Évaluations PCI PIN

Qui vient nous voir pour cela

Des entreprises à qui leur acquéreur ou un réseau demande une Attestation of Compliance PCI PIN : processeurs et switchs qui traduisent des PIN, centres d’injection de clés, exploitants de parcs d’automates et de terminaux et les sociétés qui déploient les équipements pour eux, autorités de certification et d’enregistrement qui chargent des clés dans les équipements, et prestataires de paiement qui viennent d’internaliser le traitement des PIN. Le standard est plus étroit que PCI DSS et bien plus physique : des clés, le matériel qui les abrite, et les cérémonies entre les deux. Les personnes qui l’évaluent pour vous ont construit et exploité ce matériel.

Ce que nous faisons

1. Le périmètre sur la hiérarchie de clés, pas sur le réseau.

   Nous partons des clés : chaque clé de la hiérarchie, où elle est générée, comment elle entre dans chaque équipement, où un PIN est traduit, et qui détient les composants. En découlent les équipements cryptographiques sécurisés dans le périmètre, les sites, et les tiers avec leurs responsabilités écrites. Ici, le périmètre est un schéma de clés et d’équipements, et nous le dessinons avec vous avant d’évaluer quoi que ce soit.

2. Les documents, puis la pratique.

   Procédures de gestion des clés, formulaires des dépositaires, journaux de cérémonies, inventaires d’équipements, configurations des HSM : nous les lisons, puis nous regardons. Une cérémonie de clés observée, un dépositaire à qui l’on demande de produire un composant, un journal d’inviolabilité lu avec la personne qui le tient. Le standard demande si le contrôle est en usage, et cela ne se lit pas dans une politique.

3. Sur site, là où sont les clés.

   Salles d’injection de clés, cages de HSM, stockage sécurisé, quai où arrivent les équipements : les contrôles physiques sont une grande part de ce standard et ils s’évaluent en personne. Les preuves à distance couvrent ce qu’elles peuvent. Personne ne signe un rapport PIN sur de seules photographies.

4. Les constats dès qu'ils sont confirmés.

   Vous apprenez un constat quand votre évaluateur le confirme, avec exactement ce qui le fermerait. En PIN, c’est souvent une procédure à réécrire et une cérémonie à refaire, alors nous vous le disons tôt, pendant que les personnes et la salle sont encore disponibles. Les tours de remédiation sont convenus, avec une date butoir.

5. Revue qualité, puis signature.

   Avant émission, le rapport passe par notre revue, qui peut changer des déterminations et le fait. Puis le Qualified PIN Assessor qui a cadré la mission signe le Report on Compliance et l’Attestation of Compliance, et si vous voulez vos services sur la liste des prestataires PIN du Council, la soumission qui va avec.

Ce que nous ne ferons pas