Préparation à la conformité à la norme PCI-DSS 4.0

Évaluez votre infrastructure et vos processus pour répondre aux exigences PCI-DSS

Principales mises à jour et calendrier pour les nouvelles exigences PCI-DSS 4.0

La norme PCI-DSS 4.0 introduit des mises à jour visant à renforcer la sécurité des données des titulaires de cartes, en tenant compte des risques actuels et des avancées technologiques dans le secteur des cartes de paiement. Les révisions permettent aux organisations d'adopter des mesures de sécurité personnalisées si elles démontrent leur conformité aux objectifs de sécurité, en étendant l'authentification multifacteur à tous les accès dans l'environnement de données des titulaires de cartes et en renforçant le cryptage sur tous les réseaux. En outre, l'accent est davantage mis sur l'analyse et l'atténuation continues des risques, ainsi que sur l'amélioration des capacités de détection et de réponse rapides aux incidents de sécurité. Ces nouvelles exigences comportent une période de transition afin de donner aux organisations le temps d'adopter la nouvelle version tout en maintenant la conformité aux normes existantes.

Pourquoi les CISO devraient donner la priorité aux dernières mises à jour de la norme PCI-DSS

Le respect de ces normes actualisées est essentiel non seulement pour maintenir la conformité, mais également pour se protéger contre les cybermenaces et les risques nouveaux et émergents. En mettant en œuvre ces normes, les organisations peuvent faire preuve de résilience face aux violations, protégeant ainsi leur réputation et évitant des amendes potentiellement lourdes en cas de non-conformité.

Date d'entrée en vigueur de la DSS 4.0 : mars 2024 ; actualisée en mars 2025.

La norme PCI-DSS 4.0 souligne l'importance d'intégrer des processus de sécurité continus dans les opérations commerciales quotidiennes

La conformité ne peut pas être une simple évaluation ponctuelle. Cette approche est vitale pour les RSSI chargés de promouvoir une culture de sensibilisation à la sécurité et de gestion proactive des risques au sein de leurs organisations. L'adoption de la norme PCI-DSS 4.0 contribue également à générer de la valeur commerciale en créant une infrastructure de sécurité robuste qui sous-tend des environnements de paiement sûrs et sécurisés.

Vos développeurs sont-ils prêts à fournir des logiciels conformes ?

Les développeurs jouent un rôle essentiel, bien qu'ils soient souvent sous-utilisés, dans l'atteinte d'un niveau d'excellence en matière de sécurité logicielle. Il est essentiel que les développeurs comprennent la vision globale de la norme PCI DSS 4.0 et ce qu'ils peuvent contrôler et intégrer dans le cadre de leur approche par défaut de la conception d'un logiciel.

L'exigence 6 de la norme PCI DSS décrit les attentes en matière de développement et de maintenance de logiciels sécurisés

Cela inclut une variété d'éléments allant des normes de développement sécurisées à la formation des développeurs en passant par la gestion de la configuration et du contrôle des modifications. Toutes les organisations qui développent des logiciels utilisés dans un réseau de données des titulaires de cartes (CHD) sont tenues de se conformer à ces mandats.

Comme indiqué dans l'exigence 6.2.2, le personnel de développement de logiciels travaillant sur des logiciels sur mesure et personnalisés est formé au moins une fois tous les 12 mois comme suit :

• Sur la sécurité logicielle pertinente pour leur fonction professionnelle et leurs langages de développement.
• Y compris la conception de logiciels sécurisés et des techniques de codage sécurisées.
• Y compris comment utiliser les outils de test de sécurité pour détecter les vulnérabilités des logiciels.

La norme précise en outre que la formation doit inclure au moins les éléments suivants :

• Langages de développement utilisés
• Conception logicielle sécurisée
• Techniques de codage sécurisées
• Utilisation de techniques/méthodes pour trouver des vulnérabilités dans le code
• Processus visant à empêcher la réintroduction de vulnérabilités précédemment résolues

En outre, les développeurs doivent être familiarisés avec TOUTES les techniques d'attaque (décrites dans l'exigence 6.2.4.) Cela inclut une liste de catégories d'attaques conçues à titre d'exemple :

• Attaques par injection, notamment SQL, LDAP, XPath ou autres failles de commande, de paramètre, d'objet, de panne ou de type d'injection.
• Attaques contre les données et les structures de données, y compris les tentatives de manipulation de buffers, de pointeurs, de données d'entrée ou de données partagées.
• Attaques contre l'utilisation de la cryptographie, y compris les tentatives d'exploitation d'implémentations, d'algorithmes, de suites de chiffrement ou de modes de fonctionnement cryptographiques faibles, non sécurisés ou inappropriés.
• Les attaques contre la logique métier, y compris les tentatives d'abus ou de contournement des fonctionnalités des applications en manipulant des API, des protocoles et des canaux de communication, des fonctionnalités côté client ou d'autres fonctions et ressources du système/de l'application. Cela inclut le cross-site scripting (XSS) et la falsification de requêtes intersites (CSRF).
• Les attaques contre les mécanismes de contrôle d'accès, y compris les tentatives visant à contourner ou à abuser des mécanismes d'identification, d'authentification ou d'autorisation, ou les tentatives d'exploiter les faiblesses de la mise en œuvre de tels mécanismes.
• Attaques via toute vulnérabilité « à haut risque » identifiée lors du processus d'identification des vulnérabilités, comme défini dans l'exigence 6.3.1.

Comment Secure Code Warrior peut vous aider à atteindre la conformité à la norme PCI-DSS 4.0

L'option de formation la plus efficace est une plateforme d'apprentissage agile où la conformité devient le sous-produit d'un programme global d'apprentissage du code sécurisé. Plus précisément, Secure Code Warrior peut aider votre entreprise à réduire ses vulnérabilités et à améliorer la productivité de ses développeurs en :

• Fournir une compréhension solide et cohérente de la manière de protéger les données PCI en comblant les lacunes en matière de connaissances et en proposant une formation précise dans les langages et les frameworks utilisés par vos développeurs. En savoir plus sur notre Plateforme d'apprentissage.
• Offrir un processus de vérification des compétences continu, mesuré et établi pour garantir que la formation a été absorbée et mise en pratique. En savoir plus sur nos produits prêts à l'emploi parcours de formation au code sécurisé pour les développeurs.
• Organiser des formations via des méthodes d'apprentissage agiles qui fournissent des microrafales d'apprentissage contextuelles et juste à temps. Une formation générique et peu fréquente n'est plus viable et elle n'aura pas l'impact souhaité sur la réduction de la vulnérabilité. En savoir plus sur notre vulnérabilités prises en charge.
• Aider à documenter la formation à la sécurité et les normes de codage, utile pour démontrer la conformité lors des audits PCI-DSS. Pour une description plus détaillée de la norme PCI-DSS 4.0, consultez notre livre blanc, PCI DSS 4.0 dévoilé.

‍