Livre blanc, août 2013 Par Peer1 et CompliancePoint www.peer1.fr Certification PCI DSS De la complexité à la simplicité
Table des matières Introduction 1 Des entreprises perdent des données client 1 Les clients sont informés de ces pertes 1 Le secteur des cartes bancaires souffre 1 Qu est-ce que la certification PCI? 2 Autres normes du secteur 2 Champ d application de la norme PCI DSS 2 Idées reçues et préjugés sur la certification PCI DSS 4 et l idée reçue la plus dangereuse : qui dit certification dit sécurité À qui s adresse la norme PCI DSS? 4 Évaluations PCI DSS 5 Absence de certification : risques et implications 5 Coût des atteintes à la sécurité des données 5 Autres conséquences des atteintes à la sécurité des données 5 Avantages concurrentiels associés à la certification PCI DSS 6 Trouver un fournisseur de services Cloud certifié PCI DSS 6 Critères à prendre en considération pour sélectionner un hébergeur 6 Critères de performance supplémentaires à retenir pour choisir un hébergeur 7 Conclusions et appel à l action 7 À propos de CompliancePoint 8
Introduction «Il n y a rien de pire qu une mauvaise publicité», lit-on parfois. Pourtant, il y a pire encore : l atteinte à la sécurité des cartes bancaires. Des entreprises perdent des données client Le 21 mai 2013, le St. Louis Post-Dispatch, journal du Missouri (États-Unis), indiquait que «au moins trois plaintes [avaient] été déposées contre [une chaîne d épiceries du Middle West] après la divulgation d actes de piratage impliquant environ 2,4 millions de cartes bancaires utilisées dans 79 magasins, de début décembre à fin mars.» Le titre de l article indiquait que ces actes de piratage pourraient coûter 80millions de dollars à la chaîne rien que pour l état de l Illinois. Parfois, un article de journal n a même pas besoin de citer des chiffres pour faire prendre conscience de la gravité de la situation. «Le gouvernement américain porte plainte contre [une chaîne hôtelière importante] suspectée de ne pas avoir protégé correctement les données bancaires de ses clients», pouvait-on lire dans un article du Huffington Post daté du 26 juin 2012. Les clients sont informés de ces pertes Les incidents de ce type ne sont pas rares. Selon le site PrivacyRights.org, plus de 607 472 154 personnes ont été victimes d atteinte à la sécurité de leurs données depuis janvier 2005. Ce nombre est supérieur à la population actuelle des États- Unis. Un article paru récemment dans le magazine Forbes indiquait que le nombre d atteintes à la sécurité des données avait atteint son record 1 611 en 2012. Ce nombre marque une augmentation de 48 pour cent par rapport à 2011. Les consommateurs sont inquiets. Selon le même article, s ils recevaient une notification d atteinte à la sécurité de leurs données en 2010, la probabilité qu ils soient effectivement victimes de fraude était alors de un sur neuf. Aujourd hui, cette probabilité est de un sur quatre. Un rapport d investigation publié en 2013 par Verizon sur le thème des atteintes à la sécurité des données analyse 47 000 incidents signalés et 621 atteintes à la sécurité confirmées pour l année 2012. Ces incidents ont été pris parmi les 44 millions enregistrés pour cette même année. La créativité croissante des criminels n explique que partiellement ces chiffres. Bien que les catastrophes telles que celles mentionnées précédemment soient souvent évoquées publiquement, de nombreuses entreprises restent impassibles et ne prennent pas les mesures requises pour protéger leurs propres données. Pourtant, elles s exposent inutilement à des risques financiers et juridiques, à des amendes et à bien d autres problèmes qu elles pourraient éviter. Le secteur des cartes bancaires souffre Au mois de février 2012, le Huffington Post relatait également les mésaventures d une société de traitement de cartes bancaires : «Visa Inc. a rayé une société de traitement de cartes bancaires impliquée dans une série d atteintes à la sécurité des données de grande ampleur de sa liste de fournisseurs respectant ses normes pour la sécurité des données.» Livre blanc : Certification PCI DSS Page 1
«[Le PDG de cette grande société de traitement de paiements] indique que la société continue de traiter des transactions Visa mais que le fait d être rayé de cette liste risque de rendre ses partenaires réticents à traiter avec une entreprise qui a subi une atteinte à la sécurité des données.» «[Le PDG] a déclaré qu il s attendait à ce que [la société de traitement de paiements] soit réintégrée à cette liste lorsqu un nouveau rapport de conformité serait publié. Il s est cependant refusé à fixer une date. Il a affirmé que la situation était «parfaitement contenue» mais que l enquête se poursuivait et que certains points devaient encore être éclaircis.» Le secteur des cartes bancaires a élaboré un plan de riposte pour lutter contre les pirates. Si votre entreprise reçoit des paiements par carte bancaire de ses clients et ne veut pas subir les mêmes mésaventures que la société de traitement de paiements mentionnée précédemment lisez ce qui suit pour découvrir comment participer à cette riposte. Qu est-ce que la certification PCI? Les normes PCI DSS (Payment Card Industry Data Security Standards) sont un ensemble de normes auxquelles le secteur des cartes bancaires et les entreprises associées se conforment pour renforcer les contrôles sur les données bancaires, et pour réduire les fraudes à la carte bancaire via l exposition de ces données. La norme PCI a été créée en réponse à une augmentation du nombre d actes de fraude, avec en parallèle une augmentation des détournements de cartes d identité et de carte bancaires. L inefficacité de la réglementation des pouvoirs publics n a fait qu accroître ces problèmes. Aussi le secteur des cartes bancaires a-t-il créé la certification PCI DSS pour protéger ses intérêts professionnels. Autres normes du secteur Tous les acteurs du secteur des cartes bancaires doivent être sensibilisés à la certification PCI DSS, mais d autres normes peuvent également s appliquer à certains d entre eux. Norme PCI DSS (Payment Card Industry Data Security Standard) PA DSS (Payment Application Data Security Standard) PTS (PIN Transaction Security) Acteurs affectés Toutes les sociétés qui saisissent, transmettent, traitent ou stockent des données de cartes bancaires Tous les fournisseurs de logiciels qui développent, vendent et fournissent sous licence des applications qui saisissent, transmettent, traitent ou stockent des données de cartes bancaires Tous les fournisseurs de terminaux de transactions par carte bancaire ou code PIN Champ d application de la norme PCI DSS La norme PCI DSS vise tous les composants système et tous les processus métier qui stockent, traitent ou transmettent des données bancaires. Elle s intéresse à : 1. L endroit par lequel les données entrent dans une entreprise. 2. L endroit où ces données sont stockées. 3. L utilisation que font les entreprises des données qu elles traitent. 4. La manière dont les données sortent des entreprises. Livre blanc : Certification PCI DSS Page 2
Pour sécuriser les données à chacune de ces étapes, les entreprises doivent prendre des précautions spécifiques à différents niveaux : Segmentation du réseau (Firewalls/listes de contrôle d accès) Architecture tier-n adaptée (serveurs d applications/de bases de données) Contrôle physique Flux de travail/procédures métier La norme PCI DSS englobe 12 exigences, subdivisées en 6 catégories Domaine Élaborer et gérer un réseau sécurisé Exigence Exigence 1 : Installer et gérer un Firewall pour protéger les données bancaires. Exigence 2 : Ne pas utiliser les paramètres par défaut du fournisseur pour les mots de passe système et les autres options de sécurité. Protéger les données bancaires Exigence 3 : Protéger les données bancaires stockées Exigence 4 : Crypter la transmission des données bancaires sur les réseaux publics ouverts Mettre en œuvre un programme de gestion des vulnérabilités Exigence 5 : Utiliser un antivirus et le mettre à jour régulièrement Exigence 6 : Développer et gérer des systèmes et des applications sécurisés Implémenter des mesures strictes de contrôle d accès Exigence 7 : Restreindre l accès aux données bancaires grâce au principe «besoin de connaître» Exigence 8 : Attribuer un identifiant unique à chaque personne ayant accès à un ordinateur Exigence 9 : Restreindre l accès physique aux données bancaires Suivre et tester régulièrement les réseaux Exigences 10 : Tracer et suivre tous les accès aux ressources du réseau et aux données bancaires Exigence 11 : Tester régulièrement les systèmes et les processus de sécurité Gérer une stratégie de sécurité des informations Exigence 12 : Mettre en œuvre une stratégie répondant aux problèmes de sécurité de l information pour les salariés et les prestataires Livre blanc : Certification PCI DSS Page 3
Idées reçues et préjugés sur la certification PCI DSS Bien qu un certain nombre de sources crédibles accessibles gratuitement expliquent ce qu est la norme PCI DSS, certaines incompréhensions continuent de circuler. En voici un aperçu : Si j utilise une application certifiée PCI DSS, je suis certifié PCI DSS. Si je passe par un fournisseur de services certifié PCI DSS, je suis certifié PCI DSS. Je ne traite pas suffisamment de transactions par carte bancaire pour avoir besoin de la certification PCI DSS. Mon entreprise a rempli un questionnaire SAQ, donc elle est certifiée PCI DSS. Si je ne stocke pas de données bancaires, je n ai pas besoin d être certifié PCI DSS. et l idée reçue la plus dangereuse : qui dit certification dit sécurité La certification peut être considérée comme l une des composantes de la sécurité, mais elle ne garantit pas à elle seule la sécurité de vos données. La certification PCI DSS s intéresse uniquement aux applications et à l infrastructure informatique qui affectent les données bancaires. Si votre entreprise a d autres données sensibles ou à fort impact, vous devez les sécuriser par d autres moyens. À qui s adresse la norme PCI DSS? Quelle que soit leur taille, tous les commerçants qui permettent à leurs clients de régler par carte bancaire doivent au moins avoir connaissance de la norme PCI DSS. La norme PCI DSS distingue les «niveaux de commerçants» suivants pour prendre en considération les commerçants qui acceptent des paiements par carte bancaire. (Les exigences associées à chaque niveau sont sujettes à des révisions et modifications périodiques.) En fonction de leur niveau, les commerçants doivent satisfaire à des exigences spécifiques pour être certifiés PCI DSS. Niveau de commerçant 1 2 3 4 Critères Tout commerçant qui traite au moins 6 millions de transactions par carte bancaire par an Tout commerçant qui a été victime de piratage ou d une attaque compromettant la sécurité des données bancaires Tout prestataire de services qui traite plus de 300 000 transactions par carte bancaire par an Tout commerçant qui traite au moins 1 million de transactions par carte bancaire par an Tout prestataire de services qui traite moins de 300 000 transactions par an Tout commerçant e-commerce qui traite moins de 1 million de ransactions par an Tout commerçant qui traite moins de 1 million de transactions par an Exigences Évaluation annuelle sur site de la sécurité des données PCI DSS par un QSA (Qualified Security Assessor) Scans de réseau trimestriels effectués par un ASV (Approved Scanning Vendor) SAQ (Self-Assessment Questionnaire) rempli par le commerçant Scans de réseau trimestriels effectués par un ASV (Approved Scanning Vendor) Livre blanc : Certification PCI DSS Page 4
Évaluations PCI Les évaluations de certification PCI DSS couvrent trois domaines principaux : Contrôles administratifs politique de contrôle et procédures Contrôles techniques infrastructure informatique et de sécurité Sécurité physique Absence de certification : risques et implications L absence de certification PCI DSS peut accroître considérablement le risque d atteintes à la sécurité des données, avec les conséquences que cela entraîne. Coût des atteintes à la sécurité des données Selon CompliancePoint, le coût de l atteinte à la sécurité des données s élève à 354 USD par enregistrement impliqué. Ce coût se décompose de la manière suivante : Poste de coût Coût Découverte, réponse, notification 50$ Coût de productivité salarial 30$ Amendes réglementaires 60$ Restitution 30$ Remplacement de carte bancaire 35$ Exigences de sécurité et d audit 10$ Perte d opportunité client 139$ Total/enregistrement 354$ Autres conséquences des atteintes à la sécurité des données Les atteintes à la sécurité des données peuvent avoir encore d autres coûts, parmi lesquels : coûts des procédures judiciaires risque de débits compensatoires publicité négative des médias perte d opportunités commerciales amendes et augmentation des frais de transactions facturés par les sociétés de cartes bancaires entachement de la réputation de l entreprise et affaiblissement de son assise financière détérioration de l image de marque de l entreprise, due à un manque de confiance au sein de ses effectifs et à l extérieur Livre blanc : Certification PCI DSS Page 5
Avantages concurrentiels associés à la certification PCI DSS La certification PCI DSS permet à un commerçant de renforcer la confiance de ses clients et prospects et de ses partenaires commerciaux actuels et potentiels. De nombreuses entreprises abandonnent aujourd hui les data centres internes au profit des fournisseurs de services Cloud. Votre certification PCI DSS inspire confiance à vos clients. Pour préserver ce capital confiance, vous devez choisir un fournisseur de services lui aussi certifié PCI DSS. Sinon, votre entreprise ne pourra pas utiliser les serveurs de votre fournisseur de services pour ses données bancaires sans risquer de compromettre sa propre certification PCI DSS. Trouver un fournisseur de services Cloud certifié PCI DSS Vous avez besoin d un fournisseur de services Cloud certifié PCI DSS? Ne cherchez plus : rendez-vous simplement sur le site de CIS Security Benchmarks (http:// benchmarks.cisecurity.org/membership/roster/). Les membres de cette communauté se sont regroupés pour mettre en place des environnements informatiques toujours plus sûrs. Comme l indique le site Web de CIS Security Benchmarks : CIS Security Benchmarks, division de CIS, est reconnue comme une autorité indépendante et digne de confiance facilitant la collaboration des experts des secteurs public et privé, afin d établir un consensus sur des solutions pratiques et applicables. De par cette réputation, nos ressources sont recommandées pour leur capacité à renforcer les systèmes, et elles font référence dans le secteur. Elles sont utilisées par les entreprises concernées par les certifications FISMA, PCI DSS et IPAA et par les autres exigences de sécurité. Peer 1 Hosting met à la disposition de ses clients des installations, des pratiques d administration et une infrastructure conçues pour satisfaire aux exigences très strictes de la norme PCI DSS 2.0. Nous sommes également audités régulièrement par CompliancePoint, une entreprise indépendante. Critères à retenir pour sélectionner un hébergeur Si vous avez besoin d une liste de points à contrôler pour choisir un fournisseur certifié PCI DSS, nous vous suggérons de lire la page 11 du supplément d informations (en anglais) «Information Supplement: PCI DSS Cloud Computing Guidelines», rédigé par le groupe d intérêt spécial Cloud du PCI Security Standards Council. La liste ci-dessous rappelle les meilleures pratiques recommandées dans ce document : 1. Installer et gérer un Firewall pour protéger les données bancaires. 2. Ne pas utiliser les paramètres par défaut du fournisseur pour les mots de passe système et les autres options de sécurité 3. Protéger les données bancaires stockées 4. Crypter la transmission des données bancaires sur les réseaux publics ouverts 5. Utiliser un antivirus et le mettre à jour régulièrement 6. Développer et gérer des systèmes et des applications sécurisés Livre blanc : Certification PCI DSS Page 6
7. Restreindre l accès aux données bancaires grâce au principe «besoin de connaître» 8. Attribuer un identifiant unique à chaque personne ayant accès à un ordinateur 9. Restreindre l accès physique aux données bancaires 10. Tracer et suivre tous les accès aux ressources du réseau et aux données bancaires 11. Tester régulièrement les systèmes et les processus de sécurité 12. Mettre en œuvre une stratégie répondant aux problèmes de sécurité de l information pour l ensemble du personnel Les auteurs abordent chacune de ces meilleures pratiques de manière détaillée et recommandent aux clients et aux fournisseurs de services de les appliquer. N oubliez pas que les entreprises qui font appel à un fournisseur de services certifié PCI DSS doivent aussi veiller à se conformer elles-mêmes aux exigences de la norme PCI DSS. Comme indiqué page 10, PEER 1 fait partie de la communauté CIS Security Benchmarks, et ce statut de membre nous aide à conserver notre certification PCI DSS et à mettre en œuvre les meilleures pratiques au fur et à mesure qu elles émergent. CompliancePoint est le QSA (Qualified Security Addessor) de PEER 1. C est à son équipe d experts que nous avons choisi de faire confiance pour maintenir la certification PCI DSS de PEER1. Notre partenariat est très précieux, tout comme la sécurité des données bancaires pour nos clients. Critères de performance supplémentaires à retenir pour choisir un hébergeur Lorsque vous disposerez de votre solution pleinement certifiée PCI DSS hébergée par Peer 1 Hosting, vous pourrez optimiser les performances de votre application grâce à un certain nombre de services proposés par CompliancePoint, parmi lesquels : Évaluation PCI DSS Élaboration d une politique PCI DSS Scans de vulnérabilité Tests de pénétration Formation de sensibilisation à la sécurité Surveillance de conformité et programme de gestion Portail d automatisation de la conformité Conclusion et appel à l action Peer 1 Hosting met à votre disposition un environnement de travail Cloud certifié PCI DSS. CompliancePoint facilite la mise en place de cet environnement grâce à son approche de la gestion de la conformité basée sur l ensemble du cycle de vie de la conformité. Nous réduisons les coûts et les efforts que nos clients doivent consentir pour obtenir la certification PCI DSS et la conserver. Nous permettons à nos clients de faire des économies lors de la mise en œuvre des contrôles physiques et techniques. L environnement PEER 1 Hosting est déjà audité, ce qui permet à nos clients de gagner du temps et d être plus efficaces lors de leurs propres audits. Livre blanc : Certification PCI DSS Page 7
Nous utilisons la même charte de conformité. Avec le partenariat Peer 1 Hosting- CompliancePoint, offrez à votre entreprise l offre de solutions de certification PCI DSS dont elle a besoin. Pour plus d informations sur les solutions d hébergement certifiées PCI DSS : Appelez Peer 1 au 0 805 210 280 Rendez-vous sur le site www.peer1.fr et discutez en ligne avec un conseiller Pour obtenir des informations sur les services de certification PCI DSS, appelez CompliancePoint au 1 855 670 8780. À propos de CompliancePoint CompliancePoint occupe une position de leader sur le marché de la conformité et de la gestion des risques. Sa mission consiste à aider les entreprises à protéger leurs informations et à respecter la réglementation. À cet effet, CompliancePoint propose aux entreprises des évaluations effectuées par une tierce partie et les aide à élaborer des politiques et des programmes de sécurité d entreprise reposant sur les principes de sécurité de l information et sur les exigences réglementaires des normes PCI DSS v2.0 et PCI PA-DSS, HIPAA/HITECH, ISO 27001, SSAE SOC2 et FISMA/NIST. L approche en trois points utilisée par CompliancePoint pour identifier les niveaux de conformité, résoudre les problèmes de conformité et proposer un programme pour gérer plus efficacement les données, les documents et les activités de conformité aide les entreprises à obtenir la certification mais aussi à la conserver. Livre blanc : Certification PCI DSS Page 8