Évaluations PCI DSS

Qui vient nous voir pour cela

Des commerçants et des prestataires de services à qui leur acquéreur, un réseau ou leurs clients demandent un Report on Compliance : plateformes de paiement, sociétés d’e-commerce, processeurs, centres d’appels, et entreprises dont le volume de transactions vient de les faire sortir du chemin de l’auto-évaluation. Certains l’ont fait de nombreuses fois. D’autres en sont à leur première, et c’est la première où le choix de l’évaluateur compte le plus.

Ce que nous faisons

Un seul QSA, du périmètre à la signature

1. 01 · Préparer

   Qu’évaluons-nous ?

   1. Périmètre

      Convenir de ce qui est dans le périmètre, et pourquoi.

   2. Préparation

      Répondre à chaque exigence en langage clair, preuves à l’appui.

   Vous décrivez, votre QSA valide

2. 02 · Évaluer

   Où en sommes-nous ?

   1. Analyse d’écart

      Chaque exigence testée ; les écarts deviennent des constats.

   2. Remédiation

      Les constats traités ensemble jusqu’à leur clôture.

   Votre QSA teste, vous comblez les écarts

3. 03 · Rapporter

   Le mettre par écrit.

   1. Rapport et contrôle qualité

      Rapport de conformité (ROC) et attestation (AOC), revus en contrôle qualité avant signature.

   Votre QSA rédige et signe

Un seul dossier continu

1. Réponses
2. Preuves
3. Conclusions
4. ROC et AOC

1. Le périmètre d'abord.

   Avant d’évaluer la moindre exigence, nous confirmons le périmètre avec vous : chaque système à l’un de trois endroits, les flux de données, les contrôles de segmentation nommés tels que la console les nomme, et les tiers avec leurs responsabilités écrites. Un périmètre que vous assumez est celui sur lequel le rapport est écrit.

2. Les preuves, demandées une seule fois.

   Chaque preuve est demandée une fois, liée à chaque exigence qu’elle sert, avec une ligne décrivant à quoi ressemble « bien ». Vous la soumettez par le logiciel que nous avons conçu pour cela, et nous la revoyons par rapport à la demande, en quelques minutes quand elle correspond et avec une note précise quand ce n’est pas le cas.

3. Sur site et à distance.

   Entretiens, observation et test des contrôles qui ne se lisent pas dans un fichier : les contrôles physiques, les écrans des administrateurs, les processus censés être connus et utilisés.

4. Les constats dès qu'ils sont confirmés.

   Vous apprenez un constat quand votre QSA le confirme, avec exactement ce qui le fermerait, pas dans le rapport. Les tours de remédiation sont convenus, avec une date butoir. Un rapport conclu avec un plan clair est une meilleure fin pour nous deux qu’un tour de plus.

5. Revue qualité, puis signature.

   Avant émission, le rapport passe par notre revue, qui peut changer des déterminations et le fait, parfois à votre détriment. Puis le QSA qui a cadré la mission signe le Report on Compliance et l’attestation.

Ce que nous ne ferons pas