Évaluations PCI 3DS

Qui vient nous voir pour cela

Des entreprises qui exploitent un composant d’EMV 3-D Secure : access control servers pour les émetteurs, directory servers pour les réseaux, 3DS Servers pour les commerçants et les acquéreurs, et les émetteurs et processeurs qui en exploitent un eux-mêmes. Beaucoup arrivent à leur première évaluation 3DS avec un Report on Compliance PCI DSS en main et l’idée qu’il les couvre. Il en couvre une partie. Le 3DS Core Security Standard ajoute ses propres exigences, sur le protocole, sur les HSM et sur les données que produit l’authentification.

Ce que nous faisons

1. Le périmètre sur l'environnement 3DS.

   Le composant que vous exploitez, les systèmes qui créent, traitent ou stockent des données 3DS, les HSM qui protègent les clés, les connexions aux réseaux et aux autres composants, et les tiers avec leurs responsabilités écrites. Le standard a deux parties : un socle de sécurité auquel une évaluation PCI DSS à jour répond en grande partie, et les exigences 3DS proprement dites. Nous cartographions ce que votre rapport existant couvre déjà, pour que rien ne soit évalué deux fois.

2. Le protocole tel que déployé.

   Flux de messages, gestion des certificats, opérations cryptographiques dans le HSM, journalisation des résultats d’authentification : lus dans la configuration, puis observés en test et en production. Une évaluation 3DS se tient près de l’implémentation, et c’est là que nous passons le temps.

3. Les HSM et les clés.

   Les HSM, leur configuration, les cérémonies de clés et les dépositaires : la même discipline qu’une évaluation PIN, appliquée aux clés qui signent et vérifient l’authentification. Quand le HSM est un service cloud, nous évaluons la responsabilité partagée telle que le contrat l’écrit, pas telle que chacun espère qu’elle fonctionne.

4. Les constats dès qu'ils sont confirmés.

   Vous apprenez un constat quand votre évaluateur le confirme, avec exactement ce qui le fermerait, pas dans le rapport. Les tours de remédiation sont convenus, avec une date butoir. Un rapport conclu avec un plan clair est une meilleure fin pour nous deux qu’un tour de plus.

5. Revue qualité, puis signature.

   Avant émission, le rapport passe par notre revue, qui peut changer des déterminations et le fait. Puis le 3DS Assessor qui a cadré la mission signe le Report on Compliance et l’Attestation of Compliance, les documents que les réseaux vous demandent.

Ce que nous ne ferons pas