Une évaluation PCI DSS couvre une période, généralement les douze mois précédant le rapport. Elle ne demande pas si un contrôle est en place aujourd’hui. Elle demande s’il a fonctionné tout du long. C’est pourquoi les organisations qui trouvent les évaluations sereines ne sont pas celles qui ont la meilleure technologie. Ce sont celles qui ont un calendrier.
Le calendrier, par fréquence
Voici les activités périodiques que PCI DSS version 4 demande, regroupées par fréquence. Les mentions « prestataires de services » s’appliquent à eux en plus de la règle générale. Là où le standard dit « à la fréquence définie par votre analyse de risque ciblée », c’est vous qui fixez la fréquence, et l’analyse de risque est elle-même une trace annuelle.
Chaque jour. Revoir les journaux de sécurité et les alertes des systèmes qui comptent le plus, et garder une trace que la revue a eu lieu et de ce qui en est sorti.
Chaque semaine ou selon l’analyse de risque. Revoir les autres journaux à la fréquence définie par votre analyse de risque. Inspecter les terminaux de paiement à la fréquence définie par votre analyse de risque, par rapport à un inventaire.
Chaque mois. Installer les correctifs de sécurité critiques dans le mois suivant leur publication ; la trace est le rapport de correctifs avec les dates.
Chaque trimestre. Analyses de vulnérabilités internes, avec de nouvelles analyses jusqu’à résolution des éléments à haut risque. Analyses externes par un prestataire approuvé, avec un rapport de réussite. Pour les prestataires de services : une revue documentée du respect des politiques et procédures de sécurité par le personnel.
Tous les six mois. Revoir les règles des pare-feu et des routeurs, et consigner ce qui a été retiré. Revoir tous les comptes et accès utilisateurs, tiers compris, et consigner ce qui a changé. Pour les prestataires de services : tester les contrôles de segmentation, et confirmer le périmètre.
Tous les douze mois. Confirmer et documenter le périmètre. Tests d’intrusion externes et internes, plus un nouveau test de ce qui a été trouvé. Analyses de risque ciblées pour chaque exigence qui en dépend. Sensibilisation à la sécurité pour tous, avec des traces. Tester le plan de réponse à incident. Revoir le matériel et les logiciels utilisés pour vérifier qu’ils sont toujours maintenus. Suivre la conformité de chaque prestataire de services tiers et en garder la preuve. Revoir la politique de sécurité de l’information. Revoir et mettre à jour l’inventaire des composants, les diagrammes de flux et les schémas réseau.
Après tout changement significatif. Tests d’intrusion et tests de segmentation, et une nouvelle analyse. « Significatif » est défini par vous, par écrit, à l’avance, pour que personne n’en discute après coup.
Faire de la liste un état
Chaque ligne reçoit un responsable nommé, une date d’échéance et la description de la trace qu’elle produit. Pas « analyse trimestrielle : informatique » mais « analyse interne, première semaine de chaque trimestre, Marie, résultat : le rapport d’analyse avec la nouvelle analyse jointe, classé ici ». Quand l’évaluation arrive, l’évaluateur demande quatre exemplaires de quelque chose, et quatre sont là, chacun avec une date et un nom.
La première année est la plus dure, parce que les traces n’existent pas encore. Les organisations qui lancent le calendrier six mois avant leur première évaluation arrivent avec six mois de traces et une explication claire pour le reste. Celles qui le lancent six semaines avant arrivent avec six semaines et un problème.
Ce que l’on fait de travers
On traite la préparation comme un projet qui a une fin. L’évaluation se termine. Le calendrier, non.
On fixe les fréquences par habitude plutôt que par l’analyse de risque que le standard demande, et l’on ne sait plus expliquer la fréquence quand on nous la demande.
On fait l’activité et on saute la trace. Une revue qui ne laisse aucune trace n’a pas eu lieu, aux yeux de l’évaluation, et souvent aux yeux de la réalité.
On oublie « après tout changement significatif ». Une plateforme reconstruite en mars sur un test de septembre dernier a un réseau non testé.
Une revue qui ne laisse aucune trace n’a pas eu lieu, aux yeux de l’évaluation, et souvent aux yeux de la réalité.