La plupart des organisations collectent leurs preuves PCI DSS de la même façon chaque année : un tableur de trois cents exigences, une boîte mail, six semaines à demander les mêmes exports aux mêmes ingénieurs, et un dossier que personne ne sait plus parcourir à la fin. Le processus qui le remplace n’est pas compliqué. Il repose sur une idée : demander une seule fois.
Un fichier, plusieurs exigences
Un export de règles de pare-feu est une preuve pour l’exigence sur la restriction du trafic entrant, celle sur le trafic sortant, celle sur la revue des règles, et celle sur la justification métier documentée de chaque règle. Quatre exigences, un fichier, une demande. Un compte rendu de revue d’accès trimestrielle sert l’exigence sur la revue des comptes, celle sur le retrait des personnes parties, et celle sur les accès privilégiés. Les organisations qui peinent demandent le même export quatre fois, à quatre personnes, dans quatre dossiers.
Demandé une fois
Exigences couvertes
Règles de pare-feu et leur dernière revue
1.2.7Contrôles de sécurité réseau revus tous les six mois
1.3.1Trafic entrant vers le CDE restreint
1.3.2Trafic sortant du CDE restreint
Standard de durcissement des systèmes
2.2.1Standards de configuration maintenus
2.2.2Comptes par défaut des fournisseurs gérés
2.2.4Seuls les services nécessaires activés
Revue des accès validée
7.2.4Accès utilisateurs revus tous les six mois
8.2.6Comptes inactifs désactivés sous 90 jours
3 demandes à votre équipe. 8 exigences couvertes.
Construisez la liste dans l’autre sens. Pour chaque preuve, listez chaque exigence qu’elle soutient. La demande à l’ingénieur devient alors « l’export des règles, annoté », une fois, et l’évaluateur le trouve à quatre endroits.
À quoi ressemble « bien », par écrit
Pour chaque élément, écrivez à quoi ressemble « bien » avant que quiconque ne le collecte. Pour les règles : chaque règle a une justification métier documentée, et la dernière revue date de moins de six mois. Pour la revue d’accès : une liste datée, un relecteur nommé, et une trace de ce qui a été retiré. Cette seule phrase transforme une demande de « envoie-moi la config du pare-feu » en quelque chose qu’un ingénieur peut satisfaire du premier coup, et qu’un évaluateur peut revoir en quelques minutes.
Un responsable et une date
Chaque élément a un responsable nommé, la personne qui le produit, et une date à laquelle il doit exister. Les éléments récurrents ont une fréquence : cet export chaque trimestre, cette revue tous les six mois, ce test chaque année. Un contrôle porté par « l’informatique » n’est porté par personne. Un contrôle porté par Marie, dû le premier du trimestre, a lieu.
Des preuves de fonctionnement, pas de définition
Le processus doit produire des traces qu’un contrôle a fonctionné, pas des documents qui disent qu’il existe. Une politique se collecte une fois. Une revue de journaux a lieu chaque jour et laisse une trace chaque jour. Le processus de preuves porte surtout sur le second type : des traces datées, attribuables, produites par la routine, conservées là où on les retrouve, pour qu’à la revue de la période d’évaluation, douze mois de fonctionnement soient là.
Le processus doit produire des traces qu’un contrôle a fonctionné, pas des documents qui disent qu’il existe.
Là où le logiciel intervient
Nous avons conçu un logiciel pour cela, et nous l’utilisons sur chaque mission. Chaque demande de preuve est posée une fois et liée à chaque exigence qu’elle sert. Chaque élément porte son « à quoi ressemble bien », son responsable et sa date. Les constats sont suivis jusqu’à leur clôture, en regard de la preuve qui les ferme, et le rapport est rédigé à partir du travail lui-même plutôt que ressaisi depuis un dossier. L’essentiel n’est pas le logiciel ; n’importe quel système organisé fait l’essentiel de cela. L’essentiel est que la structure existe avant le début de l’évaluation, pour que l’évaluation soit la confirmation d’une année de traces plutôt que leur reconstruction en six semaines.
Ce que l’on fait de travers
On organise les preuves par numéro d’exigence et l’on classe le même export sous quatre numéros, ou sous aucun. On collecte au moment de l’évaluation, si bien que les seules preuves existantes datent du dernier mois. On laisse la liste de demandes de l’évaluateur définir le processus, ce qui veut dire que le processus est réinventé chaque année par un évaluateur différent.