Support technique
Documentation
Connexion
Nous contacter
Accédez directement au résumé généré par l'IA de cet article de blog 
Les pirates informatiques s'attaquent souvent aux données de l'industrie des cartes de paiement (PCI). Pour s'en prémunir, des régimes de conformité tels que la norme de sécurité des données PCI (PCI DSS) ont été mis en place pour protéger les données des titulaires de cartes, quel que soit l'endroit où elles sont traitées ou stockées.
La norme PCI DSS comprend plusieurs exigences conçues pour protéger les données des titulaires de cartes, y compris des recommandations spécifiques en matière de correction des vulnérabilités. Dans les lignes directrices relatives à la sécurité des applications, la norme PCI DSS informe les organisations des délais à respecter pour remédier à toute vulnérabilité connue apparaissant dans la technologie qui prend en charge les transactions de paiement et stocke les données de paiement.
Dans cet article, nous examinerons les exigences de la norme PCI DSS en matière de correctifs et nous décrirons ce que vous pouvez faire pour respecter ces exigences, même lorsque les correctifs sont difficiles à mettre en œuvre.
Quelles sont les exigences de la norme PCI DSS en matière de correctifs ?
La dernière norme PCI DSS, PCI DSS version 4.0, a été publiée fin mars 2022 (la version 3.2.1 de PCI DSS restera toutefois active jusqu'en mars 2024). À l'exception de quelques changements, les exigences en matière de correctifs restent similaires dans la norme PCI DSS 4.0 et, dans le cadre de cet article, nous nous référerons à la version 4.0 de la norme.
Quelle que soit la version à laquelle vous vous référez, vous trouverez l'essentiel des exigences relatives aux correctifs dans la section 6, qui contient les spécifications relatives au développement et à la maintenance de logiciels et de systèmes sécurisés. Dans la norme PCI DSS 4.0, la section qui traite des correctifs est la section 6.3 : "Security vulnerabilities are identified and addressed" (les failles de sécurité sont identifiées et traitées).
Le correctif est mentionné à quelques reprises dans la section 6.3, mais l'exigence pertinente est la suivante pertinente se trouve au point 6.3.3. Les exigences de la norme PCI DSS stipulent que
Tous les composants du système sont protégés contre les vulnérabilités connues par l'installation des correctifs/mises à jour de sécurité applicables, comme suit : Les correctifs/mises à jour critiques ou de haute sécurité (identifiés selon le processus de classement des risques de l'exigence 6.3.1) sont installés dans un délai d'un mois après leur publication.
Tous les autres correctifs/mises à jour de sécurité applicables sont installés dans un délai approprié déterminé par l'entité (par exemple, dans les trois mois suivant la publication).
En résumé, pour rester conforme à la norme PCI DSS, les correctifs critiques doivent être appliqués dans un délai d'un mois à compter de la publication du correctif, tandis que les correctifs moins critiques doivent être appliqués dans un délai de trois mois à compter de la publication du correctif. La criticité, telle qu'elle est définie au point 6.3.1, est un mélange de ce que dit le vendeur, de rapports de sécurité indépendants et du score CVSS, et du score CVSS.
La norme PCI DSS impose des exigences strictes en matière de délais d'application des correctifs. Les organisations couvertes qui ne respectent pas ces exigences seront jugées non conformes.
Ce que vous pouvez faire pour respecter les délais de mise à jour de la norme PCI DSS
Chaque organisation adopte sa propre approche en matière de délais d'application des correctifs - même si, dans la pratique, le délai se résume essentiellement à ASAP (le plus tôt possible). Une norme indépendante, telle que la norme PCI DSS, fixe toutefois des exigences fixes qui pourraient être difficiles à respecter dans le cadre de vos pratiques de cybersécurité existantes.
Selon la source à laquelle vous vous référez, le temps nécessaire à la mise en place d'un correctif peut aller de deux à cinq mois. de deux à cinq mois et les organisations ont souvent du mal à respecter les délais de mise en place des correctifs. La réalité des correctifs peut facilement entrer en conflit avec les exigences de la norme PCI DSS. Le fait de ne pas déployer un correctif assez rapidement peut conduire à une amende - ou pire.
Voici quelques-unes des mesures que votre organisation peut prendre pour réduire le temps nécessaire à l'application des correctifs et pour avoir de meilleures chances de rester conforme à la norme PCI DSS :
- Présentation de la visibilité. Comme c'est souvent le cas en matière de cybersécurité, vous ne pouvez pas protéger ce que vous ne connaissez pas. Déterminez les systèmes sur lesquels vous vous appuyez pour traiter les données des titulaires de cartes et les paiements, puis définissez également leurs dépendances.
- Se concentrer sur l'essentiel. Si votre régime de conformité - PCI DSS - exige que les technologies liées aux paiements soient corrigées à temps, c'est là que vous devez concentrer vos ressources...
- Mieux communiquer et coordonner. Ne restez pas en mode crise pour les correctifs : assurez-vous de contrôler régulièrement les objectifs de correctifs, de communiquer le besoin de correctifs aux parties prenantes et de planifier les fenêtres de maintenance.
- Utiliser la technologie pour changer le jeu. Des correctifs manuels qui prennent du temps et impliquent des redémarrages perturbateurs. Envisagez d'utiliser le live patching pour tous vos systèmes liés aux paiements qui peuvent être couverts par des correctifs en direct. Cela inclut les distributions Linux d'entreprise, les bibliothèques open-source, les bases de données et les environnements de virtualisation.
- Des ressources adéquates. La nécessité d'appliquer des correctifs n'est plus un secret pour vous, et vous ne devriez pas être surpris par les besoins intensifs en ressources qu'implique l'application cohérente de correctifs sur de vastes parcs technologiques. Pour rester conforme à la norme PCI DSS, vous devez disposer de ressources suffisantes pour assurer la conformité des correctifs.
Pour répondre aux exigences en matière de correctifs, y compris celles de la norme PCI DSS, il faut vraiment que tout le monde soit sur le pont. Cela implique de déployer toutes les solutions technologiques à votre disposition, de l'analyse des vulnérabilités à la mise en place de correctifs en temps réel.
Quelques autres remarques sur l'application des correctifs dans le cadre de la norme PCI DSS
Les correctifs sont mentionnés dans quelques autres exigences de la norme PCI DSS. Par exemple, le point 1.2.5 souligne la nécessité d'identifier les services technologiques actifs et disponibles et de vérifier que chacun de ces services répond à un besoin commercial défini. Les services inutilisés sont souvent oubliés et, par conséquent, non corrigés et vulnérables.
De même, la section 11.3 mentionne la nécessité d'analyser les dispositifs orientés vers l'extérieur et de veiller à ce que les vulnérabilités détectées soient corrigées ou corrigées d'une autre manière. Les diverses annexes de la norme contiennent également quelques mentions mineures.
Obtenez toute l'aide dont vous avez besoin
Le non-respect des délais d'application des correctifs fixés dans la section 6.3 de la norme PCI DSS est synonyme de non-conformité à la norme PCI DSS.. Une organisation soumise aux exigences de la norme PCI DSS sera soumise à de lourdes amendes si elle est jugée non conforme.
Il y a aussi le risque qu'un correctif inadéquat conduise à une brèche, ce qui peut entraîner des coûts de nettoyage considérables, voire la fermeture de l'entreprise.
Chez TuxCare, nous pouvons accélérer votre approche des correctifs et faciliter considérablement l'obtention et le maintien de la conformité PCI DSS.
Grâce à nos solutions de correctifs en direct, vos systèmes recevront les derniers correctifs de vulnérabilité Linux dès qu'ils seront disponibles. Avec TuxCare, les correctifs sont déployés automatiquement en arrière-plan pendant que les systèmes fonctionnent, sans que votre équipe n'ait besoin de programmer une fenêtre de maintenance ou un redémarrage.
Le live patching de TuxCare vous couvre pour les systèmes d'exploitation Linux d'entreprise les plus populaires ainsi que pour les bibliothèques et bases de données open-source les plus utilisées - et même pour les environnements de virtualisation. Pour en savoir plus sur la gamme de solutions de live patching de TuxCare, cliquez ici..
