VikingCloud approuve cside pour les exigences PCI DSS 6.4.3 et 11.6.1

Ce sont les deux exigences de PCI DSS v4.0.1 qui encadrent les scripts des pages de paiement. L'exigence 6.4.3 impose que chaque script d'une page de paiement soit autorisé, inventorié et garanti en intégrité, afin que seuls des scripts approuvés s'exécutent. L'exigence 11.6.1 impose un mécanisme de détection des changements et des altérations qui alerte en cas de modification non autorisée de la page de paiement et de ses en-têtes HTTP. Ensemble, elles comblent la faille côté client qu'exploitent le skimming et les attaques Magecart dans le navigateur.

Un QSA, ou Qualified Security Assessor, est un cabinet accrédité par le PCI Security Standards Council pour auditer les solutions par rapport à la norme. La validation QSA compte parce que la plupart des fournisseurs côté client publient un livre blanc qu'ils rédigent eux-mêmes et le présentent comme une preuve. Un cabinet QSA indépendant, lui, teste le produit et appose son nom sur la conclusion. VikingCloud, un QSA mondial et partenaire de Mastercard, a mené ce type d'évaluation sur cside pour les exigences 6.4.3 et 11.6.1.

Commencez par vérifier que l'outil couvre les deux volets des exigences : un inventaire de scripts en direct avec autorisation et garantie d'intégrité pour 6.4.3, et une détection d'altération avec alertes pour 11.6.1. Pesez ensuite l'effort de déploiement, la capacité à bloquer et pas seulement à alerter, et la façon dont il prouve la conformité. Privilégiez les fournisseurs disposant d'une évaluation signée par un cabinet QSA indépendant plutôt qu'un livre blanc auto-publié, car la conclusion d'un évaluateur est ce qu'un auditeur prendra réellement en compte.

Demandez une évaluation technique signée par un cabinet QSA nommant leur produit, pas un livre blanc qu'ils ont écrit sur eux-mêmes. Demandez comment ils détectent les changements de scripts ; cside compare les valeurs hachées des scripts dans de vraies sessions de navigateur. Demandez s'ils peuvent bloquer les scripts non autorisés ou seulement alerter, comment ils constituent et maintiennent l'inventaire des scripts pour 6.4.3, et ce que le déploiement exige. cside s'installe comme un unique script propriétaire ou un scan sans agent, sans changement DNS et sans acheminer le trafic de votre site.

Un livre blanc auto-publié est du marketing que le fournisseur a rédigé sur son propre produit, il n'engage donc aucune responsabilité indépendante. Une évaluation signée par un QSA provient d'un évaluateur accrédité qui a testé la solution par rapport à la norme et a apposé son nom sur la conclusion. Pour cside, VikingCloud a mené une évaluation technique approfondie et a constaté que la plateforme démontrait sa capacité à satisfaire 6.4.3 et 11.6.1 lorsqu'elle est déployée correctement. C'est le document qu'un auditeur prendra réellement en compte.

Les deux satisfont les exigences, et le bon choix dépend de la mesure dans laquelle vous voulez toucher à la page. cside propose une Méthode Script, une unique balise de script propriétaire ajoutée à la page, et une Méthode Scan qui est sans agent. La Méthode Script offre une couverture continue et en session réelle des scripts au moment où ils s'exécutent ; le scan sans agent convient aux équipes qui ne peuvent pas ajouter de balise. VikingCloud a validé cside à l'aide de valeurs hachées et de configurations de blocage dans cette approche pour 6.4.3 et 11.6.1.

Non. Tenir à jour l'inventaire des scripts autorisés qu'exige 6.4.3 fait partie de ce que fait cside, vous n'avez donc pas besoin d'un produit d'inventaire distinct à côté. cside découvre les scripts qui s'exécutent sur vos pages de paiement, les enregistre, signale les changements non autorisés par comparaison de valeurs hachées et peut bloquer les scripts que vous n'avez pas approuvés. Cela couvre à la fois le volet inventaire et autorisation de 6.4.3 et la détection des changements demandée par 11.6.1, en un seul déploiement.

cside calcule des valeurs hachées pour chaque script de vos pages de paiement et surveille tout changement de ces valeurs dans de vraies sessions de navigateur, de sorte qu'un script modifié ou nouvellement injecté est signalé dès que sa charge diffère de la version approuvée. cside récupère et analyse les scripts tiers de son côté avant leur exécution, et peut être configuré pour bloquer ceux qui ne sont pas autorisés. VikingCloud a confirmé cette détection par hachage lors de son évaluation technique de la plateforme.

cside peut faire les deux. Il alerte sur les changements de scripts pour le rôle de détection d'altération de 11.6.1, et il prend aussi en charge des configurations de blocage qui empêchent l'exécution des scripts non autorisés, ce qu'attend 6.4.3 pour le contrôle d'autorisation. VikingCloud a spécifiquement noté que cside détectait les changements de scripts au moyen de valeurs hachées et de configurations de blocage, et a conclu que la solution protège contre l'exécution de scripts non autorisés lorsqu'elle est déployée correctement.

VikingCloud a mené une évaluation technique approfondie de la plateforme entreprise de cside et a testé si elle détectait les changements des scripts du site web. Il a confirmé que cside détectait ces changements au moyen de valeurs hachées et de configurations de blocage, et démontrait sa capacité à satisfaire PCI DSS 6.4.3 et 11.6.1 lorsqu'elle est déployée correctement. VikingCloud a conclu que la solution protège contre l'exécution de scripts non autorisés et empêche les modifications non autorisées des applications web. Le rapport complet est sur le portail de confiance de cside.

Vous ajoutez cside sous la forme d'une unique balise de script propriétaire à vos pages, ou vous utilisez la Méthode Scan sans agent si vous ne pouvez pas placer de balise. Il n'y a pas de changement DNS et cside n'achemine pas le trafic de votre site. Une fois actif, il inventorie les scripts de vos pages de paiement, compare les valeurs hachées pour repérer les changements non autorisés, et peut bloquer les scripts que vous n'avez pas approuvés. Un déploiement correct est la condition que VikingCloud a posée à sa conclusion, alors suivez les recommandations de configuration entreprise.

cside utilise un modèle basé sur l'usage plutôt qu'une licence fixe, le coût évolue donc avec votre trafic ; il existe un plan gratuit pour commencer, et le contrôle des scripts dans le périmètre PCI relève de l'offre entreprise qu'a évaluée VikingCloud. Comme le prix dépend du volume de vos pages et de la méthode que vous déployez, le chiffre exact vient d'un échange avec l'équipe cside. cside PCI Shield regroupe la couverture de 6.4.3 et 11.6.1 en un seul déploiement.