Des vulnérabilités sont sans cesse découvertes par des individus malveillants et des chercheurs, et sont introduites avec tout nouveau logiciel.
Les composants du système, les processus et les logiciels personnalisés doivent être fréquemment testés afin de s'assurer que les contrôles de sécurité reflètent toujours les nouveaux environnements.
Conditions PCI DSS Procédures de test En place Pas en
place
Date cible/Comme
ntaires 11.1 Tester la présence de points
d'accès sans fil et détecter les points d'accès sans fil non autorisés tous les trimestres.
Remarque : les analyses de réseau sans fil, les inspections logiques/physiques des composants du système et de l'infrastructure, le contrôle d'accès réseau (NAC) ou les systèmes de détection et/ou de prévention d’intrusions sans fil sont quelques exemples de méthodes pouvant être utilisées pour ce processus.
Quelle que soit la méthode utilisée, elle doit être suffisante pour détecter et identifier tous les dispositifs non autorisés.
11.1.a Vérifier que l'entreprise possède un processus documenté pour détecter et identifier les points d'accès sans fil, tous les trimestres.
11.1.b Vérifier que la méthodologie est appropriée et qu'elle permet de détecter et d'identifier tout point d'accès sans fil non autorisé, notamment au moins ce qui suit :
cartes WLAN insérées dans les composants du système ;
dispositifs sans fil portatifs connectés aux composants du système (par exemple, par USB, etc.) ;
dispositifs sans fil branchés sur un port réseau ou à périphérique réseau.
11.1.c Vérifier que le processus documenté pour identifier les points d'accès sans fil non autorisés est exécuté au moins chaque trimestre pour tous les composants du système et toutes les installations.
11.1.d Si l'on utilise une surveillance automatisée (par exemple systèmes de détection et/ou de prévention d’intrusions sans fil, NAC, etc.), vérifier que la configuration déclenchera des alertes pour le personnel.
11.1.e Vérifier que le plan de réponse aux incidents de l’entreprise (condition 12.9) prévoit une réaction en cas de détection de périphériques sans fil non autorisés.
Conditions PCI DSS Procédures de test En place Pas en place
Date cible/Comme
ntaires 11.2 Analyser les vulnérabilités
potentielles des réseaux internes et externes au moins une fois par trimestre et après tout changement significatif des réseaux (par exemple, installation de nouveaux composants du système, modification de la topologie du réseau ou des règles des pare-feu, mise à niveau de produits).
Remarque : il n'est pas obligatoire que quatre analyses trimestrielles aient été réalisées avec succès pour la vérification de conformité PCI DSS initiale si
l’évaluateur vérifie que 1) le résultat de la dernière analyse était réussi, 2) l’entité a documenté les politiques et les
procédures exigeant l’exécution d’analyses trimestrielles, et 3) toutes les vulnérabilités relevées dans les résultats ont été corrigées, comme indiqué lors de la réexécution de l'analyse. Pendant les années qui suivent la vérification PCI DSS initiale, quatre analyses
trimestrielles réussies doivent avoir été réalisées.
11.2 Vérifier que les analyses de vulnérabilité interne et externe sont exécutées comme suit :
11.2.1 Effectuer des analyses trimestrielles de vulnérabilité interne.
11.2.1.a Examiner les rapports d'analyse et vérifier que quatre analyses trimestrielles internes ont eu lieu au cours de la période de 12 mois la plus récente.
11.2.1.b Examiner les rapports d'analyse et vérifier que le processus d'analyse comprenne de nouvelles analyses jusqu'à obtenir un résultat satisfaisant ou jusqu'à ce que toutes les vulnérabilités à « haut risque », définies à la condition 6.2 de la norme PCI DSS, aient été résolues.
Conditions PCI DSS Procédures de test En place Pas en place
Date cible/Comme
ntaires 11.2.1.c Vérifier que l'analyse a été effectuée par une ressource
interne ou un tiers externe qualifié et, le cas échéant, que le testeur appartient à une organisation indépendante (il ne doit pas obligatoirement être un QSA ou un ASV).
11.2.2 Des analyses de vulnérabilité externe doivent être effectuées une fois par trimestre par un prestataire de services d’analyse agréé par le PCI SSC (Payment Card Industry Security Standards Council).
Remarque : des analyses de vulnérabilité externe doivent être effectuées une fois par trimestre par un prestataire de services d’analyse agréé (ASV) par le PCI SSC (Payment Card Industry Security Standards Council).
Les analyses réalisées après la modification des réseaux peuvent être effectuées par le personnel interne.
11.2.2.a Examiner les résultats des quatre analyses trimestrielles de vulnérabilité externe les plus récentes et vérifier qu'elles ont toutes eu lieu au cours de la période de 12 mois la plus récente.
11.2.2.b Examiner les résultats de chacune des quatre analyses trimestrielles pour s'assurer qu'elles satisfont aux conditions du guide de programme ASV (par exemple, pas de vulnérabilité supérieure à la note 4.0 du CVSS et aucune défaillance automatique).
11.2.2.c Examiner les rapports d'analyse pour vérifier que les analyses ont été réalisées par un prestataire de services d’analyse agréé (ASV) par le PCI SSC.
11.2.3 Effectuer des analyses internes et externes après tout changement d'importance.
Remarque : les analyses réalisées après un changement peuvent être effectuées par le personnel interne.
11.2.3.a Inspecter la documentation de contrôle des changements et analyser les rapports afin de vérifier que les composants du système assujettis à un changement d'importance ont été analysés.
11.2.3.b Examiner les rapports d'analyse et vérifier que le processus d'analyse stipule de nouvelles analyses jusqu'à ce que :
aucune vulnérabilité supérieure à la note 4.0 du CVSS ne soit détectée pour les analyses externes ;
un résultat satisfaisant soit obtenu ou jusqu'à ce que toutes les vulnérabilités à « haut risque », définies dans la
condition 6.2 de la norme PCI DSS, aient été résolues, pour les analyses internes.
Conditions PCI DSS Procédures de test En place Pas en place
Date cible/Comme
ntaires 11.2.3.c Confirmer que l'analyse a été effectuée par une
ressource interne ou un tiers externe qualifié et, le cas échéant, que le testeur appartient à une organisation indépendante (il ne doit pas obligatoirement être un QSA ou un ASV).
11.3 Effectuer des tests de pénétration externe et interne au moins une fois par an et après tout changement ou mise à niveau significatif de l’infrastructure ou des applications (par exemple, mise à niveau du système d’exploitation ou ajout d’un sous-réseau ou d’un serveur Web dans l’environnement). Ces tests de pénétration doivent inclure ce qui suit :
11.3.a Obtenir et passer en revue les résultats du dernier test de pénétration pour vérifier qu’un tel test est effectué au moins une fois par an et après tout changement significatif de l’environnement.
11.3.b Vérifier que les vulnérabilités relevées et exploitables ont été corrigées et que les tests ont été réexécutés.
11.3.c Vérifier que le test a été effectué par une ressource interne ou un tiers externe qualifié et, le cas échéant, que le testeur appartient à une organisation indépendante (il ne doit pas obligatoirement être un QSA ou un ASV).
11.3.1 Tests de pénétration de la couche réseau
11.3.1 Vérifier que les tests de pénétration comprennent des tests de pénétration de la couche réseau. Ces tests doivent inclure les composants qui prennent en charge les fonctions réseau, tels que les systèmes d’exploitation.
11.3.2 Tests de pénétration de la couche application
11.3.2 Vérifier que les tests de pénétration comprennent des tests de pénétration de la couche application. Les tests doivent comprendre au minimum les vulnérabilités répertoriées dans la condition 6.5.
11.4 Utiliser des systèmes de détection d’intrusions et/ou des systèmes de prévention d’intrusions pour contrôler l'intégralité du trafic, ainsi que les points critiques, dans l’environnement des données de titulaires de cartes et signaler au personnel tous les soupçons portant sur des altérations potentielles.
Tenir à jour tous les moteurs de détection et de prévention des intrusions, les références et les signatures.
11.4.a Vérifier l'utilisation de systèmes de détection d’intrusions et/ou de systèmes de prévention d’intrusions pour contrôler l'intégralité du trafic, ainsi que les points critiques, dans l’environnement des données de titulaires de cartes.
11.4.b Vérifier que les systèmes de détection et/ou de prévention d’intrusions sont configurés pour alerter le personnel sur des altérations potentielles.
11.4.c Examiner les configurations des systèmes de détection et/ou de prévention d’intrusions et confirmer que le matériel
correspondant est configuré, géré et mis à jour conformément aux instructions des fournisseurs pour garantir une protection optimale.
Conditions PCI DSS Procédures de test En place Pas en place
Date cible/Comme
ntaires 11.5 Déployer des logiciels de contrôle
de l’intégrité des fichiers pour alerter le personnel de toute modification non autorisée des fichiers de configuration, des fichiers de contenu ou des fichiers système stratégiques, et configurer ces logiciels pour effectuer des comparaisons entre les fichiers stratégiques au moins une fois par semaine.
Remarque : pour le contrôle de l’intégrité des fichiers, les fichiers stratégiques sont généralement ceux qui ne changent pas régulièrement, mais dont la modification pourrait indiquer une altération du système ou son exposition à des risques.
Les produits de contrôle de l’intégrité des fichiers sont généralement préconfigurés avec les fichiers stratégiques pour le système d’exploitation associé. D’autres fichiers stratégiques, tels que ceux associés aux applications
personnalisées, doivent être évalués et définis par l’entité (c’est-à-dire le commerçant ou le prestataire de services).
11.5.a Vérifier l’utilisation d'outils de contrôle de l’intégrité des fichiers dans l’environnement des données de titulaires de cartes en examinant les paramètres système et les fichiers contrôlés, ainsi que les résultats des activités de contrôle.
Exemples de fichiers qui doivent être contrôlés :
exécutables du système ;
exécutables des applications ;
fichiers de configuration et de paramètres ;
fichiers d'historique, d’archive, de journaux et d’audit stockés à un emplacement centralisé.
11.5.b Vérifier que les outils sont configurés de manière à alerter le personnel de toute modification non autorisée des fichiers
stratégiques et à procéder à de comparaisons de fichiers stratégiques au moins une fois par semaine.