Conformité PCI DSS Réduire les risques en gérant les identités et les accès Ce livre blanc explique comment la suite IAM d Evidian peut vous aider à vous conformer aux exigences PCI DSS. white paper 39 F2 08LV 01
Résumé Avec l essor du commerce électronique, le grand public prend de plus en plus conscience des dangers du vol d'informations confidentielles sur les cartes de paiement. Le standard de sécurité informatique des données de l industrie des cartes de paiement (PCI DSS) a pour but de résoudre ces problèmes. Pour protéger les données des cartes de paiement, les professionnels manipulant ces données doivent désormais répondre à des exigences précises en matière de sécurité. Bien que les objectifs du standard soient légitimes (réduire les fraudes et maintenir la confiance du grand public en le paiement électronique ou par carte) de nombreuses entreprises ont rencontré des difficultés et pris du retard dans leur mise en conformité aux exigences PCI DSS. Peut-on limiter l'accès aux données de cartes aux employés dont c est la tâche? Même dans ce cas, peut-on vraiment identifier les utilisateurs d un compte autorisé? Comment contrôler et comparer les logs d'accès de toutes les applications qui gèrent des cartes? Comment détecter les comptes par défaut dans toutes les ressources qui traitent des données de cartes? Le présent livre blanc décrit comment une solution intégrée de gestion des accès et des identités (identity and access management : IAM) peut vous aider à respecter de nombreuses exigences PCI DSS. Correctement mise en place, une telle solution ne surchargera pas vos utilisateurs et administrateurs de procédures longues et inutiles. Bien entendu, comme pour tous les projets de conformité, une solution IAM doit nécessairement faire partie d un programme plus général de conformité PCI DSS. Cependant, elle vous assurera que vos décisions sont appliquées. Et vous pourrez démontrer à vos auditeurs que les risques liés aux informations sur les cartes de paiement sont considérablement réduits. 2
Apport de l IAM à la conformité PCI DSS Palette d outils pour la gestion des identités et des accès La gestion des identités et des accès (IAM) est un ensemble de solutions renforçant et systématisant le contrôle des accès aux ressources. Certaines de ces solutions, qui peuvent jouer un rôle prépondérant dans la conformité aux exigences PCI DSS, sont les suivantes : Le single sign-on (SSO) : chaque utilisateur dispose d'un identifiant unique et d un moyen unique d accéder à toutes les ressources et applications : mot de passe, biométrie, carte à puce, etc. Etant donné que les mots de passe peuvent être modifiés automatiquement, vous contrôlez l'accès aux ressources informatiques. Les systèmes de SSO incluent habituellement des fonctions de gestion de l authentification. Le provisionnement des utilisateurs : les comptes d'utilisateurs dans les ressources sont inventoriés, créés et supprimés à partir d un seul endroit. Cela fait gagner beaucoup de temps aux administrateurs, et contribue à identifier et éliminer les comptes par défaut. La gestion des politiques : les droits d accès des utilisateurs sont définis selon leur rôle dans l'organisation. Cela systématise et automatise votre politique de sécurité informatique. Les systèmes de gestion de politiques peuvent généralement s appuyer sur des fonctions de workflow. Individuellement, chacune de ces fonctions peut se révéler très utile dans un objectif de conformité. Et lorsque deux ou plus de modules sont associés, ils apportent des avantages supplémentaires. Exemples : Associer le provisionnement des utilisateurs au SSO : chaque fois qu un compte est créé ou modifié dans une application, les données du SSO sont mises à jour. Les utilisateurs sont immédiatement opérationnels, car vous n avez pas besoin de leur envoyer leurs mots de passe applicatifs. Associer le SSO à la gestion de politique : dès que SSO est actif, il détermine quelles applications sont réellement utilisées, par quel utilisateur et avec quel compte. Cela signifie que vous pouvez concevoir une politique d accès fondée sur l utilisation réelle de l informatique. Associer la gestion de politique au provisionnement des utilisateurs : vous pouvez réconcilier des comptes d utilisateurs existants avec votre politique, et les mettre à jour. Vous découvrirez qu une grande partie de ces comptes sont inactifs ou obsolètes. Or, lorsque c est la gestion de politique qui pilote la création et suppression de comptes, aucun compte n'existe sans justification. Ainsi, il est important d'envisager des solutions globales et non limitées à un seul usage -- par exemple, des outils n apportant que la gestion des accès. Il est conseillé d anticiper les futures évolutions vers une gestion généralisée des identités et des accès. 3
Utilisation de l IAM pour se conformer aux exigences PCI DSS Dans le cadre d'un projet de PCI DSS incluant des vérifications et de l organisation, une solution de gestion des identités et des accès (IAM) vous permet d assurer, et de prouver, que vos décisions sont appliquées. Exigences PCI DSS Modules Evidian IAM Suite Contribution aux exigences PCI DSS Mettre en place et gérer un réseau sécurisé Installer et gérer une configuration de pare-feu afin de protéger les données des titulaires de carte Ne pas utiliser les paramètres par défaut du fournisseur pour les mots de passe et les autres paramètres de sécurité du système User Provisioning Protéger les données des titulaires de carte Protéger les données des titulaires de carte stockées. Crypter la transmission des données des titulaires de carte sur les réseaux publics ouverts Disposer d un programme de gestion de la vulnérabilité Utiliser et mettre à jour régulièrement un logiciel antivirus Développer et gérer des applications et systèmes sécurisés Mettre en oeuvre des mesures de contrôle d'accès efficaces Limiter l accès aux données des porteurs de carte aux cas de nécessité professionnelle absolue Attribuer une identité d utilisateur unique à chaque personne disposant d un accès informatique Limiter l accès physique aux données des titulaires de carte Policy Manager Changer automatiquement les mots de passé par défaut, pour les remplacer par de nouveaux mots de passe sécurisés. Faire l inventaire de tous les comptes de l application, détecter les comptes par défaut et repérer lesquels sont utilisés. Chiffrer tout le trafic avec SSL, même si l application ne supporte pas SSL nativement. L accès aux applications de gestion des données des titulaires de carte est limité aux utilisateurs qui en ont besoin, en fonction de leur rôle. Tous les utilisateurs ont un identifiant unique, et on peut exiger qu ils utilisent un mode d'authentification sécurisé pour accéder aux applications de gestion des données de carte. Une politique détaillée sur les mots de passe et les authentifications assure une identification correcte des utilisateurs. La même carte d accès est utilisée pour entrer dans les locaux, accéder à une session Windows et lancer des applications. 4
Exigences PCI DSS Modules Evidian IAM Suite Contribution aux exigences PCI DSS Surveiller et tester régulièrement les réseaux Suivre et surveiller tous les accès aux ressources du réseau et aux données des titulaires de carte Tester régulièrement les systèmes et procédures de sécurité Disposer d une politique en matière de sécurité de l information Disposer d une politique régissant la sécurité de l information Policy Manager maintient une base de données centrale sur toutes les tentatives d accès aux applications de gestion des données des titulaires de carte. Les accès sont liés aux utilisateurs individuels. Cela fournit une trace d audit fiable liée contenant des informations sur l utilisateur, la date, l heure, et même le poste de travail individuel utilisé. conserve la liste de toutes les tentatives d accès aux applications. Le résultat des tests de vulnérabilité peut ainsi être facilement consulté. Vous pouvez utiliser pour restreindre l accès aux applications en fonction du rôle de l utilisateur, mettre en place une authentification forte et définir des politiques de mots de passe. Le rapport d activités centralisé sur les accès vous permet d évaluer les politiques pour renforcer leur efficacité. 5
Conformité détaillée aux exigences PCI DSS L objectif des exigences PCI DSS est de réduire les risques liés aux informations concernant les titulaires de cartes de paiement. Ainsi, les auditeurs évaluent les risques liés à chaque catégorie d exigences des normes PCI, et vérifient si les mesures de contrôle que vous avez mises en place réduisent adéquatement ces risques. Le présent chapitre décrit quelques risques habituels de plusieurs catégories d'exigences PCI DSS, et comment les solutions IAM d Evidian peuvent vous aider à devenir conforme. Mettre en place et gérer un réseau sécurisé «Ne pas utiliser les paramètres par défaut du fournisseur pour les mots de passe et les autres paramètres de sécurité du système» Tout employé connaissant l application peut essayer un compte par défaut et accéder aux données stockées sur la carte de paiement. Si un compte par défaut est utilisé comme compte partagé par l'équipe administrative, il sera impossible de déterminer quel administrateur a utilisé le compte. Les comptes système par défaut disposent d'un important privilège d'accès. Il est donc plus probable que des dégâts soient causés (de façon intentionnelle ou non) si l'on se sert de ce type de compte. La contribution d Evidian PCI DSS exige de «toujours modifier les réglages par défaut du fournisseur avant d installer un système sur le réseau». Avec Evidian User Provisioning, les administrateurs peuvent vérifier d un point central si ce changement a été effectué, et si ce n'est pas le cas, remédier à cette situation. Lorsqu il est initialement déployé dans le cadre d un effort de conformité à PCI DSS, Evidian User Provisioning collectera des données sur les comptes d applications traitant les données de cartes de paiement, mais aussi sur d autres éléments de la chaîne : bases de données, interfaces web, serveurs Internet, etc. Les comptes par défaut peuvent ensuite être détectés et éliminés. En outre, peut assurer que les mots de passe des comptes sont changés automatiquement. Vous pouvez décider si, oui ou non, l utilisateur saura toujours son mot de passe. Cela signifie que les mots de passe d'utilisateurs par défaut sont éliminés, rendant impossible de deviner le mot de passe d'un(e) employé(e). 6
Protéger les données des titulaires de carte «Crypter la transmission des données des titulaires de carte sur les réseaux publics ouverts» Certains de vos employés peuvent accéder à des applications à distance, soit à partir d autres sites, soit en dehors de votre intranet. Les données non chiffrées (ou mots de passe des applications) peuvent ainsi être espionnées. Même si les données transmises sont chiffrées, il est possible que l utilisateur nomade doive écrire sur papier les mots de passe des applications. Ces mots de passe risquent d être volés. La contribution d Evidian Les fonctions d ne sont pas limitées à votre intranet. Un employé accédant à une application web à partir de son poste de travail peut continuer à utiliser cette application (si vous lui en avez donné l autorisation) à partir d un navigateur web en dehors de votre intranet. Il est inutile pour cela d installer un logiciel sur une station. L authentification unique fonctionnera toujours, ce qui signifie que les employés n ont pas besoin d écrire sur papier les mots de passe des applications. En outre, peut chiffrer avec SSL tout le trafic entre le navigateur et votre intranet, même si l application web n'est pas configurée pour SSL. Mettre en oeuvre des mesures de contrôle d'accès efficaces «Limiter l accès aux données des porteurs de carte aux cas de nécessité professionnelle absolue» Un employé chargé de la saisie des données de cartes de paiement est transféré à un autre poste, mais a toujours accès au compte original. Un secrétaire peut accéder à l application contenant des données de cartes, simplement parce qu il travaille dans l organisation en question. La contribution d Evidian Evidian Policy Manager garantit que seuls les utilisateurs compétents se voient octroyé l accès aux applications gérant les données des cartes de paiement. Ces utilisateurs peuvent notamment faire partie d'un groupe spécial ayant droit à cet accès. Comme le demande PCI DSS, une politique par exception («Interdire à tous») peut être mise au point pour rejeter les demandes d accès formulées par d autres utilisateurs. Avec, la politique ainsi définie est appliquée au niveau des ordinateurs. Les mots de passe pour les applications sensibles sont modifiés, et les utilisateurs ne connaissent pas leur nouveau mot de passe : un SSO (authentification 7
unique) sécurisé est ainsi le seul moyen d accéder aux applications en question. Toutes les activités d'accès sont contrôlées. Une fois qu'un(e) employé(e) change de poste et n'a plus besoin d'accéder aux applications, ses droits sont annulés. «Attribuer une identité d utilisateur unique à chaque personne disposant d un accès informatique» Les mots de passe sont faibles et ils ne sont pas changés régulièrement. Les mots de passe des comptes administratifs sont faciles à deviner. Un employé part en vacances et demande à une collègue de travailler sur son poste. L employé révèle donc son authentification/mot de passe à sa collègue. Un employé devine le mot de passe d un collègue et obtient l accès à des données de cartes de paiement dans une application. La contribution d Evidian Avec, chaque employé dispose d un nom d utilisateur unique à l ensemble de l organisme. Cet identifiant sert à accéder aux postes de travail et aux applications. De plus, toute une panoplie de méthodes d authentification forte existe pour établir sa propre identité en tant qu utilisateur. Bien évidemment, peut appliquer une politique de mots de passe, stricte et forte, à la fois pour l'accès au poste de travail et aux applications. Elle en définit le format, la durée, la politique de redéfinition, etc. Mais les mots de passe ne suffisent pas toujours à assurer un accès sécurisé à des données sur carte. Vous pouvez donc exiger des utilisateurs qu ils utilisent plusieurs formes d'authentification comme la biométrie, les mots de passe, les jetons ou une combinaison de toutes ces méthodes, pour accéder à des applications traitant des données de carte. Le lieu peut être contrôlé ; par exemple, les utilisateurs ne pourront accéder aux applications qu à des endroits précis, et après une authentification par jeton USB. Autre exemple, vous pouvez décider que sur l intranet, un utilisateur ne puisse lancer l application de carte de paiement qu à partir d un poste de travail protégé par biométrie, et que l accès à distance soit seulement accordé après une authentification à deux facteurs. Evidian est non seulement compatible avec une vaste gamme de systèmes d authentification forte, mais fournit aussi des fonctions pour gérer ceux-ci. Un système de gestion des cartes (Card Management System ou CMS) permet aux administrateurs d octroyer, retirer et prêter des cartes d accès ou jetons USB. 8
«Limiter l accès physique aux données des titulaires de carte» Un employé utilise le mot de passe volé d une collègue absente. Un employé qui devrait être à la maison accède à une heure du matin à l application contenant les données de carte. La contribution d Evidian : Dans de nombreux cas, les mots de passe ne doivent pas être considérés comme suffisants pour authentifier un utilisateur. Cependant, si une carte ou un jeton USB est demandé pour accéder à un poste, de nombreux employés les laisseront branchés à leur ordinateur pour des raisons pratiques. Une solution : la même carte d accès peut être utilisée pour entrer et quitter les locaux de l'entreprise, lancer une session Windows et accéder aux applications. Etant donné que cette carte représente un aspect important de la vie de l'employé dans l'entreprise, il conservera cette carte sur lui. Surveiller et tester régulièrement les réseaux «Suivre et surveiller tous les accès aux ressources du réseau et aux données des titulaires de carte» La durée de validité des journaux (logs) et la politique de sauvegarde ne sont pas appliquées à toutes les ressources. La vérification des accès est rarement effectuée, car elle implique le passage en revue de nombreux journaux d application disparates. Les journaux d application ne montrent pas qui a accédé à un compte, ni le lieu d'où l'accès est obtenu. Seules les applications traitant des données de cartes de paiement sont contrôlées. Le chemin d'accès de l utilisateur dans le réseau n est pas vérifié. La contribution d Evidian Il ne suffit pas de rassembler beaucoup de données dans les journaux d accès. PCI DSS exige de «suivre les activités de l utilisateur», et pas seulement l activité des applications. La différence est importante, car l objectif ultime est de «déterminer la cause d une atteinte à la sécurité». Pour être utiles, les journaux d accès doivent être facilement accessibles, avec la même interface, quelque soit l'origine des données. Ainsi, vous pouvez reconstituer en quelques minutes ce qu a fait l utilisateur en question le jour d une brèche de sécurité. 9
A chaque fois qu octroie l accès à une application à un utilisateur, une nouvelle entrée de journal apparaît dans une base de données centrale et consolidée. Cette base de données stocke également les refus de login, modifications de mots de passe, actions administratives, démarrages/arrêts de sessions, etc. Il est facile de faire des requêtes sur la date, l utilisateur le lieu d accès etc. Et la sauvegarde peut être réalisée à un endroit unique. PCI DSS demande expressément que les journaux stockent «l identification de l utilisateur» et «l origine de l événement». Cette information est généralement absente des journaux des applications - mais elle est présente dans le journal d. Journal d application : «Quelqu un a accédé au compte GMAR_01 le 02/03/2013 à 1h02.» Journal du SSO : «L utilisateur George Martin a accédé au compte GMAR_01 à partir du poste PC_027 le 02/03/2013 à 1h02». Disposer d une politique en matière de sécurité de l information «Disposer d une politique régissant la sécurité de l information» Les administrateurs d applications ne sont pas informés des changements de politique de sécurité ; ils attribuent des comptes selon leur propre interprétation des règles. Quand la politique de sécurité change, aucun réexamen général des comptes existants dans les applications n'est effectué. La contribution d'evidian : Définir et mettre à jour des droits d accès à des dizaines d applications pour des milliers d employés peut rapidement se révéler un grand défi. La solution Evidian Policy Manager permet de «administrer les comptes d utilisateur, y compris tous ajouts et toutes suppressions ou modifications». A partir d une console centrale, vous définissez quelles catégories d utilisateurs ont accès à quelles applications, et à partir de quel endroit. Ensuite, vous mettez en œuvre un processus de réconciliation. Vous pouvez ainsi vérifier si votre politique est prise en compte dans les comptes d'applications et l'accès des employés, et y apporter des changements le cas échéant. Les mises à jour de comptes peuvent être réalisées automatiquement avec Evidian User Provisioning ou une procédure de workflow. De surcroît, avec, vous pouvez vous assurer que seuls les utilisateurs autorisés accèdent aux comptes que vous avez définis. Conformément aux préconisations de PCI DSS, vous pouvez «surveiller et contrôler tous les accès» aux applications, et donc aux données stockées sur les cartes de paiement. 10
Pour de plus amples informations, veuillez visiter notre site Internet : www.evidian.com/ Courriel : info@evidian.com 201 3 Evidian Les informations contenues dans ce document reflètent l'opinion d'evidian sur les questions abordées à la date de publication. En raison de l'évolution constante des conditions de marché auxquelles Evidian doit s'adapter, elles ne représentent cependant pas un engagement de la part d'evidian qui ne peut garantir l'exactitude de ces informations passé la date de publication. Ce document est fourni à des fins d'information uniquement. EVIDIAN NE DONNE AUCUNE GARANTIE IMPLICITE OU EXPLICITE DANS LE PRÉSENT DOCUMENT. Les droits des propriétaires des marques cités dans cette publication sont reconnus. white paper