TL;DR
- Webinaire PCI DSS 4.0.1 avec VikingCloud : cside s'est associé à VikingCloud, le plus grand cabinet mondial de conformité PCI QSA et de sécurité, pour deux webinaires sur la mise en œuvre de PCI DSS 4.0.1, avec un focus particulier sur les exigences 6.4.3 et 11.6.1.
- À retenir : Les sessions soulignent que les exigences 6.4.3 et 11.6.1 sont déjà applicables et concernent même les marchands SAQ A, et qu'être conforme n'équivaut pas à être sécurisé.
Nous nous sommes associés à Viking,Cloud, le plus grand cabinet mondial de conformité PCI QSA et de sécurité, pour 2 webinaires vous donnant le contexte complet et les informations nécessaires pour mettre en œuvre PCI DSS 4.0.1. Avec un focus particulier sur les exigences 6.4.3 & 11.6.1.
Le formulaire ne s'affiche pas ? - cliquez ici
Quelques sujets que nous avons abordés :
PCI DSS 4.0.1 est déjà applicable
De nombreuses organisations accusent du retard dans l'adoption de ces changements, notamment les exigences 6.4.3 & 11.6.1 qui sont entrées en vigueur début 2025.
Les marchands SAQ A ne sont pas exempts de risques réels
Même si le SAQ A évite la plupart des exigences techniques, les attaques côté client peuvent toujours cibler les pages de paiement, notamment via des iframes, des redirections ou des scripts tiers.
Les exigences 6.4.3 et 11.6.1 s'appliquent même si vous êtes SAQ A
De nombreuses configurations SAQ A chargent des scripts tiers dans les navigateurs des utilisateurs. Ces scripts peuvent être altérés, la surveillance est donc indispensable, malgré la catégorisation « allégée » du SAQ.
Conformité ≠ Sécurité
Il est possible d'être techniquement conforme tout en restant vulnérable. La détection proactive des menaces compte plus que les approches consistant à simplement cocher des cases.
Les outils seuls ne suffiront pas
Les organisations ont besoin d'une combinaison de technologie + processus + personnes pour mettre en œuvre PCI 4.0.1 correctement.
Quelques questions auxquelles nous avons répondu :
« Nous sommes un prestataire de services de niveau 1 fournissant des interfaces JavaScript. Comment pouvons-nous nous protéger contre les problèmes du côté du marchand, que nous ne contrôlons pas ? »
« Aurions-nous pu subir une attaque côté client sans le savoir ? Et si la compromission s'est produite il y a plusieurs mois, et que nous avons depuis apporté des modifications ? »
« Je suis consultant en gestion des risques. Dois-je soulever ce point auprès de l'équipe IT et de la direction ? »
« J'utilise Stripe. Suis-je en sécurité ? »
