Préparation PCI DSS et tests d'intrusion
Un Report on Compliance est validé par un Qualified Security Assessor, et une Attestation of Compliance est votre déclaration formelle. Nous n'émettons ni l'un ni l'autre. Notre rôle est de vous préparer à l'évaluation : cadrer votre environnement des données de cartes, combler les écarts par rapport à PCI DSS v4.0.1 et réaliser les tests d'intrusion et de segmentation de l'Exigence 11.4 imposés par la norme.
Périmètre, écarts et les tests requis
PCI DSS protège l'environnement des données de cartes (CDE). Bien cadrer est l'étape la plus déterminante : avec un périmètre trop étroit, vous échouez ; trop large, vous payez trop. Nous cartographions le CDE et les systèmes connectés, évaluons l'écart par rapport à la v4.0.1 et menons les tests d'intrusion que la norme exige à l'Exigence 11.4.
- Cadrage de l'environnement des données de cartes (CDE) et cartographie des flux de données
- Analyse d'écart par rapport aux exigences de PCI DSS v4.0.1
- Tests d'intrusion externes et internes selon l'Exigence 11.4
- Test de segmentation qui valide activement l'isolation du CDE
- Remédiation des constats exploitables, puis contre-test (soutient l'Exigence 11.4.4)
- Constitution du dossier de preuves à remettre à votre QSA ou pour votre SAQ
Préparation et tests, indépendants du QSA
Nous délimitons notre travail en toute transparence : nous fournissons la préparation PCI DSS, l'analyse d'écart et les tests d'intrusion et de segmentation de l'Exigence 11.4. Nous ne sommes pas un Qualified Security Assessor : nous ne validons pas la conformité, n'émettons pas de Report on Compliance et ne signons pas d'Attestation of Compliance. C'est le rôle du QSA. Nous pouvons fournir une lettre de confirmation de test, qui n'est explicitement pas une attestation QSA.
- 1
Cadrage
Nous cartographions le CDE, les flux de données et les systèmes connectés, convenons des règles d'engagement et signons un NDA.
- 2
Analyse d'écart
Nous mesurons les contrôles par rapport à PCI DSS v4.0.1 et priorisons ce qui doit être corrigé avant l'évaluation.
- 3
Tests d'intrusion
Nous menons des tests externes et internes selon l'Exigence 11.4, confirmant les faiblesses en les exploitant.
- 4
Validation de la segmentation
Nous tentons activement d'atteindre le CDE depuis l'extérieur : la segmentation est testée, pas seulement scannée.
- 5
Remédiation et contre-test
Vous remédiez ; nous contre-testons les constats corrigés (soutenant l'Exigence 11.4.4) et constituons le dossier de preuves pour votre QSA.
Ce que vous recevez
Une vision du périmètre et des écarts, avec les preuves issues des tests d'intrusion dont dépend votre évaluation, structurées selon le plan de rapport de test d'intrusion du PCI SSC. Le RoC et l'AoC sont produits par votre QSA, pas par nous.
- Énoncé du périmètre du CDE et documentation des flux de données
- Analyse d'écart mise en correspondance avec les exigences de PCI DSS v4.0.1
- Rapport de test d'intrusion avec une section dédiée aux résultats du test de segmentation
- Chaque constat : exploitabilité, preuve, reproduction et remédiation (CVSS 3.1)
- Contre-test gratuit des points corrigés dans le délai fixé par le SoW, soutenant l'Exigence 11.4.4
- Lettre de confirmation de test (explicitement pas une attestation QSA)
Ancré dans PCI DSS v4.0.1 et les recommandations de test du PCI SSC
La préparation suit PCI DSS v4.0.1 (la norme en vigueur). Les tests d'intrusion et de segmentation relèvent de l'Exigence 11.4 et suivent les Penetration Testing Guidance du PCI SSC, fondées sur PTES et NIST SP 800-115. Le test de segmentation vérifie activement l'isolation au lieu de se limiter à un scan. Nous fournissons la préparation et les tests, mais nous ne sommes pas un QSA, nous ne validons pas la conformité ni n'émettons de Report on Compliance, et toute lettre de confirmation n'est explicitement pas une attestation QSA. Les versions PCI et les règles de validation évoluent, c'est pourquoi nous les reconfirmons au cadrage.
Préparez-vous pour PCI DSS.
Parlez-nous de votre environnement des données de cartes. Nous le cadrerons, évaluerons l'écart par rapport à la v4.0.1, mènerons les tests d'intrusion et de segmentation de l'Exigence 11.4 et constituerons le dossier de preuves pour votre QSA, sous NDA. La première consultation est gratuite.