Les entreprises qui ont traversé plusieurs évaluations PCI DSS arrivent à leur première évaluation PCI PIN en s’attendant à la même chose : une longue liste d’exigences, un dossier de preuves partagé, des captures d’écran et des politiques. Puis l’évaluateur demande à voir la cérémonie de clés, dans la salle, avec les dépositaires, et la préparation recommence depuis le début.
Les PCI PIN Security Requirements sont plus étroites que PCI DSS et bien plus concrètes. Elles s’appliquent à quiconque traite des PIN ou gère les clés qui les protègent pour le compte d’acquéreurs : processeurs et switchs, centres d’injection de clés, exploitants de parcs de terminaux et d’automates, autorités de certification et d’enregistrement, et les prestataires qui font cela pour eux. Le standard est organisé autour de la vie d’une clé : comment elle est générée, transportée, chargée, utilisée, administrée et détruite, et dans quel matériel chacune de ces étapes a lieu.
Commencez par la hiérarchie de clés
Tout, dans l’évaluation, découle d’un seul schéma : chaque clé de votre hiérarchie, son usage, où elle est générée, comment elle entre dans chaque équipement qui l’utilise, où un bloc PIN est traduit d’une clé à une autre, et qui détient les composants. Si vous ne pouvez pas le dessiner, vous n’êtes pas prêt, et les premières semaines de la mission passeront à le dessiner avec votre évaluateur au lieu d’évaluer.
Du schéma découle le périmètre : les équipements cryptographiques sécurisés, c’est-à-dire les HSM, les dispositifs de saisie de PIN et tout ce qui détient une clé en clair ; les sites où les clés sont générées, chargées ou stockées ; et les tiers, chacun avec ses responsabilités écrites. Un centre d’injection de clés que vous utilisez, un organisme de support cryptographique qui génère des clés pour vous, un centre de données qui héberge vos HSM : chacun a soit sa propre attestation sur laquelle vous pouvez vous appuyer, soit fait partie de la vôtre.
Ce que l’évaluateur demandera à voir
Les documents. Politique et procédures de gestion des clés, nominations des dépositaires et engagements signés, scripts de cérémonies de clés, inventaires de clés et de composants, inventaires d’équipements avec numéros de série et emplacements, standards de configuration des HSM, et les journaux de chaque cérémonie, de chaque accès à un composant et de chaque mouvement d’équipement. Les documents doivent décrire ce que vous faites. Pas un modèle ; ce que vous faites.
La pratique. Ensuite l’évaluateur regarde. Une cérémonie de clés exécutée sous double contrôle, avec connaissance partagée, journalisée au fil de l’eau. Un dépositaire à qui l’on demande de sortir un composant du coffre, ce qui teste le coffre, le dépositaire et le journal d’un seul geste. La configuration d’un HSM lue sur la console, pas dans un document. Les sachets inviolables, leurs numéros de série face au journal, les scellés intacts. Le standard demande si un contrôle est en usage, et la seule façon de répondre est de le voir utilisé.
Le physique. Les salles d’injection de clés et leur contrôle d’accès, les cages de HSM, les coffres et leurs combinaisons, le quai où arrivent les équipements et les registres qui montrent qu’ils ont été inspectés avant d’être mis en confiance. Une grande partie s’évalue sur site, en personne. Les preuves à distance couvrent ce qu’elles peuvent ; personne ne signe un rapport PIN sur de seules photographies.
Les documents doivent décrire ce que vous faites. Pas un modèle ; ce que vous faites.
Là où ça dérape
Les échecs que nous voyons sont rarement cryptographiques. Ils sont humains et procéduraux.
Un composant de clé dans un tiroir, gardé « en secours » par quelqu’un qui a quitté l’équipe des clés il y a deux ans. Chaque composant est dans le périmètre, y compris ceux que personne n’utilise.
Un script de cérémonie écrit pour l’audit et jamais exécuté tel qu’écrit. Les dépositaires connaissent les vraies étapes ; le script en décrit d’autres. L’évaluateur s’en apercevra en quelques minutes, parce que les dépositaires hésitent là où le script n’hésite pas.
Un double contrôle qui existe sur le papier. Deux dépositaires nommés, dont l’un est toujours en déplacement, si bien que l’autre a appris à se débrouiller. Le journal montre deux signatures de la même main.
Des inventaires d’équipements qui ont cessé d’être tenus quand le parc a été externalisé. Les terminaux appartiennent désormais à un partenaire, donc personne ne tient la liste, et personne ne sait dire quels équipements détiennent quelles clés.
Des journaux d’audit de HSM que personne ne lit, et un HSM sur un site de reprise configuré une fois, il y a des années, autrement que la production.
Rien de tout cela n’est difficile à corriger. Tout cela est difficile à corriger dans les deux semaines qui précèdent une évaluation, parce que la correction est une procédure qu’il faut exécuter, par des personnes qui doivent être dans la salle, et journaliser.
Ce qui a changé du côté du Council
Deux choses valent d’être connues si votre dernière évaluation PIN date de plus de deux ans.
Le Council publie désormais une liste des prestataires de services PCI PIN. Un service validé peut y être inscrit, avec son évaluateur et sa date d’expiration, et les acquéreurs et les réseaux y regardent de plus en plus avant de regarder votre attestation. L’inscription est facultative et a ses propres étapes de soumission et ses frais, par le portail du Council, par votre évaluateur ou par vous ; l’accord de publication est signé pour chaque évaluation. Si figurer sur la liste compte commercialement, prévoyez-le dans la mission plutôt qu’après.
Le programme qui encadre les évaluateurs s’est aussi resserré : conservation des preuves, indépendance, requalification et critères de qualité que le Council applique quand il audite le travail d’un évaluateur. Concrètement, votre évaluateur demandera plus de preuves primaires et acceptera moins d’affirmations, et c’est la direction que prend toute l’industrie.
Un ordre de préparation qui fonctionne
- Dessinez la hiérarchie de clés et la carte des équipements. Validez-les avec votre évaluateur avant toute autre chose.
- Nommez les dépositaires, confirmez leur disponibilité pendant la fenêtre d’évaluation, et vérifiez que nominations et engagements sont signés.
- Rapprochez les inventaires de la réalité : chaque composant, chaque HSM, chaque équipement, chaque coffre. Corrigez l’inventaire, pas la réalité, quand l’écart tient à un enregistrement ; corrigez la réalité quand un composant est là où il ne devrait pas être.
- Exécutez une cérémonie de bout en bout, à partir du script écrit, avec les vrais dépositaires, et journalisez-la. Corrigez le script là où la salle l’a contredit.
- Extrayez les configurations et les journaux d’audit des HSM de production et de reprise, et lisez-les face à votre propre standard.
- Écrivez les responsabilités de chaque tiers et rassemblez les attestations sur lesquelles vous vous appuyez.
- Alors seulement, remplissez les demandes de preuves. À ce stade, la plupart ont déjà leur réponse.