Coût d'un test d'intrusion PCI DSS

Ce que dit réellement l'exigence

PCI DSS est inhabituellement précis sur les tests d'intrusion, ce qui en fait l'un des référentiels les plus faciles à budgéter. L'exigence 11.4 en version 4.0 se décompose en obligations distinctes :

• 11.4.1 - une méthodologie de test d'intrusion définie et documentée. C'est de la paperasse, mais une paperasse qu'un évaluateur réclamera, et elle doit décrire l'approche, la couverture du périmètre, les tests depuis l'intérieur et l'extérieur et le traitement des constats.
• 11.4.2 - tests d'intrusion internes, au moins une fois tous les douze mois et après tout changement significatif d'infrastructure ou d'application.
• 11.4.3 - tests d'intrusion externes, à la même cadence et avec le même déclencheur de changement.
• 11.4.4 - vulnérabilités exploitables et faiblesses trouvées pendant les tests corrigées, et tests répétés pour vérifier la correction. Ici, le contre-test n'est pas optionnel ; il est inscrit dans l'exigence.
• 11.4.5 - lorsque le cloisonnement sert à isoler l'environnement des données de porteurs de cartes des autres réseaux, contrôles de cloisonnement testés au moins une fois tous les douze mois.
• 11.4.6 - pour les prestataires de services, ce test de cloisonnement passe à au moins une fois tous les six mois.

Les versions de PCI DSS et leurs exigences datées évoluent dans le temps. Confirmez le texte applicable en vigueur avec votre QSA plutôt que de vous fier à un résumé, y compris celui-ci.

Les trois choses que vous achetez réellement

La plupart des budgets PCI dérapent parce qu'on chiffre « un test d'intrusion » comme une ligne unique alors que l'exigence décrit trois exercices différents.

Tests externes

Attaquer le périmètre depuis l'extérieur : systèmes exposés sur internet, accès distants, tout ce qui est exposé au réseau public et pourrait mener vers l'environnement des données de porteurs de cartes. Cadré sur la taille de l'empreinte externe.

Tests internes

Supposer un point d'appui dans le réseau et voir jusqu'où il mène. Pour la plupart des organisations, c'est là que se trouvent les constats sérieux, car les réseaux internes sont généralement plus plats que leurs schémas ne le laissent croire. Cadré sur le nombre d'hôtes, la taille du domaine et les relations d'approbation. En pratique, c'est le test réseau et Active Directory.

Validation du cloisonnement

Celle qu'on oublie. Ici on ne teste pas les systèmes, on tente spécifiquement d'atteindre l'environnement des données de porteurs de cartes depuis des réseaux censés être hors périmètre, afin de prouver que l'isolation tient réellement. Elle est exigée séparément, toute votre réduction de périmètre en dépend, et en tant que prestataire de services vous la devez deux fois par an au lieu d'une. Un échec ici coûte cher d'une manière dont les autres ne coûtent pas, car il signifie que votre périmètre était faux et que tout ce qui en était exclu peut désormais s'y trouver.

Comment la réduction de périmètre change le prix

Le moyen le moins cher de réduire le coût des tests PCI est de réduire l'environnement des données de porteurs de cartes lui-même, et c'est une décision d'architecture et non d'achat. Tout système qui stocke, traite ou transmet des données de porteurs, et tout système qui leur est connecté, est dans le périmètre. Le cloisonnement est ce qui maintient le reste de votre parc à l'extérieur.

Deux conséquences pratiques. D'abord, si le cloisonnement fonctionne, votre périmètre testé est petit et le test est peu coûteux en conséquence, mais vous devez payer la validation du cloisonnement pour le prouver. Ensuite, s'il ne fonctionne pas, vous n'avez pas un problème de test mais un problème de périmètre, et aucun budget de test ne le corrige. Le découvrir pendant une évaluation est nettement pire que le découvrir pendant un test.

Commerçants et prestataires de services ne font pas le même achat

Les prestataires de services portent l'obligation la plus lourde. La cadence semestrielle de cloisonnement de 11.4.6 signifie deux missions par an là où un commerçant en a une, et les prestataires multi-locataires ont des obligations supplémentaires concernant le soutien aux tests de leurs propres clients. Si vous traitez pour le compte d'autrui, budgétez cette cadence dès le départ plutôt que de la découvrir en cours d'année.

Les commerçants remplissant un questionnaire d'auto-évaluation sont dans une situation différente encore. Les types de SAQ varient nettement par les exigences qu'ils appellent, et tous n'incluent pas 11.4. Le SAQ qui vous est applicable est déterminé par votre acquéreur ou votre QSA, et c'est de cette détermination que vient votre réponse. Il vaut la peine de l'obtenir par écrit avant tout achat.

Ce que cela coûte

Puisque PCI sépare les exercices, il vaut la peine de les tarifer de la même façon. Un périmètre applicatif démarre à 500 $ quand l'environnement concerné est une unique application de paiement. Les tests réseau internes et externes, là où se trouvent réellement la plupart des environnements de données de porteurs, démarrent à 1 500 $ et se cadrent sur le nombre d'hôtes, la taille du domaine et les relations d'approbation. La validation du cloisonnement se cadre avec le test interne, puisqu'elle utilise le même accès et la même fenêtre, ce qui rend l'achat groupé nettement moins cher que séparé.

Le contre-test après remédiation est inscrit dans 11.4.4 et il est inclus dans mes missions plutôt que facturé à part, tout comme l'accompagnement à la remédiation et la lettre d'attestation. La page de service test d'intrusion PCI DSS traite de la méthodologie, coût d'un test d'intrusion explique le modèle général, et le rapport type montre ce que recevra un QSA.

Si SOC 2 est également en jeu, les deux partagent souvent une seule mission lorsqu'ils sont cadrés ensemble dès le départ - voyez coût d'un test d'intrusion SOC 2. Pour les régimes régionaux qui se superposent à PCI, notamment dans le Golfe, test piloté par la conformité traite des recoupements.