Grâce à un soutien approprié, les développeurs peuvent aider leur organisation à atteindre un niveau élevé de conformité à la norme PCI DSS 4.0.

Une version de cet article a été initialement publiée sur DZone. DZone. Il a été mis à jour et syndiqué ici.

La norme PCI DSS (Payment Card Industry Data Security Standard) version 4.0 modifie presque tous les aspects de la sécurité des entreprises ou organisations qui acceptent les paiements électroniques (la grande majorité). Cette mise à jour entraînera des changements significatifs pour la plupart des entreprises, qui devront peut-être mettre à niveau de nombreux processus de sécurité et mettre en place de nouvelles protections dans les domaines du chiffrement, de l'authentification, du contrôle d'accès, de la gestion des clés et d'autres domaines où l'adoption a été lente jusqu'à présent.

En raison de la complexité des nouvelles exigences, les organisations doivent se conformer pleinement à la réglementation d'ici mars 2025. Cependant, cette date butoir arrivera plus rapidement que la plupart des gens ne le pensent. En effet, de nombreuses entreprises tournées vers l'avenir prennent déjà des mesures pour aider les développeurs à naviguer dans l'environnement réglementaire actuel.

Aller au-delà de la formation aux cases à cocher

Les développeurs de l'organisation rédigent la majeure partie du code utilisé par l'infrastructure. Ils constituent donc un excellent point de départ pour la mise en œuvre des nouvelles exigences PCI DSS 4.0. Cependant, la plupart des développeurs ont besoin d'un soutien stratégique pour améliorer leurs compétences techniques dans le cadre d'un programme de sensibilisation à la sécurité mis à jour. L'objectif est de leur permettre d'acquérir l'expérience nécessaire pour mettre en œuvre et maintenir le niveau de sécurité plus élevé exigé par la nouvelle norme.

En effet, l'exigence 12.6.2 de la norme PCI DSS 4.0 impose aux organisations de mettre en œuvre un programme de sécurité officiel et de le mettre à jour avec les dernières informations sur les menaces et les techniques de défense. Les normes précédentes permettaient d'atteindre cet objectif avec un programme de sécurité de base ou une formation annuelle sur la conformité de type « cochez la case ». La nouvelle norme est beaucoup plus exigeante, car elle impose que le programme de formation à la sécurité traite des menaces et des vulnérabilités spécifiques à l'environnement de l'entreprise.Par exemple, si l'usurpation d'identité est un problème majeur pour l'organisation, elle doit être traitée dans le cadre de la formation.

Il est évident qu'une formation minimale ne suffit plus d'un point de vue pratique ni pour se conformer aux nouvelles normes. Les organisations doivent plutôt proposer aux développeurs un parcours d'apprentissage complet et agile qui leur enseigne comment appliquer les meilleures pratiques de sécurité dans leur travail quotidien.En allant au-delà des efforts minimaux de conformité réglementaire, les organisations peuvent renforcer les capacités des développeurs à prendre de meilleures décisions en matière de sécurité tout en se conformant à la norme PCI DSS 4.0, en leur fournissant les ressources nécessaires pour bien comprendre la sécurité.

La bonne nouvelle est que la plupart des nouvelles exigences de la norme PCI DSS 4.0 concernent des domaines déjà familiers à la plupart des développeurs, tels que la certification, le chiffrement, le contrôle d'accès et la gestion des clés. En fournissant aux développeurs des ressources appropriées, pertinentes et familières qui leur permettent d'améliorer leurs compétences, les organisations peuvent se préparer plus facilement aux nouvelles normes et responsabilités renforcées requises par la norme PCI DSS 4.0.

Utilisation de la norme PCI DSS 4.0 comme base pour renforcer la sécurité globale

Il est essentiel de répondre aux besoins des développeurs grâce à une formation de qualité en matière de sécurité pour se conformer avec succès à la nouvelle norme PCI DSS 4.0. Cependant, les efforts visant à améliorer la cybersécurité de l'organisation ne doivent pas s'arrêter là. les exigences sont strictes, mais la plupart des organisations doivent s'efforcer de s'y conformer. Il n'y a donc aucune raison de ne pas utiliser ces efforts comme tremplin pour lancer une meilleure sensibilisation et une meilleure formation à la sécurité en général. Cela aidera non seulement les organisations à se conformer aux exigences réglementaires, mais leur permettra également de commencer à créer une culture de sécurité positive qui privilégie les meilleures pratiques et incite tous les membres de l'organisation à travailler vers les mêmes objectifs prioritaires en matière de sécurité.

Bien qu'il y ait une courbe d'apprentissage, les développeurs sont prêts à fournir cet effort. Une enquête menée par Evans Data auprès de plus de 1 200 développeurs professionnels actifs dans le monde entier a révélé qu'une grande majorité d'entre eux soutiennent l'idée de créer un code sécurisé et d'instaurer une meilleure culture de la sécurité au sein de leur organisation. Il est clair que la plupart des développeurs sont favorables à une transition stratégique et soutenue vers le codage sécurisé et à un changement de priorité en matière de sécurité dans le cadre du processus de développement.

Les mises à niveau de sécurité requises par la norme PCI DSS 4.0 offrent aux entreprises une occasion idéale d'investir dans des pratiques exemplaires améliorées en matière de sécurité et dans la formation, et d'instaurer une meilleure culture globale de la sécurité au sein de leur organisation.

Si les entreprises investissent dans des programmes permettant d'intégrer les techniques de codage sécurisé aux outils et formations associés, les développeurs pourront plus facilement améliorer leur niveau de maturité en matière de sécurité. Cela leur permettra de prendre de meilleures décisions, bien au-delà des exigences strictes de la nouvelle norme PCI DSS 4.0, et de créer ainsi une culture de la sécurité.