En résumé - 3 conseils
- Utiliser une solution tierce est plus rapide et plus sûr que de construire des contrôles en interne. Les QSA trouvent les outils établis plus faciles à évaluer que les mécanismes maison.
- Les scanners distants peuvent être déployés en moins d'une journée, mais risquent d'être rejetés comme contrôle valide. La sécurité multicouche prend quelques jours à quelques semaines tout en offrant une protection réelle et sans risque d'échec à l'audit.
- Des outils comme cside proposent une option de déploiement autonome pour les petites entreprises souhaitant être opérationnelles le plus rapidement possible, ainsi qu'une option accélérée pour les grandes entreprises confrontées à une échéance d'audit serrée.
Pourquoi les QSA recommandent les outils tiers pour PCI DSS 6.4.3 & 11.6.1
Lors de notre webinaire avec BARR Advisory, Kyle Kofsky a souligné que la recommandation par défaut des QSA est d'utiliser un outil tiers pour les exigences 6.4.3 & 11.6.1. Tenter de gérer ces exigences avec des outils développés en interne représente une charge considérable et devient un projet sans fin en raison de la maintenance continue.
« Avec CSP et SRI, même si vous maîtrisez tous ces concepts, votre organisation dispose-t-elle des ressources nécessaires pour mettre en œuvre ces méthodes ? Les inventaires peuvent-ils être maintenus, les méthodes de sécurité peuvent-elles évoluer au rythme des attaques ? Il s'agit d'une évaluation annuelle continue et vous devez être conforme en permanence. Pour de nombreuses organisations, c'est une charge trop lourde à porter. C'est pourquoi les outils tiers deviennent très populaires pour gérer ces scripts et la sécurité des pages de paiement. »
Cela ne signifie pas que Kyle Kofsky ou BARR Advisory ont recommandé cside en particulier.
Nous avons régulièrement vu des équipes passer des mois à construire des contrôles internes, pour finalement se retrouver bloquées sur une exigence technique et opter pour un outil tiers après avoir investi des ressources considérables dans leur projet maison. Cet article explique comment se conformer aux exigences PCI DSS 6.4.3 & 11.6.1 si vous décidez tout de même de construire en interne.
Il est beaucoup plus rapide (et plus sûr) d'utiliser un outil comme cside, qui peut être opérationnel en quelques jours et qui inclut des tableaux de bord et des rapports prêts à l'emploi conçus pour la revue QSA. Pour les équipes qui privilégient le contrôle, cside peut être intégré aux SIEM et aux autres éléments de votre stack de défense.
Combien de temps faut-il pour mettre en œuvre un outil tiers pour PCI DSS 6.4.3 & 11.6.1 ?
Scanners distants (1 jour, sécurité limitée) :
Également appelés « crawlers » ou « scanners sans agent », ces solutions peuvent être mises en œuvre en 1 jour. Elles surveillent votre site web de l'extérieur, ce qui signifie qu'aucun code ni installation n'est requis. La simplicité technique de cette approche est aussi son principal inconvénient. Bien qu'il s'agisse du moyen le plus rapide d'obtenir une surveillance de base des scripts tiers, les capacités de sécurité sont extrêmement limitées.
Ce qui comporte le risque d'échouer aux exigences client-side PCI DSS lors de votre audit. L'objectif des exigences 6.4.3 et 11.6.1 est de protéger les titulaires de cartes en réduisant la possibilité de web skimming sur vos pages de paiement. Les scanners distants ne peuvent pas bloquer les attaques. Ils analysent les menaces potentielles, mais peuvent être facilement contournés par du code conditionnel. Un attaquant peut simplement détecter les crawlers et leur servir du code propre tout en servant du code malveillant aux utilisateurs.
Nous avons demandé à un QSA (qui a préféré rester anonyme) si un scanner passerait l'audit :
Si vous posez la question à 5 QSA, vous obtiendrez 6 opinions différentes. Le PCI Council a laissé le langage vague sur les contrôles spécifiques approuvés pour 6.4.3 & 11.6.1. Cette partie est laissée à l'appréciation des marchands. Nous avons entendu parler d'auditeurs acceptant les scanners comme contrôles valides, tandis que d'autres les rejettent car ils ne peuvent pas bloquer les scripts.
Nos propres ingénieurs en sécurité recommandent vivement une solution offrant des capacités de protection plus robustes. Cela dit, cside propose une solution de scan distant uniquement pour les entreprises qui privilégient la rapidité de mise en œuvre à la sécurité. Vous pouvez passer à une protection plus robuste à tout moment.
Sécurité multicouche (quelques jours à quelques semaines, protection maximale) :
Des solutions comme cside combinent surveillance côté client, scanners distants et analyse de scripts par IA personnalisée pour protéger vos pages. Ces solutions peuvent être mises en œuvre en quelques jours à quelques semaines selon la portée de votre déploiement.
Nous avons vu des petites entreprises générer des rapports en temps réel en moins d'une semaine. Les grandes entreprises peuvent prendre plus de temps en raison des processus juridiques, des PoC formels et des tests en pré-production. Plusieurs de nos clients entreprise ont atteint un déploiement complet en moins d'un mois.
Bien que cette approche ajoute quelques semaines à votre calendrier de mise en œuvre, elle élimine le risque d'échec à l'audit pour cause de contrôles insuffisants. cside a été examiné et validé par VikingCloud comme étant en mesure de satisfaire aux exigences :
cside a démontré la capacité à satisfaire aux exigences PCI DSS 6.4.3 et 11.6.1. L'évaluation technique et les tests ont confirmé que la solution répond aux exigences susmentionnées lorsqu'elle est déployée correctement.
- VikingCloud, Consulter le rapport détaillé de VikingCloud ici.
Déploiement autonome pour les outils PCI DSS 6.4.3 & 11.6.1
Une façon d'accélérer la conformité aux exigences PCI DSS 6.4.3 & 11.6.1 est d'utiliser un outil avec une option de déploiement autonome, comme cside. Des concurrents comme Feroot et Jscrambler exigent un appel de démonstration avant de vous donner accès à leur plateforme. Vient ensuite le processus de vente formel avant que toute mise en œuvre puisse commencer.
Avec le modèle de déploiement autonome de cside, vous pouvez immédiatement créer un compte gratuit, mettre en place une protection de base sur vos pages, puis passer à la version complète pour une couverture de conformité totale — le tout sans passer par un appel commercial.
C'est particulièrement utile pour :
- Les petites entreprises (moins de 500 000 pages vues mensuelles) qui souhaitent se déployer entièrement de manière autonome à l'aide de la documentation développeur et des ressources guidées, sans équipe de support.
- Les développeurs/responsables conformité en entreprise qui souhaitent un accès pratique pour évaluer la plateforme avant de recommander un fournisseur à un comité d'achat.
Quelle est la difficulté d'installer un outil tiers pour PCI DSS 6.4.3 & 11.6.1 ?
Scanners distants :
- Difficulté : Facile, sans code
- Étapes d'installation : Saisissez une liste de domaines ou d'URL à surveiller. Le fournisseur exécute les analyses automatiquement et vous envoie des rapports ou un tableau de bord avec des informations.
Sécurité multicouche (quelques jours à quelques semaines, protection maximale) :
- Difficulté : Facile, nécessite des modifications de code
- Étapes d'installation : Saisissez votre domaine. Ajoutez une ligne de code à votre site web. Mettez à jour les règles CSP si nécessaire pour autoriser le script du fournisseur.
cside propose plusieurs méthodes de mise en œuvre, notamment des options adaptées aux développeurs comme la configuration via CLI ou un package Next.js.
Puis-je être conforme aux exigences PCI DSS 6.4.3 & 11.6.1 en 30 jours ?
Oui, mais les délais dépendent de la taille de votre déploiement. Nous avons vu des clients mettre en œuvre cside en quelques jours et préparer les preuves d'audit peu après, avec un processus finalisé en moins d'un mois. Les grandes entreprises doivent tenir compte des processus juridiques, des démonstrations de PoC et de la configuration technique avancée.
Si vous préparez un audit à venir, cside peut vous aider à accélérer votre processus :
- Pour les petites entreprises (moins de 500 000 pages vues mensuelles) : Créez un compte et déployez cside de manière autonome comme mécanisme de protection côté client. Cela peut être réalisé en quelques jours grâce aux ressources guidées, à la documentation et à l'accès au support technique si nécessaire.
- Pour les entreprises : Contactez notre équipe, nous pouvons accélérer le calendrier de mise en œuvre et vous aider à élaborer une stratégie pour atteindre la conformité plus rapidement.
