligne, ce qui retire l’essentiel de sa protection.
- Les processus récurrents. Plusieurs contrôles étaient étayés par un seul compte rendu de revue ou une capture de la page de garde d’un document. La récurrence se montre par plusieurs traces datées, pas une seule.
En chemin, les partenaires du processeur voulaient être rassurés avant que le rapport n’existe. Nous avons émis une lettre d’état d’avancement au bout de trois semaines : la mission était en cours et aucun constat ne représentait un risque significatif. Elle disait en termes clairs qu’elle ne donnait aucun avis sur la conformité. Une lettre d’avancement peut aider commercialement. Ce n’est pas une attestation, et nous n’en écrirons pas une qui prétend l’être.
Une chose encore que le processeur a bien faite : il ne pouvait pas laisser des preuves confidentielles sortir de ses murs. L’accès passait par un outil de gestion des droits, révoqué à la fin, et chaque fichier a été haché et conservé par le responsable de l’audit interne sous un formulaire de garde signé, pour la période de revue du Council. C’est à cela que sert la procédure de garde des preuves. Convenez-en au lancement, pas à la fin.
Deux mois
Six exigences étaient encore ouvertes cinq semaines après la visite. Toutes ont été closes une semaine plus tard. Le Report on Compliance, l’attestation et le certificat ont été émis deux mois après les journées sur site, avec quarante-quatre documents référencés dans le rapport.
Ce que l’on fait de travers
On suppose que la conformité PCI DSS couvre l’essentiel de 3DS. La seconde partie du standard 3DS porte sur la gouvernance, les preuves de périmètre, le traitement des données 3DS et la gestion des clés, et tout cela doit être documenté pour l’environnement 3DS en particulier. Un programme PCI DSS mûr est une longueur d’avance sur la technique et presque aucune aide sur la documentation.
On prend les journées sur site pour l’évaluation. Les journées sur site sont le début. L’essentiel du travail est la boucle de preuves qui suit, et l’organisation qui prépare ses documents de périmètre avant l’arrivée de l’évaluateur s’en épargne la plus grande part.