In the dynamic landscape of cybersecurity, businesses face an ongoing challenge to protect sensitive data, particularly payment card information. Compliance models such as the Payment Card Industry Data Security Standard 4.0 (PCI DSS v4.0) are developed to encourage and enhance data security for organizations that handle sensitive customer data. Within this standard thePCI DSS 4.0 Requirement 6emphasizes the critical need to develop and maintain secure systems and applications, recognizing that vulnerabilities in companies’ IT are regularly exploited by malicious actors. It mandates the installation of applicable vendor-supplied security patches within one month.
Le défi du patchwork
D’une part, les exigences en matière d’application de correctifs semblent anodines et indispensables dans le monde actuel. D’autre part, les entreprises sont confrontées à des contraintes liées aux calendriers de tests et à la complexité de leur infrastructure, notamment la prolifération des outils et les systèmes hérités, qui font de la gestion rapide des vulnérabilités une mission quasi impossible pour beaucoup d’entre elles. Par conséquent, les exigences de conformité PCI, telles que le délai d’un mois pour l’application des correctifs, constituent un défi majeur pour les entreprises.
Même après l’application des correctifs, les entreprises restent exposées à des acteurs malveillants qui identifient de nouvelles vulnérabilités et les exploitent dans le cadre d’attaques « zero-day », en particulier à l’ère de l’IA générative. Les organisations sont confrontées à des risques cybernétiques liés aux vulnérabilités informatiques, mais il incombe aux fournisseurs de les détecter, de les signaler et de les corriger rapidement.
Recherchereports that 42% of vulnerabilities are continuously exploited even after a patch is issued, with an average critical exposure time for threats (the time between disclosure and patch availability) of approximately nine days. Two years before thedisclosure of the MOVEit vulnerability, signs of experiments for exploiting it were observed in the recentMOVEit cyberattack.
Resolving PCI DSS Challenges with Compensatory Controls
Bien que la norme PCI DSS v4.0 impose des exigences strictes, elle prévoit certaines exceptions afin d’offrir aux organisations une certaine souplesse et de garantir son applicabilité. La règle du « patch » d’un mois laisse une certaine marge de manœuvre : « Des contrôles compensatoires peuvent être envisagés lorsqu’une entité ne peut pas satisfaire à une exigence de la norme PCI DSS telle qu’elle est explicitement formulée en raison de contraintes techniques ou commerciales légitimes et documentées, mais qu’elle a suffisamment atténué le risque associé à cette exigence grâce à la mise en œuvre d’autres contrôles, ou de contrôles compensatoires. »
Dans une optique de réduction des risques, cette norme impose de renforcer la cyber-résilience de vos systèmes de cartes de paiement. Pour vous aider à relever ce défi, Commvault© Cloud, optimisé par Metallic AI, propose une approche complète sur une plateforme unique qui va bien au-delà des méthodes traditionnelles. Découvrons ensemble, au fil de ce bref aperçu, comment Commvault Cloud peut vous aider :
- Mitigating risk for known and unknown vulnerabilities
connues et inconnues : notre solution de cyber-deception axée sur les données, la fonctionnalité Threatwise de Commvault Cloud, offre aux entreprises de toutes tailles une protection moderne contre les ransomwares et une détection précoce des tentatives d’exploitation des vulnérabilités. Cette défense proactive protège vos données de production contre les menaces «zero-day» et silencieuses en repérant les intentions et activités malveillantes tout au long du chemin menant à vos données. Pour ce faire, elle couvre de manière stratégique les actifs vulnérables, les instances critiques et les environnements hybrides à l’aide de capteurs intelligents qui émettent des signaux d’alerte précoce très précis, accompagnés de renseignements exploitables sur les menaces à l’échelle de l’organisation. Cette technologie brevetée permet une correction rapide des risques, la redirection de la menace et la mise au jour des attaques silencieuses grâce à ses capacités uniques, notamment :- Détection des menaces adaptée aux facteurs de risque propres à chaque secteur (par exemple, des capteurs imitant les systèmes de point de vente (POS))
- Des capteurs sur mesure, spécialement adaptés à votre entreprise
- Recommandations relatives au placement stratégique des capteurs pour améliorer la cyber-résilience
- Preconfigured reports aligned to the PCI DSS standard
- Des alertes automatisées accompagnées d’informations exploitables destinées aux principales parties prenantes et aux outils de sécurité, tels que votre SIEM
- Keep your backup data clean
de vos données de sauvegarde. Utilisez l’intelligence artificielle (IA) pour lutter contre les attaques basées sur l’IA en détectant les logiciels malveillants de type « zero-day » et polymorphes ciblant votre instance de sauvegarde grâce à Commvault Cloud Threat Scan. Cela vous permet de réagir et de restaurer plus rapidement des données saines. Détectez les anomalies et anticipez les menaces avant qu’elles n’infectent vos sauvegardes afin d’atteindre, voire de dépasser, vos objectifs de Recovery. - Identify data risk and governance factors
de risque et de gouvernance liés aux données : Commvault Cloud Risk Analysis permet d’identifier, de classer et de traiter les données sensibles stockées dans des référentiels sécurisés et provenant de sources de données actives en quelques secondes. Risk Analysis vous aide à anticiper la prolifération des données et leur surexposition afin de protéger vos données sensibles et d’éviter toute exfiltration. - Secure, monitor, and response
la solution Security IQ de Commvault Cloud offre une visibilité complète sur l’ensemble des instances de données, vous permettant ainsi d’être toujours prêt à faire face aux cybermenaces. Renforcez en permanence votre posture de sécurité, identifiez les risques liés aux données en temps réel et corrigez-les pour garder une longueur d’avance sur l’évolution des menaces. Les intégrations avec les solutions SIEM et SOAR permettent d’automatiser davantage les interventions afin de réduire vos délais de réaction.
Commvault Cloud et PCI DSS v4.0
Commvault Cloud enables you to adopt a cyber resilience approach to help meet central requirements within the PCI DSS v4.0 (including Req2, Req3, Req7, Req10). The platform ensures secure configurations across all system components, safeguards stored backup account data, restricts access to cardholder backup data, and implements robust logging and monitoring. Comprehensive security control such as identification and access management controls, security posture overviews, best-in-class encryption standards, and extensive documentation capabilities are available across all system components.
Pour en savoir plus sur notre technologie de pointe et découvrir nos dernières études de cas concrets en matière de détection des menaces, n’hésitez pas àNous contacter.
