Préparation à la conformité PCI-DSS 4.0

Veuillez évaluer votre infrastructure et vos processus afin de vous conformer aux exigences PCI DSS.

Mises à jour importantes et calendrier pour les nouvelles exigences PCI-DSS 4.0

La norme PCI-DSS 4.0 introduit des mises à jour visant à améliorer la sécurité des données des titulaires de cartes et à tenir compte des risques actuels et des progrès technologiques dans le secteur des cartes de paiement. Les modifications permettent aux entreprises de prendre des mesures de sécurité sur mesure, à condition qu'elles prouvent qu'elles respectent les objectifs de sécurité. En outre, l'authentification multifactorielle est étendue à tous les accès dans l'environnement des données des titulaires de cartes et le cryptage est renforcé dans tous les réseaux. De plus, une plus grande importance est accordée à l'analyse et à la réduction continues des risques, ainsi qu'à l'amélioration des capacités de détection et de réaction rapides aux incidents de sécurité. Une période de transition est prévue pour ces nouvelles exigences afin de permettre aux entreprises de mettre en œuvre la nouvelle version tout en continuant à respecter les normes existantes.

Pourquoi les RSSI devraient donner la priorité aux dernières mises à jour PCI DSS

Le respect de ces normes actualisées est non seulement essentiel pour se conformer à la réglementation, mais également pour se protéger contre les cybermenaces et les cyberrisques nouveaux et émergents. En mettant en œuvre ces normes, les entreprises peuvent se prémunir contre les violations, protégeant ainsi leur réputation et évitant des amendes potentiellement élevées en cas de non-conformité.

Date d'entrée en vigueur de la DSS 4.0 : mars 2024 ; mise à jour jusqu'en mars 2025.

La norme PCI-DSS 4.0 souligne l'importance d'intégrer des processus de sécurité continus dans les opérations commerciales quotidiennes.

La conformité ne peut se limiter à une évaluation ponctuelle. Cette approche est essentielle pour les RSSI chargés de promouvoir une culture de sensibilisation à la sécurité et de gestion proactive des risques au sein de leur organisation. La mise en œuvre de la norme PCI-DSS 4.0 contribue également à accroître la valeur commerciale en établissant une infrastructure de sécurité robuste qui prend en charge des environnements de paiement sécurisés.

Vos développeurs sont-ils en mesure de fournir des logiciels conformes ?

Les développeurs jouent un rôle essentiel, mais souvent sous-exploité, dans la mise en place d'une sécurité logicielle optimale. Il est important que les développeurs comprennent la vision globale de la norme PCI DSS 4.0 et sachent ce qu'ils peuvent contrôler et intégrer dans le cadre de leur approche standard de création de logiciels.

La exigence 6 de la norme PCI DSS définit les attentes en matière de développement et de maintenance de logiciels sécurisés.

Cela comprend une multitude de thèmes, allant des normes de développement sécurisées à la formation des développeurs, en passant par la configuration et la gestion des modifications. Toutes les organisations qui développent des logiciels utilisés dans un réseau de données de titulaires de cartes (CHD) doivent se conformer à ces réglementations.

Comme indiqué dans l'exigence 6.2.2, le personnel chargé du développement de logiciels sur mesure et personnalisés suit une formation au moins une fois tous les 12 mois, comme suit :

• À propos de la sécurité logicielle pertinente pour votre fonction professionnelle et vos langages de développement.
• Y compris la conception sécurisée de logiciels et les techniques de codage sécurisées.
• Y compris l'utilisation d'outils de test de sécurité pour détecter les failles de sécurité dans les logiciels.

La norme stipule également que la formation doit au moins inclure les éléments suivants :

• Langages de développement disponibles
• Conception de logiciels sécurisée
• Techniques de codage sécurisées
• Utilisation de techniques/méthodes pour détecter les failles de sécurité dans le code
• Procédure visant à empêcher la réintroduction de failles de sécurité précédemment corrigées

En outre, les développeurs doivent être familiarisés avec TOUTES les techniques d'attaque (décrites dans l'exigence 6.2.4). Cela comprend une liste de catégories d'attaques qui servent d'exemples :

• Attaques par injection, y compris les erreurs de type commande, paramètre, objet, erreur ou injection SQL, LDAP, XPath ou autres.
• Attaques contre les données et les structures de données, y compris les tentatives de manipulation des tampons, des pointeurs, des données d'entrée ou des données partagées.
• Attaques visant l'utilisation de la cryptographie, y compris les tentatives d'exploitation d'implémentations cryptographiques, d'algorithmes, de suites de chiffrement ou de modes de fonctionnement faibles, non sécurisés ou inappropriés.
• Attaques contre la logique métier, y compris les tentatives d'abus ou de contournement des fonctionnalités et capacités des applications par la manipulation des API, des protocoles et canaux de communication, des fonctionnalités côté client ou d'autres fonctionnalités et ressources système/application. Cela inclut le Cross-Site Scripting (XSS) et le Cross-Site Request Forgery (CSRF).
• Attaques contre les mécanismes de contrôle d'accès, y compris les tentatives de contournement ou d'utilisation abusive des mécanismes d'identification, d'authentification ou d'autorisation, ou les tentatives d'exploitation des vulnérabilités dans la mise en œuvre de ces mécanismes.
• Attaques via toutes les vulnérabilités « à haut risque » identifiées dans le processus d'identification des vulnérabilités, tel que défini dans l'exigence 6.3.1.

Comment Secure Code Warrior peut Secure Code Warrior aider à atteindre la conformité PCI-DSS 4.0

L'option la plus efficace pour la formation est une plateforme d'apprentissage agile, où la conformité réglementaire devient un avantage supplémentaire d'un programme d'apprentissage complet sur la sécurité du code. Plus précisément, Secure Code Warrior peut aider Secure Code Warrior entreprise à réduire les failles de sécurité et à augmenter la productivité des développeurs en :

• Fournir une compréhension solide et cohérente de la manière dont les données PCI peuvent être protégées en comblant les lacunes en matière de connaissances et en proposant des formations précises dans les langues et les cadres utilisés par vos développeurs. Pour en savoir plus, veuillez consulter notre plateforme d'apprentissage.
• Nous proposons un processus continu, mesurable et éprouvé pour évaluer les compétences, afin de garantir que la formation est assimilée et mise en pratique. Découvrez notre produit Ready, qui propose des parcours de formation au codage sécurisé pour les développeurs.
• Organisation de formations utilisant des méthodes d'apprentissage agiles qui permettent des phases d'apprentissage juste à temps dans le contexte. Les formations génériques et peu fréquentes ne sont plus viables et n'auront pas l'effet souhaité sur la réduction des failles de sécurité. Veuillez découvrir nos solutions pour réduire les failles de sécurité.
• Assistance dans la documentation des formations à la sécurité et des normes de codage, utile pour prouver la conformité lors des audits PCI DSS. Vous trouverez une analyse plus détaillée de la norme PCI DSS 4.0 dans notre livre blanc intitulé « PCI DSS 4.0 expliqué ».

‍