Automatisez la conformité PCI-DSS et les tests d’intrusion
Tests d’intrusion continus propulsés par le BAS, collecte automatisée des preuves depuis AWS et dossiers de conformité prêts pour le QSA — pour les commerçants et prestataires de services qui traitent des données de titulaires de carte.
- Exigences PCI-DSS
- 12
- Sous-exigences
- 300+
- Fréquence des tests d’intrusion
- Continue
- En vigueur depuis
- v4.0
Les 12 exigences PCI-DSS v4.0 couvertes
Des contrôles réseau et de la cryptographie aux tests d’intrusion et à la réponse aux incidents — chaque exigence cartographiée, étayée par des preuves et prête pour le QSA.
Contrôles de sécurité réseau
L’iASM de CATAAM analyse l’exposition réseau, identifie les ports ouverts et valide la configuration des règles de pare-feu. Les résultats des CIS Benchmarks alimentent directement les preuves de l’exigence 2.
- Exig. 1 – Installer et maintenir des contrôles de sécurité réseau
- Exig. 2 – Appliquer des configurations sécurisées à tous les composants du système
Protection des données de compte et des transmissions
Les politiques de chiffrement au repos (S3, RDS, KMS) et les évaluations des suites de chiffrement TLS sont collectées automatiquement depuis AWS. Les faiblesses de chiffrement remontent comme constats de l’exigence 4.
- Exig. 3 – Protéger les données de compte stockées
- Exig. 4 – Protéger les données de titulaires de carte par une cryptographie robuste lors de la transmission
Gestion des vulnérabilités
Le BAS teste en continu les défenses anti-malware et les niveaux de correctifs. Les alertes d’analyse de code GitHub alimentent les preuves de développement sécurisé de l’exigence 6. Les constats CVE sont rattachés automatiquement.
- Exig. 5 – Protéger tous les systèmes contre les logiciels malveillants
- Exig. 6 – Développer et maintenir des systèmes et logiciels sécurisés
Contrôle d’accès
Les politiques AWS IAM de moindre privilège, l’application du MFA et les revues d’accès privilégiés sont collectées en continu et rattachées aux contrôles des exigences 7 et 8.
- Exig. 7 – Restreindre l’accès aux composants du système selon le besoin d’en connaître
- Exig. 8 – Identifier les utilisateurs et authentifier l’accès aux composants du système
Contrôles d’accès physique
Documentation des contrôles d’accès physique, registres des visiteurs et justificatifs de destruction des supports, stockés et rattachés comme preuves PCI-DSS dans CATAAM.
- Exig. 9 – Restreindre l’accès physique aux données de titulaires de carte
Journalisation, surveillance et tests
CloudTrail et les journaux de flux VPC sont collectés en continu pour l’exigence 10. Le BAS fournit les preuves de tests d’intrusion continus requises par l’exigence 11.4.
- Exig. 10 – Journaliser et surveiller tous les accès aux composants du système et aux données de titulaires de carte
- Exig. 11 – Tester régulièrement la sécurité des systèmes et des réseaux
Politiques de sécurité de l’information
Documentation des politiques, analyses des risques et procédures de réponse aux incidents, stockées et maintenues dans CATAAM avec historique des versions et horodatage des revues.
- Exig. 12.1 – Politique complète de sécurité de l’information
- Exig. 12.3 – Analyse des risques
- Exig. 12.6 – Programme de sensibilisation à la sécurité
- Exig. 12.10 – Plan de réponse aux incidents
Du périmètre CDE au dossier QSA en quelques semaines
Remplacez les tests d’intrusion annuels et la collecte manuelle de preuves par une couverture de conformité automatisée et continue toute l’année.
Définissez votre environnement de données de titulaires de carte
Identifiez tous les systèmes dans le périmètre PCI-DSS — serveurs, instances cloud et services qui stockent, traitent ou transmettent des données de titulaires de carte. CATAAM découvre automatiquement les ressources AWS concernées.
Collectez automatiquement les preuves réseau et d’accès
L’iASM analyse votre périmètre réseau à la recherche de services exposés. AWS IAM, CloudTrail et les journaux de flux VPC alimentent en continu les exigences 7, 8 et 10.
Réalisez les tests d’intrusion via le BAS
L’exigence 11.4 de PCI-DSS impose des tests d’intrusion au moins une fois par an et après tout changement significatif. Le BAS de CATAAM fournit des preuves de tests d’intrusion automatisés et continus toute l’année.
Générez des dossiers de preuves prêts pour le QSA
Exportez des dossiers de preuves PCI-DSS complets pour votre Qualified Security Assessor — correspondances de contrôles, pièces justificatives et analyse des écarts — en un seul export.
Des tests d’intrusion continus pour l’exigence 11
L’exigence 11 de PCI-DSS impose des tests d’intrusion annuels et des analyses de vulnérabilités trimestrielles. CATAAM remplace les missions ponctuelles par un BAS continu — exécutant de vraies simulations d’attaque contre votre environnement de données de titulaires de carte 365 jours par an et produisant des preuves horodatées conformes aux exigences du QSA.
- Exig. 11.3.1 – Tests d’intrusion internes : escalade IAM AWS, mouvement latéral EC2
- Exig. 11.3.2 – Tests d’intrusion externes : exposition réseau, faiblesses de chiffrement
- Exig. 11.4.2 – Tests de segmentation : validation de l’isolation du CDE
- Exig. 11.5.1 – Détection d’intrusion : simulation de contournement de CloudTrail
PCI-DSS — questions fréquentes
- Qu’est-ce que PCI-DSS et qui doit s’y conformer ?
- PCI-DSS (Payment Card Industry Data Security Standard) est un ensemble de normes de sécurité destiné à protéger les données des titulaires de carte. Toute organisation qui stocke, traite ou transmet des données de carte de paiement doit s’y conformer — commerçants, processeurs de paiement, prestataires de services et toute entité qui manipule des numéros de compte primaires (PAN). La non-conformité peut entraîner des amendes de 5 000 à 100 000 $ par mois, une hausse des frais de transaction et la suspension du droit de traiter les cartes.
- Quelle est la différence entre un SAQ PCI-DSS et une évaluation par un QSA ?
- Les commerçants de petite taille, à faible volume de transactions, peuvent s’auto-évaluer à l’aide d’un questionnaire d’auto-évaluation (SAQ) — une liste simplifiée des exigences PCI-DSS applicables. Les commerçants plus importants (niveau 1 : plus de 6 millions de transactions par an) doivent se soumettre à une évaluation annuelle sur site par un Qualified Security Assessor (QSA). CATAAM prend en charge les deux parcours — flux de complétion du SAQ et dossiers de preuves complets prêts pour le QSA pour les évaluations de niveau 1.
- Comment le BAS de CATAAM répond-il à l’exigence 11 de PCI-DSS ?
- L’exigence 11 de PCI-DSS impose des tests réguliers des contrôles de sécurité, dont des tests d’intrusion annuels (exig. 11.4) et des analyses de vulnérabilités réseau tous les 90 jours (exig. 11.3.2). Le BAS de CATAAM s’exécute en continu — il teste l’escalade de privilèges AWS IAM, l’exposition des services réseau, les faiblesses de chiffrement et les chemins de mouvement latéral. Les résultats sont conservés comme preuves horodatées avec scores CVSS et étapes de remédiation, satisfaisant à la fois les exigences de test et de documentation de l’exigence 11.
- En quoi PCI-DSS v4.0 diffère-t-il de la v3.2.1 ?
- PCI-DSS v4.0 (obligatoire depuis mars 2024) introduit plusieurs changements majeurs : une nouvelle option d’approche personnalisée autorisant des contrôles alternatifs qui atteignent l’objectif de sécurité ; des exigences élargies d’authentification multifacteur (exig. 8.4.2, 8.4.3) ; de nouvelles exigences d’authentification résistante au hameçonnage ; des analyses de risques ciblées pour certaines exigences ; et 64 exigences à échéance future applicables depuis mars 2025. CATAAM prend en charge la v4.0 avec des correspondances de contrôles mises à jour et les nouveaux flux d’analyse de risques ciblée.
- CATAAM peut-il aider à réduire le périmètre de notre environnement de données de titulaires de carte ?
- La réduction du périmètre est le moyen le plus efficace de diminuer le coût et la complexité de la conformité PCI-DSS. L’iASM de CATAAM cartographie en continu votre environnement cloud pour identifier les systèmes inutilement dans le périmètre — souvent des ressources mal configurées ayant accès à des environnements de données de titulaires de carte qui devraient être isolés. La validation de la segmentation réseau et l’analyse des chemins d’attaque aident à démontrer à votre QSA que les systèmes hors périmètre ne peuvent pas atteindre les systèmes CHD.
Guides et outils de conformité associés
Prêt à automatiser votre conformité PCI-DSS ?
Essai gratuit de 14 jours. Sans carte bancaire. Preuves prêtes pour le QSA en quelques semaines.