Qu’est-ce que la conformité PCI ?

La conformité PCI implique 12 exigences distinctes, toutes conçues pour améliorer la sécurité. Ils sont les suivants :

Un pare-feu peut empêcher l’accès à votre réseau par des acteurs inconnus ou étrangers qui tentent d’obtenir un accès non autorisé aux données. Dans de nombreux programmes de sécurité réseau, un pare-feu est la première mesure prise pour bloquer les hackers. Comme ils sont si efficaces pour empêcher les hackers et autres d’accéder aux données sensibles, les pare-feux sont une nécessité pour un commerçant ou une entreprise qui doit obtenir la conformité PCI DSS.

Une grande partie de l’infrastructure d’une organisation qui accepte les paiements par carte est fournie avec des mots de passe génériques qui sont faciles à comprendre. Il s’agit notamment des modems, des routeurs, des systèmes de point de vente (POS) et d’autres produits. Si une entreprise ne prend pas les mesures appropriées pour rendre les mots de passe plus sûrs, son système peut avoir un ou plusieurs points d’accès faciles. 

Pour être conforme lorsqu’il s’agit d’établir des mots de passe forts ou d’autres mesures d’accès sécurisé, une organisation doit tenir une liste de tous les logiciels et appareils qui doivent être authentifiés. Il est également essentiel que les mots de passe ne soient pas faciles à deviner par les hackers.

Pour assurer la conformité PCI DSS, une organisation doit assurer une double protection des données des titulaires de cartes. Les données de la carte doivent être chiffrées à l’aide d’algorithmes spécifiques. Les cryptages sont ensuite institués à l’aide de clés de cryptage, qui sont également cryptées. Ensuite, les numéros de compte principaux doivent être régulièrement conservés et analysés pour s’assurer que toutes les données continuent d’être chiffrées.

Toutes les données des titulaires de cartes sont transmises sur plusieurs canaux auxquels les hackers peuvent accéder. Pour protéger les données, elles doivent être chiffrées. De cette manière, même si un hacker trouve un moyen de l’intercepter, il devra passer par la tâche laborieuse de le déchiffrer avant de pouvoir l’utiliser. De plus, les numéros de compte ne peuvent pas être transmis vers des destinations à moins qu’ils n’aient été vérifiés comme légitimes.

Il est toujours judicieux d’utiliser un logiciel antivirus, mais il est obligatoire pour tout appareil qui stocke ou interagit avec les numéros de compte principaux. Pour s’assurer que le logiciel conserve sa viabilité, il doit être mis à jour et corrigé régulièrement. De plus, le fournisseur de points de vente d’une organisation doit utiliser un logiciel antivirus s’il n’est pas possible pour l’entreprise de l’installer directement sur certains appareils.

Les logiciels antivirus et les pare-feux nécessitent des mises à jour régulières. Une entreprise doit mettre à jour tous les logiciels qu’elle exécute. Dans la plupart des cas, le logiciel peut exécuter des mises à jour automatiques, ce qui sert de couche de protection supplémentaire. Il est particulièrement important que les appareils qui interagissent avec les données des clients disposent de ces mises à jour.

Les données des titulaires de carte ne doivent être consultées que par ceux qui en ont absolument besoin. Quiconque n’a pas besoin d’accéder aux données pour faire son travail ne doit pas pouvoir les voir ou les utiliser. Quiconque a accès doit avoir ses noms et privilèges d’accès enregistrés, et ces dossiers doivent être tenus à jour.

Quiconque ayant accès aux données de titulaires de carte doit se voir attribuer une identification et des identifiants uniques pour y accéder. Par exemple, une organisation serait hors conformité si plusieurs employés utilisaient les mêmes identifiants de connexion pour accéder à un système ou un appareil. Si chaque personne conserve un identifiant et des identifiants uniques, il est plus facile de déterminer d’où provient une violation.

Les données des titulaires de carte doivent être conservées dans un endroit sécurisé. Que les données soient dactylographiées physiquement ou stockées sur un disque dur ou un autre appareil, elles doivent être conservées dans un tiroir, une armoire ou une pièce sécurisés. En plus de limiter l’accès, l’organisation doit tenir un journal chaque fois que les données sont consultées pour maintenir la conformité.

Chaque fois qu’une personne accède aux numéros de compte principaux des titulaires de carte, l’activité doit être consignée. Pour rester en conformité, vous devez documenter le flux de données et la fréquence à laquelle les personnes ont besoin d’y accéder.

Pour vous assurer que le système est conforme, vous devez l’analyser pour détecter les vulnérabilités. Effectuez des tests pour vous assurer qu’il peut faire ce qu’il est censé faire. Si une longue période s’écoule sans attaque, il peut être difficile de savoir si le système fonctionne à moins qu’il ne soit correctement vérifié.

La documentation de vos politiques implique plus que de les écrire. Vous devez également tenir un inventaire des logiciels et des équipements, ainsi qu’une liste des employés qui interagissent avec les données. Vous devez documenter la manière dont les informations circulent dans votre organisation et comment elles sont stockées et utilisées.