PCI DSS Foundation : comprendre la norme pour la protection des données bancaires

Module 1 : comprendre la norme et l'écosystème PCI DSS

• Le contexte et les avantages de la conformité PCI DSS.
• Les rôles et acteurs de la monétique : commerçants, acquéreurs, émetteurs.
• Le circuit de paiement et le processus monétique.
• La fraude et les risques monétiques.
• Le PCI Security Standards Council (PCI SSC) et les autres normes éditées par le conseil (PCI PTS, PCI P2PE).
• L'historique et les objectifs de la norme PCI DSS.
• Les piliers de la sécurité informatique : confidentialité, intégrité et disponibilité.
• La relation entre PCI DSS et les autres standards (ISO 27001, ISO 27002).
• Les données de carte bancaire : la distinction entre donnée confidentielle et donnée sensible.
• Les différents types de marchands, les questionnaires d'auto-évaluation (SAQ) et les attestations (AOC et ROC).
• L'applicabilité et le périmètre du standard : organisationnel, technique.

Travaux pratiques

• Identifier le périmètre et le type de SAQ applicable à un cas donné.

Module 2 : appréhender les 6 domaines et les 12 exigences du standard

• Domaine 1 : créer et maintenir un réseau et des systèmes sécurisés
  • l'installation et la maintenance des mesures de sécurité réseau (exigence 1) ;
  • l'application de configurations sécurisées à tous les composants du système (exigence 2).
• Domaine 2 : protéger les données de carte
  • la protection des données de carte pendant leur conservation (exigence 3) ;
  • la protection des données grâce à une cryptographie robuste lors de la transmission sur des réseaux publics ouverts (exigence 4).
• Domaine 3 : maintenir un programme de gestion des vulnérabilités
  • la protection de tous les systèmes et réseaux contre les logiciels malveillants (exigence 5) ;
  • le développement et le maintien de systèmes et de logiciels sécurisés (exigence 6).
• Domaine 4 : mettre en œuvre des mesures robustes de contrôle d'accès
  • la limitation de l'accès aux composants système et aux données en fonction des besoins de l'entreprise (exigence 7) ;
  • l'identification des utilisateurs et l'authentification de l'accès (exigence 8) ;
  • la limitation de l'accès physique aux données des titulaires de cartes (exigence 9).
• Domaine 5 : surveiller et tester régulièrement les réseaux
  • l'enregistrement et la surveillance de tous les accès aux composants système (exigence 10) ;
  • les tests réguliers de la sécurité des systèmes et des réseaux (exigence 11).
• Domaine 6 : maintenir une politique de sécurité des informations
  • le renforcement de la sécurité des informations à l'aide de politiques et de programmes organisationnels (exigence 12).
• Une vue globale des annexes du standard.

Étude de cas

• Analyser des scénarios réels de risques et de menaces pesant sur les systèmes de paiement.

Module 3 : maîtriser le processus de conformité et la documentation

• Le rôle des évaluateurs QSA (Qualified Security Assessor) et des auditeurs ISA (Internal Security Assessor) dans le processus de vérification annuelle.
• Le projet PCI DSS : nature, enjeux, gouvernance, rôles et responsabilités, facteurs de succès, plan, périmètre, technologies et documentation requise.
• Les actions à éviter dans un projet de mise en conformité.
• Le chemin de la certification et les conseils pratiques associés.
• Les nouveautés de la norme PCI DSS v4 et le comparatif avec la version 3.2.1.
• La présentation de documents types : analyse des écarts, politique de sécurité de l'information, plan de réponse aux incidents, diagramme des flux.

Étude de cas

• Analyser des documents types et élaborer un plan d'action de mise en conformité.

Module 4 : se préparer à l'examen PCI DSS Foundation

• Révision approfondie des concepts clés abordés dans l'ensemble des modules.
• Les documents officiels du PCI SSC et des conseils méthodologiques de lecture.
• Les stratégies pour maximiser vos chances de réussite à l'examen.

Travaux pratiques

• Réaliser un quiz d'entraînement pour valider vos acquis avant le passage de l'examen officiel.