Ce que nous savons, par écrit
Base de connaissances
Des avis issus de la table d'évaluation et de la cellule de crise, pas des résumés du standard. Signés et revus par nos QSA.
PCI DSS
9 articles
Commencez ici
8 min de lecture
Scripts de page de paiement : ce que demandent 6.4.3 et 11.6.1, et ce que le SAQ A doit encore
Deux exigences PCI DSS protègent désormais la page où la carte est saisie, telle que le navigateur la reçoit. Ce que chacune demande réellement, quels mécanismes répondent à quelle partie, pourquoi surveiller votre serveur ne compte pas, et ce qu'un commerçant en SAQ A doit encore une fois que son prestataire a confirmé son iframe.
6 min de lecture
Contrôles compensatoires, refusés et acceptés
Nous rédigeons rarement un contrôle compensatoire formel, et nous refusons la plupart des substituts qu'on nous propose. Quatre refus, deux acceptations et un recadrage, pour montrer où se situe réellement la ligne.
5 min de lecture
L'AOC de votre prestataire n'est pas votre conformité
Une attestation de conformité qui couvre tous les centres d'appels sauf le vôtre. Un acquéreur dont l'AOC exclut les terminaux qu'il vous loue. Une demande d'« AOC pour le domaine du fournisseur ». Pourquoi la chasse annuelle aux AOC tourne mal, et quoi vérifier à la place.
4 min de lecture
Là où le standard n'est pas tranché : l'exigence 3.4.2
Des administrateurs accèdent par SSH aux bases contenant des données de cartes, et le standard dit qu'ils ne doivent pas pouvoir en copier les numéros, sauf s'ils y sont autorisés. Nous avons utilisé cette exception, et nous n'en sommes pas à l'aise. Voici notre raisonnement, et ce dont nous ne sommes pas sûrs.
4 min de lecture
Le document le disait. La réalité, non.
Une politique de conservation que la base de données contredisait. Un centre de données dont l'accueil « permanent » était vide. Une plateforme évaluée avant de fonctionner. Trois raisons de lancer la requête, de visiter le site et de demander à voir la chose fonctionner.
5 min de lecture
Quand votre prestataire de paiement vous coupe
Trois boutiques en ligne, toutes légitimement en SAQ A, toutes victimes d'un skimmer. Le prestataire voit les transactions chuter, suspend les paiements par carte et envoie le commerçant chez un QSA. Ce qui se passe ensuite, et pourquoi une mise à jour est souvent toute la solution.
4 min de lecture
Les constats que nous émettons le plus souvent, et ce qui ferme chacun
Douze constats tirés de vraies évaluations, aucun exotique. Pour chacun, à quoi il ressemble dans la salle et la seule chose qui le ferme.
4 min de lecture
Le périmètre PCI DSS : dedans, connecté, ou dehors
Chaque système de votre parc est à l'un de trois endroits. La plupart des erreurs de périmètre viennent de ce que l'on traite « ne porte pas de données de cartes » comme si cela voulait dire « hors périmètre », et de ce que l'on écrit le périmètre par type de composant plutôt que par système.
5 min de lecture
Choisir le bon SAQ
Posez deux questions avant de choisir un questionnaire. En quelle qualité traitez-vous le paiement, et qu'est-ce qui touche réellement la carte ? Quatre missions où la réponse évidente était la mauvaise, dans les deux sens.
Opérations de conformité
4 articles
Commencez ici
6 min de lecture
Préparer une évaluation PCI PIN
PCI PIN n'est pas PCI DSS avec une autre numérotation. C'est un standard sur les clés, le matériel qui les abrite et les personnes qui les touchent, et les preuves sont surtout physiques. Ce qu'un Qualified PIN Assessor demandera à voir, ce qu'il faut avoir prêt, et ce qui est nouveau maintenant que le Council liste les prestataires PIN.
3 min de lecture
Comment fournir des preuves revues en quelques minutes
Six règles tirées de nos notes de revue sur un premier Report on Compliance. Quand une case contient le bon type de fichier, nous le revoyons en quelques minutes. Sinon, nous l'ouvrons seulement pour l'écarter, et l'évaluation ralentit pour nous deux.
4 min de lecture
Être prêt pour l'audit est un état : le calendrier PCI DSS
L'évaluation regarde les douze derniers mois, pas les six dernières semaines. Les organisations qui la trouvent sereine sont celles qui ont un calendrier de chaque exigence périodique, un responsable par ligne, et une trace produite à chaque fois. Voici le calendrier.
3 min de lecture
Demander une seule fois : un processus de preuves qui tourne toute l'année
Un export de pare-feu sert quatre exigences. Un compte rendu de revue en sert trois. Le processus de preuves qui transforme la course annuelle en routine consiste surtout à lier chaque preuve à tout ce qu'elle prouve, et à lui donner un responsable et une date.
Tests de sécurité
3 articles
Commencez ici
5 min de lecture
Un test de segmentation depuis un seul rebond n'est pas un test de segmentation
La segmentation sort des réseaux du périmètre, donc le test qui la prouve porte toute l'évaluation. Trois façons dont nous l'avons vu échouer, et une fin où ce n'était pas à nous de décider.
3 min de lecture
Les tests de segmentation, expliqués
La segmentation ne réduit le périmètre que si un test le prouve. Ce que PCI DSS demande, à quelle fréquence, depuis où, ce que le rapport doit dire, et les détails cloud que la plupart des tests manquent.
3 min de lecture
Tests d'intrusion et PCI DSS : ce que le standard demande vraiment
Interne et externe, réseau et applicatif, une fois par an et après tout changement significatif, avec les constats exploitables corrigés et retestés. En quoi cela diffère du scan trimestriel, comment nous le cadrons et le réalisons, et comment un évaluateur lit le rapport.
Automatisation
1 article
La sécurité en pratique
9 articles
Commencez ici
6 min de lecture
Authentification forte, possession et liaison de l'appareil
Sous la DSP2, le facteur « possession » est celui que la plupart des équipes ratent. Un numéro de téléphone n'est pas une possession. Un fichier de clé n'est pas une possession. Une clé qui ne peut pas quitter l'appareil en est une. Ce que demandent les normes techniques, comment lier un appareil pour que cela compte, et les erreurs d'enrôlement qui bloquent de vrais clients.
4 min de lecture
Du temps de réaction sans acheter un SOC
Un groupe industriel est passé d'alertes par e-mail lues aux heures de bureau à une cellule de tri permanente en trois mois, sans centre opérationnel de sécurité externalisé. Nous avons aidé à le spécifier ; le groupe l'a fait tourner. Quoi surveiller d'abord, qui fait quoi, et ce que la cellule ne peut pas faire.
4 min de lecture
La preuve vaut mieux que l'affirmation
« L'informatique dit que c'est corrigé. » Une capture d'écran de page de garde. « Nous considérons qu'aucune donnée n'a été affectée. » Clients, régulateurs et évaluateurs demandent tous la même chose, et ce n'est aucune des trois.
5 min de lecture
La sécurité est une décision de gouvernance
Le tournant d'un programme de sécurité de deux ans n'a pas été un produit. C'est le jour où les décisions de risque sont passées au comité exécutif. Pourquoi la plupart des constats ouverts concernent la responsabilité, pas la technique.
5 min de lecture
Le contrôle n'est pas l'outil
Un jeton signé n'est pas une possession. Un scanner n'est pas une gestion des vulnérabilités. Un pare-feu applicatif n'est pas un site corrigé. Trois fois où une technologie a été prise pour le résultat qu'elle devait produire.
4 min de lecture
Le périmètre et l'inventaire d'abord
Rien ne peut être évalué ni protégé tant que l'on ne sait pas ce qui est dans le périmètre. Trois missions, trois façons différentes de se tromper.
4 min de lecture
Quand l'évaluateur avait tort
Notre propre revue qualité a renversé nos déterminations. Nos notes de périmètre se sont ouvertes sur des corrections à nous-mêmes. Un fournisseur a eu raison là où nous avions tort. Comment nous réagissons quand on nous contredit, et pourquoi c'est ce qui donne du poids au reste.
4 min de lecture
Vendre l'hygiène cyber à un comité exécutif
Un dossier de décision pour une gestion des vulnérabilités à l'échelle du groupe, écrit en quatre verbes simples, avec les directeurs informatiques de sites qui parlent pour l'outil à la place du RSSI. Il a été approuvé. Deux mois plus tard, l'attaque qu'il prédisait est arrivée. Ce que le dossier a réussi, et ce qu'il ne pouvait pas faire seul.
3 min de lecture
Vos sauvegardes valent votre dernier test de restauration
Après une attaque par ransomware, un groupe industriel a passé en revue les sauvegardes de son système le plus critique sur chaque usine. La plupart ont été restaurées entièrement. Un site a perdu ses archives parce que le serveur d'archives n'avait jamais été sauvegardé. Ce que la revue a trouvé, et les trois habitudes qu'elle justifie.