Norme de sécurité de l'industrie des cartes de paiement

Le guide concernant la norme PCI DSS dans les réseaux sans fil classe le CDE dans 3 scénarios qui dépendent du déploiement du réseau local sans fil.

• L’organisation n’a pas encore déployé de réseau local sans fil, dans ce cas, 3 conditions de la norme PCI DSS sont requises (sections 11.1, 11.4 et 12.9).
• L’organisation a déployé le réseau local sans fil en dehors du domaine des données du titulaire. Ces réseaux sont segmentés par un pare-feu. S’il n’y a pas de réseaux sans fil connu dans le CDE, alors 3 conditions de la norme PCI DSS sont requises (sections 11.1, 11.4 et 12.9).
• L’organisation a déployé un réseau local dans le CDE. Dans ce cas 3 conditions sont requises (Conditions 11.1, 11.4 et 12.9) ainsi que 6 conditions de sécurité du déploiement (conditions 2.1.1, 4.1.1, 9.1.3, 10.5.4, 1.6 et 12.3) de l’application de la norme PCI DSS.

Les conditions pour un déploiement sécurisé ne s’appliquent qu’aux organisations qui ont un réseau local sans fil connu dans le CDE. Le but de ces conditions est de déployer un réseau avec ses propres protections.

Les conditions clefs de la norme version 1.2 qui sont en rapport avec la sécurité des réseaux sans fil sont classées ci-dessous :

• Section 2.1.1 Changement des paramètres par défaut : changer les mots de passe par défaut et le SSID sur les appareils sans fil. Activer la sécurité WPA ou WPA2.
• Section 4.1.1 Sécurité : S’assurer que les réseaux sans-fil sur lesquels sont transmises les données du titulaire ou les données qui sont connectés au CDE, mettent en œuvre les meilleures pratiques du secteur (par exemple, IEEE 802.11i) pour appliquer un chiffrement robuste pour l’authentification et la transmission. L’utilisation du protocole WEP n’est plus autorisée comme contrôle de sécurité depuis le 30 juin 2010.
• Section 9.1.3 Sécurité physique : Restreindre l’accès physique aux appareils sans fil.
• Section 10.5.4 Journaux : Les registres des technologies orientées vers l'extérieur sont écrits sur un serveur de journal interne centralisé et sécurisé ou sur un dispositif de support.
• Section 10.6 Examen des journaux : Examiner les journaux et évènements de sécurité des composants pour repérer des anomalies ou des activités suspectes.
• Section 12.3 Politiques d’usage : Développer les politiques d’utilisation des technologies critiques et définir l’utilisation adéquate de ces technologies

Ces exigences minimales de numérisation s’appliquent à toutes les organisations indépendamment du type de réseau local sans fil dans le CDE. Le but de ces exigences est d’éliminer tous les éléments indésirables ou non autorisés dans le CDE.

• Section 11.1 Vérification trimestrielle : Tester la présence des points d’accès sans fil, détecter et identifier les points d’accès autorisés et non autorisés trimestriellement[14]. 
• Section 11.4 Alertes de sécurité : Mettre en place des systèmes de prévention instantanée pour prévenir les utilisateurs d’une présence d’appareils indésirables ou de connexions sans fils non autorisées dans le CDE.
• Section 12.9 Elimination des menaces : Préparer un plan de réponse en cas d’incident pour gérer et répondre aux alertes des systèmes de prévention. Mettre en place un mécanisme de confinement automatique sur les alertes pour bloquer les indésirables et autres connexions sans fil non autorisées.

Dans un centre d’appel, les clients transmettent leurs informations sur leurs cartes de crédit (Cryptogrammes visuel, numéro de carte, date d’expiration). Ces informations sont réceptionnées avec un appareil d’enregistrement, un ordinateur ou encore un bloc-note. Il y a quelques contrôles qui empêchent l’utilisation frauduleuse de ces informations.

De plus, presque tous les centres d’appels déploient une sorte de "logiciel d’enregistrement d’appels" qui capture et stocke toutes les données sensibles du consommateur. Ces enregistrements sont accessibles par une grande partie du personnel des centres d’appels, ne sont pas chiffrés et ne sont généralement pas sous les normes PCI DSS[17]. Les agents téléphoniques à domicile posent donc un défi supplémentaire. Cela demande aux entreprises de sécuriser le canal de l’agent à domicile à travers le hub du centre d’appels[18].

Pour répondre à certaines de ces préoccupations, le Conseil des normes de sécurité PCI a émis une version mise à jour de FAQ à propos des enregistrements des centres d’appels, le 18 mars 2011[19]. Désormais, les entreprises ne peuvent plus stocker des enregistrements numériques qui incluent des données sensibles de cartes si ces mêmes enregistrements peuvent être demandés.

Des solutions techniques peuvent également prévenir l'utilisation frauduleuse des instruments de paiement par les agents. Au moment de la transaction, où l'agent a besoin de recueillir les informations relatives à la carte de crédit, l'appel peut être transféré à un serveur vocal interactif[20]. Cela protège les informations sensibles mais peut gêner l'interaction avec le client.

D'autres solutions peuvent être envisagées telles que l'automatisation assistée par un agent qui permet de récupérer les informations relatives à la carte de crédit tout en évitant la gêne précédemment évoquée. L'agent garde son rôle de correspondant téléphonique et les clients entrent directement, avec leur téléphone, les informations de leur carte de crédit dans le logiciel de gestion de la relation client. Les codes DTMF sont ainsi supprimés intégralement ou bien juste converties en monotones, l'agent ne peut donc pas les reconnaître et ne pas les enregistrer.

Certaines plates-formes de paiement sécurisé permettent de masquer ces codes DTMF, mais celles-ci sont toujours enregistrés par l'enregistreur d'appels. Traditionnellement, l'unique façon de supprimer les codes DTMF est d'intercepter l'appel au niveau du tronc en utilisant des serveurs sophistiqués. Cette pratique permet de supprimer ou de masquer les codes DTMF auprès de l'enregistreur téléphonique ainsi qu'auprès de l'agent.

L'entreprise anglo-américaine Semafone a mis au point un brevet concernant une méthode de paiement liée à l'utilisation des codes DTMF qui capture, en direct d'un appel téléphonique, les données de la carte de paiement d'un client depuis le centre de contact pour les transmettre au système de paiement. Les agents du centre de contact maintiennent la communication vocale pendant le processus de paiement, y compris pendant que le client entre les détails de sa carte par le biais de son téléphone[21].

En juin 2014, nous avons pu voir l'introduction de nouvelles solutions de paiement téléphonique sur ce marché avec le déploiement de techniques telles que l'acheminement des appels vers les plates-formes avant même leur traitement en centre d'appel. Ceci est fait de sorte que le serveur puisse intercepter l'appel et contrôler les codes DTMF afin de sécuriser leur masquage. Au sein du réseau, aucun matériel ou logiciel n'a besoin d'être mis en place par l'organisation elle-même, bien que cela reste un problème de logistique et d'intégration allant à l'encontre des fournisseurs.

Les avantages de l'augmentation de la sécurité autour de la collecte de données personnelles sont d'éviter la fraude de carte de paiement pour aider les commerçants, mais vont également au-delà[22].

Selon le directeur de la gestion des risques de Visa, Ellen Richey, « … aucune des entités compromises n'étaient en conformité avec la norme de sécurité PCI DSS au moment de la faille ». En 2008, une brèche dans le système de paiement d'Heartland, une organisation certifiée PCI DSS, a compromis 100 millions de numéros de cartes bancaires[25]. Au même moment, Hannaford Brothers [26] et TJX, également certifiés PCI DSS, ont eu des failles similaires, sous l'effet coordonné d'Albert "Segvec" Gonzalez et de deux autres hackers anonymes russes[27].

Les évaluations ont pour but de vérifier la certification avec la norme de sécurité PCI DSS chez les commerçants et fournisseurs de services, à un instant donné. Ils utilisent fréquemment une méthodologie d'échantillonnage pour démontrer la conformité à travers des processus et systèmes représentatifs. C'est la responsabilité des commerçants et des fournisseurs de services de réaliser, démontrer et de maintenir leur conformité à tout moment par le biais de la validation annuelle ou du cycle d'évaluation de la globalité de leur système[28].

Bien que toutes les entités exposées à une faille et non conformes à la norme PCI DSS au moment où celles-ci doivent s’acquitter d’une amende, Hannaford Bothers a reçu sa certification PCI DSS un jour après qu'elle a été mise au courant de la faille dans son système interne[29].

Autre exemple avec la chaîne d'hôtel Starwood qui a annoncé le 20 novembre 2015, que 54 de ses hôtels avaient été touchés par des logiciels malveillants conçus pour recueillir les données de carte de crédit tels que des noms, des numéros, des codes de sécurité et les dates d'expiration des cartes des clients. 

Être conforme à la norme PCI DSS doit être un effort continu dans le temps, surtout du point de vue du commerçant. Le directeur général du Conseil des normes de sécurité PCI, Bob Russo, a indiqué que les responsabilités pourraient changer en fonction de l'état de l’organisation au moment où une faille se produit[30].

Pour la conformité PCI DSS, il est préférable d’améliorer continuellement les processus afin d'assurer le respect permanent du standard, plutôt que de traiter la conformité à un moment t du projet[31].