Le paysage PCI DSS évolue rapidement. Alors que l’échéance du premier trimestre 2025 approche à grands pas, les entreprises se démènent pour satisfaire aux nouvelles exigences strictes de la norme PCI DSS v4.0. Deux sections en particulier, 6.4.3 et 11.6.1, posent problème car elles exigent que les organisations surveillent et gèrent rigoureusement les scripts des pages de paiement et utilisent un mécanisme de détection des modifications robuste. L’échéance approchant à grands pas et les conséquences de la non-conformité étant si graves, il n’y a pas de place pour la complaisance. C’est pourquoi, dans cet article, nous examinons la meilleure façon de répondre à ces exigences de codage complexes.
PCI DSS v4 : comprendre les exigences 6.4.3 et 11.6.1
Ces modifications apportées à la norme PCI DSS dans la version 4.0 reconnaissent le besoin urgent de renforcer la sécurité côté client face aux menaces omniprésentes sur la chaîne d’approvisionnement. Elles appellent à renforcer la sécurité des pages de paiement pour protéger les informations de paiement sensibles des clients contre les attaques par injection de scripts malveillants :
- 6.4.3 : Pour répondre à cette exigence, votre organisation doit surveiller et gérer tous les scripts de page de paiement exécutés dans le navigateur du consommateur. Cela implique de s’assurer que les scripts sont autorisés, que leur intégrité est préservée et que vous conservez un inventaire qui répertorie chacun d’eux avec des justifications écrites pour leur inclusion.
- 11.6.1 : Cette exigence vise à détecter les modifications de script et à empêcher toute altération. Les organisations devront donc mettre en œuvre un mécanisme permettant de détecter rapidement les modifications non autorisées apportées aux en-têtes et scripts HTTP critiques pour la sécurité utilisés sur les pages de paiement. Cela permettra d’éviter l’injection de code malveillant et d’autres attaques ciblant les données de paiement.
Un tableau de bord PCI propriétaire
Reflectiz savait que les méthodes traditionnelles de conformité PCI peuvent souvent être chronophages et gourmandes en ressources. C’est pourquoi ils ont créé un tableau de bord PCI dédié qui les génère avec un minimum de complications. Il offre une visibilité à distance et en temps réel sur votre écosystème en ligne, avec une surveillance au niveau des scripts et sans besoin de ressources sur site. La conformité est donc intégrée et les rapports de conformité sont très simples, car ils sont comme un sous-produit naturel de ce que la solution fait déjà.
Obtenez l’accès à un tableau de bord PCI gratuit pendant 30 jours.
Simplifiez la conformité grâce aux approbations intelligentes
Le mécanisme d’approbation intelligent de Reflectiz permet également de gagner du temps. Au lieu d’approuver et de justifier manuellement chaque script, vous pouvez simplement définir des comportements de script acceptables, puis laisser le système approuver automatiquement par lots ceux qui y répondent.
Vous pouvez toujours approuver et justifier les modifications de script individuelles si nécessaire, mais avoir la possibilité de rationaliser le processus d’approbation en définissant des comportements de script acceptables de cette manière est une fonctionnalité supplémentaire libératrice. Elle s’étend également à la gestion des approbations pour les sites Web avec plusieurs pages de paiement, ce qui est encore mieux.
Pour résumer :
- Approbations de script : Approuvez et justifiez facilement les modifications individuelles des scripts pour répondre aux exigences 6.4.3 et 11.6.1.
- Mécanisme d’approbation intelligent : Rationalisez le processus d’approbation en définissant des comportements de script acceptables.
- Gestion de plusieurs pages de paiement : Gérez efficacement les approbations pour les sites Web avec plusieurs pages de paiement.
Les avantages de l’utilisation du tableau de bord PCI de Reflectiz s’accumulent rapidement.
- Gain de temps : Automatisez les processus manuels, libérant ainsi votre équipe pour qu’elle se concentre sur les activités principales de l’entreprise.Récemment, Reflectiz a réduit le niveau de travail nécessaire pour l’un de ses clients de 95 % (!) Voir l’étude de cas ci-dessous.
- Réduction des coûts : Réduisez les frais généraux associés aux efforts de conformité, y compris le personnel et les ressources.
- Réduction du risque de non-conformité : Gardez une longueur d’avance sur les exigences PCI DSS et minimisez le risque de pénalités coûteuses et d’atteinte à la réputation.
L’utilisation de solutions de sécurité qui s’appuient sur JavaScript intégré peut ajouter davantage de vulnérabilités (y compris Les dix principales vulnérabilités de l’OWASP) qu’ils ne corrigent, comme si on essayait de combattre un incendie avec de l’essence. Reflectiz fonctionne à distance, ce qui lui donne une vue ininterrompue de chaque script de la page sans risque de compromission et sans ajout de vulnérabilités supplémentaires. Le dernier endroit où vous devriez introduire Vulnérabilités JavaScript il s’agit d’une page de paiement, donc Reflectiz emprunte la voie la plus sûre et la plus efficace pour se conformer aux normes PCI en les surveillant à distance.
Accédez à votre tableau de bord PCI gratuit pendant 30 jours.
Pourquoi Reflectiz a choisi la surveillance à distance plutôt que les scripts intégrés
Les scripts de sécurité intégrés présentent des inconvénients importants :
- Problèmes de confidentialité : Ils peuvent accéder à vos données commerciales et à celles de vos utilisateurs, ce qui ajoute une charge permanente à vos efforts de conformité.
- Visibilité limitée : Ils ne peuvent pas surveiller les zones critiques comme les iFrames, le piratage d’utilisateurs et les cookies de suivi. Ceux-ci sont invisibles pour eux.
- Impact sur les performances : Ils ralentissent les sites Web et nécessitent des mises à jour constantes.
- Risques de sécurité : Ils sont vulnérables aux attaques et augmentent la surface d’attaque globale.
L’approche de surveillance à distance de Reflectiz surmonte ces défis en offrant une surveillance complète, sécurisée et efficace des composants Web.
Stuart Golding, un évaluateur de sécurité qualifié PCI DSS de premier plan, partage l’avis selon lequel il s’agit de la bonne approche : « Personnellement, j’ai tendance à privilégier les solutions les moins intrusives, tant en termes de coût que de mise en œuvre. Ces solutions nécessitent généralement un développement minimal ou des modifications sur la page Web de l’organisation, ce qui permet une mise en œuvre et des résultats rapides. »
Étude de cas : une grande compagnie d’assurance américaine
Défi:Une importante compagnie d’assurance américaine devait se conformer aux nouvelles exigences de la norme PCI DSS v4.0, notamment les normes 6.4.3 et 11.6.1, qui, comme nous l’avons déjà mentionné, imposent une surveillance et une gestion rigoureuses des scripts des pages de paiement. La société avait :
- 2 pages de paiement
- Environ 60 scripts sur les deux pages
Solution:La société a mis en œuvre le tableau de bord PCI de Reflectiz pour rationaliser la surveillance et l’approbation des scripts sur une période de deux semaines.
Résultats:
Panne:
Principaux points à retenir:
- Reflectiz a identifié un nombre important de changements de script (30 % en seulement deux semaines), soulignant la nécessité d’une surveillance continue.
- En projetant ces données à une échelle plus grande (8 pages de paiement), Reflectiz peut potentiellement éviter à l’entreprise de réviser et d’approuver 40 scripts chaque semaine.
- En automatisant les approbations et en minimisant les efforts manuels, Reflectiz réduit le risque d’erreur humaine et rationalise le processus de conformité. Cela se traduit par des économies de coûts importantes et un chemin plus fluide vers la réussite des audits PCI.
Cette étude de cas démontre l’efficience et l’efficience de Reflectiz dans la gestion des modifications de script et la garantie de la conformité PCI DSS.
Au-delà de la conformité PCI
La conformité PCI n’est qu’un aspect de l’ensemble complet de fonctionnalités de sécurité Web de Reflectiz. En surveillant les composants Web tiers, en suivant l’accès aux données de paiement et de carte de crédit et en conservant un inventaire complet des scripts tiers et tiers, Reflectiz aide les organisations à atteindre et à maintenir la conformité PCI DSS v4.0 tout en renforçant leur posture globale de sécurité Web.
Accédez à votre tableau de bord PCI gratuit pendant 30 jours.