La segmentation réseau est l’un des moyens les plus efficaces de réduire le coût et l’effort liés à la conformité PCI DSS. Si les systèmes traitant les données de cartes sont correctement isolés, une grande partie du reste de votre réseau peut sortir du périmètre de l’évaluation. Mais la norme PCI DSS n’accorde pas sa confiance aveugle à la segmentation. Si vous vous y fiez, vous devez prouver qu’elle fonctionne, régulièrement. Cet article explique pourquoi et comment.
Pourquoi la segmentation est importante
La norme PCI DSS s’applique à l’environnement des données titulaires de carte (CDE) ainsi qu’aux systèmes qui y sont connectés ou qui pourraient affecter sa sécurité. Sans segmentation, cela peut concerner l’ensemble de votre réseau : chaque ordinateur portable, chaque serveur et chaque imprimante. Avec une segmentation efficace, le périmètre se réduit aux systèmes qui doivent réellement en faire partie.
La segmentation n’est pas obligatoire, mais les directives du Conseil sur la délimitation du périmètre et la segmentation expliquent comment elle peut réduire le périmètre, les coûts et les risques. Cette réduction n’est valable que si la segmentation bloque effectivement le trafic qu’elle est censée bloquer.
Ce qu’exige la norme PCI DSS
Lorsque la segmentation est utilisée pour réduire le périmètre, des tests d’intrusion doivent confirmer son efficacité :
- Exigence 11.4.5 (toutes les entités) : les contrôles de segmentation doivent être testés au moins une fois tous les 12 mois et après toute modification des contrôles ou méthodes de segmentation.
- Exigence 11.4.6 (prestataires de services uniquement) : la fréquence passe à au moins une fois tous les six mois et après toute modification des contrôles ou méthodes de segmentation.
Les tests doivent couvrir tous les contrôles et méthodes de segmentation utilisés, confirmer qu’ils sont opérationnels et efficaces, et confirmer que les systèmes hors périmètre sont isolés du CDE. Ils doivent être réalisés par une ressource interne qualifiée ou un prestataire externe qualifié disposant d’une indépendance organisationnelle. Comme le souligne un guide pratique, les fréquences applicables aux commerçants et aux prestataires de services ne sont pas interchangeables : une organisation qui exerce les deux rôles doit appliquer le cycle semestriel à son environnement de prestataire de services.
Les tests de segmentation sont également liés à la confirmation du périmètre. La norme PCI DSS v4 exige des organisations qu’elles confirment leur périmètre PCI DSS au moins une fois tous les 12 mois conformément à l’exigence 12.5.2. Les résultats des tests constituent un élément de preuve essentiel pour cet exercice.
À quoi ressemble un test de segmentation
Un test de segmentation est un test d’intrusion ciblé. Le testeur procède généralement comme suit :
- Examine les schémas réseau, les règles de pare-feu et les flux de données afin de comprendre les limites prévues.
- Place des équipements de test dans chaque segment réseau hors périmètre, ou obtient un accès à celui-ci.
- Tente d’atteindre les systèmes du CDE depuis chaque segment, en utilisant divers protocoles et ports.
- Teste dans le sens inverse lorsque cela est pertinent, du CDE vers les segments hors périmètre.
- Documente chaque chemin testé et son résultat, et signale toute connectivité inattendue.
Un simple scan de ports depuis un sous-réseau ne suffit pas. Le test doit couvrir toutes les méthodes de segmentation utilisées, qu’il s’agisse de pare-feu, de listes de contrôle d’accès VLAN, de groupes de sécurité cloud ou de micro-segmentation.
Les architectures modernes compliquent la tâche
La segmentation reposait autrefois principalement sur des pare-feu entre réseaux physiques. Aujourd’hui, de nombreux CDE s’étendent sur des systèmes sur site, le cloud public et des réseaux définis par logiciel. En 2024, le Conseil a publié des directives sur la délimitation du périmètre et la segmentation pour les architectures réseau modernes, couvrant le zero trust, la micro-segmentation et les environnements multi-cloud, ainsi que le défi de maintenir des inventaires d’actifs précis lorsque les ressources cloud sont éphémères.
La leçon à retenir est que les contrôles de segmentation évoluent plus fréquemment qu’auparavant. Un déploiement d’infrastructure as code ou une modification de groupe de sécurité peut constituer un changement des contrôles de segmentation, déclenchant ainsi un nouveau test.
Constats fréquents
- Une règle de pare-feu « temporaire » ajoutée pour un projet et jamais supprimée.
- Interfaces d’administration accessibles depuis le réseau bureautique général.
- Services partagés, tels que des serveurs d’annuaire, de sauvegarde ou de supervision, qui relient le CDE et d’autres réseaux sans être inclus dans le périmètre.
- Groupes de sécurité cloud autorisant de larges plages d’adresses internes.
- Aucun test effectué après une refonte du réseau.
En résumé
La segmentation peut permettre d’économiser un temps et un budget considérables, mais seulement si vous pouvez prouver son efficacité. Considérez le test de segmentation comme la preuve justifiant votre périmètre, et planifiez-le en fonction de votre calendrier de changements, et pas uniquement de la date d’évaluation.
Notre équipe de tests de sécurité chez Ubitrak réalise des tests de segmentation pour les commerçants et les prestataires de services, et notre aperçu de la norme PCI DSS explique le fonctionnement du périmètre. Si les tests révèlent des failles, KW Consulting peut vous aider à repenser et à corriger votre réseau. Contactez-nous pour planifier votre prochain test.
Sources
- Blog du PCI SSC : il est temps d’adopter les exigences à échéance future de la norme PCI DSS v4.x
- Guide PCI DSS : tests de segmentation réseau (11.4.5 et 11.4.6)
- Blog du PCI SSC : directives sur la délimitation du périmètre et la segmentation pour les architectures réseau modernes
- Supplément d’information du PCI SSC : directives pour la délimitation du périmètre PCI DSS et la segmentation réseau
Est-ce que cela s’applique à vous? Une consultation gratuite de 30 minutes relie l’exigence à vos systèmes et vous indique quoi faire ensuite.
Réserver une consultation gratuite