SchildmarkPCI DSS v4.0.1
PCI DSS 4.0.1 : journaux, correctifs et détection d’intrusion vérifiables par votre QSA
La revue automatisée des journaux est désormais obligatoire, les correctifs critiques ont un délai d’un mois et les journaux doivent remonter sur un an. Schildmark lit les journaux des systèmes de votre environnement de données de titulaires, les corrige avec preuve et exporte les enregistrements de la période évaluée.
Ce que PCI DSS exige sur le plan technique
PCI DSS 4.0.1 est la version évaluée depuis le retrait de la 4.0 fin 2024, et les exigences qui étaient des bonnes pratiques jusqu’au 31 mars 2025 comptent désormais. Voici celles qui concernent une plateforme de détection et de correctifs.
- 5 Anti-malware
- Protéger tous les systèmes et réseaux contre les logiciels malveillants, avec des mécanismes à jour qui journalisent.
- 6.3.1 et 6.3.3 Vulnérabilités
- Identifier les vulnérabilités à partir de sources du secteur et les classer par risque ; installer les correctifs des critiques dans le mois suivant leur publication.
- 10.2 Journaux d’audit
- Des journaux d’audit qui enregistrent des événements comme les actions d’administration et les tentatives d’accès invalides, et permettent détection et analyse forensique.
- 10.4.1.1 Revue automatisée des journaux
- La revue des journaux d’audit se fait par des mécanismes automatisés. Obligatoire depuis le 31 mars 2025.
- 10.5.1 Conservation
- Au moins 12 mois d’historique, dont les trois derniers immédiatement disponibles.
- 10.7 Défaillances des contrôles
- Les défaillances des contrôles de sécurité critiques, comme la détection d’intrusion, la détection de changements, l’anti-malware et la journalisation, sont détectées, signalées et traitées rapidement.
- 11.5.1 et 11.5.2 Détection
- Détection ou prévention d’intrusion sur le trafic réseau, et un mécanisme de détection des changements, comme la surveillance de l’intégrité des fichiers, qui alerte sur les modifications non autorisées des fichiers critiques.
- 12.10 Réponse aux incidents
- Réagir immédiatement aux incidents suspectés et confirmés, selon votre plan de réponse.
Exigence, mise en œuvre, preuve
Les règles de détection rattachent leurs alertes aux exigences PCI DSS, et la page conformité les compte par exigence.
| Exigence | Ce que fait Schildmark | Preuve produite |
|---|---|---|
| 5 | Pas un antivirus. Les alertes de Microsoft Defender for Endpoint et de Sophos Central arrivent dans la même liste que le reste. | Alertes avec machine et heure. |
| 6.3.1, 6.3.3 | Paquets vulnérables recoupés toutes les 30 minutes avec les données des éditeurs et de la NVD, les exploités en premier. Correctifs répétés, approuvés, installés dans la version exacte pendant les fenêtres de maintenance, et terminés seulement une fois la correction confirmée. | vulnerabilities_fixed.csv avec preuve ; patch_activity.csv avec les dates d’approbation et d’exécution, à comparer aux dates de publication. |
| 10.2, 10.4.1.1 | Les journaux des machines, pare-feu, Microsoft 365, AWS et Google Cloud sont lus par les règles de détection à leur arrivée : c’est la revue automatisée ; chaque alerte porte la règle et la ligne de journal décodée. | controls.csv par exigence ; audit_trail.csv pour l’activité dans la console. |
| 10.5.1 | Alertes et événements réseau conservés de 7 à 3 650 jours ; sous 365, la page signale que PCI DSS en exige 365. | L’écart éventuel dans README.txt. |
| 10.7 | La page des agents montre l’état et le dernier contact de chaque machine, et la liste des IP bloquées signale un blocage qui n’est pas appliqué partout. | Vues de la console ; le processus de réponse vous appartient. |
| 11.5.1, 11.5.2 | Une sonde réseau lève des alertes de détection d’intrusion ; l’agent de surveillance de chaque machine signale les changements d’intégrité des fichiers. | Alertes réseau et d’intégrité des fichiers de la période. |
| 12.10 | Bloquer la source sur votre pare-feu depuis l’alerte, une règle ou l’analyste ; une justification est obligatoire et les adresses protégées ne sont jamais bloquées. | audit_trail.csv avec chaque réponse. |
Deux points à valider avec votre évaluateur (QSA) : Schildmark conserve les alertes et les événements réseau, vérifiez donc si cela satisfait 10.5.1 pour tous les événements de 10.2 ou s’il faut une archive de journaux séparée ; et confirmez que les fichiers surveillés sont ceux que votre évaluation juge critiques. En savoir plus : détection, correctifs vérifiés, page conformité et pack de preuves, et dans la documentation : Conformité, Correctifs.
Ce que Schildmark ne couvre pas
PCI DSS compte douze exigences ; l’essentiel dépasse ce que fait une plateforme de détection.
- Périmètre et réseau
- Le périmètre et la segmentation de l’environnement des données de titulaires, et vos règles de pare-feu. Schildmark n’ajoute et ne retire que ses propres entrées de blocage.
- Données de compte
- La protection des données de compte stockées et leur chiffrement en transit (3 et 4).
- Développement et accès
- Le développement sécurisé, le contrôle d’accès et l’authentification multifacteur de vos systèmes (6.2, 7 et 8), et la sécurité physique (9).
- Tests
- Les scans de vulnérabilités internes et ASV et les tests d’intrusion (11.3, 11.4).
- Politiques et évaluation
- Les politiques, analyses de risques ciblées, la sensibilisation, la gestion des prestataires, le plan de réponse lui-même, et l’évaluation par votre QSA ou le SAQ.
Comment se déroule le déploiement
En général quelques jours, pas des mois. Rien n’est installé sur vos pare-feu.
Choisir l’hébergement
Hébergé par nous, ou sur un ou deux de vos serveurs Linux. Dans les deux cas, une instance qui n’appartient qu’à vous.
Enrôler les machines
Une commande par machine sous Windows, macOS et Linux, ou un MSI pour Intune, Configuration Manager ou les stratégies de groupe.
--patchingajoute les correctifs.Connecter le reste
Journaux des pare-feu, Microsoft 365, AWS et Google Cloud, et les pare-feu sur lesquels bloquer, configurés dans la console.
Choisir PCI DSS, 365 jours
Activez PCI DSS sur la page conformité, réglez la conservation à au moins 365 jours, et exportez le pack de preuves pour la période évaluée.
Questions fréquentes
PCI DSS 10.4.1.1 : que signifie la revue automatisée des journaux ?
Que les journaux d’audit soient examinés par des mécanismes automatisés, et non par des personnes qui les lisent. Bonne pratique jusqu’au 31 mars 2025, c’est désormais une exigence. Des règles de détection qui lisent les journaux de chaque système du périmètre et lèvent des alertes en sont un exemple.
Depuis quand les nouvelles exigences de PCI DSS 4 sont-elles obligatoires ?
Depuis le 31 mars 2025 ; elles étaient auparavant des bonnes pratiques. Elles incluent la revue automatisée des journaux (10.4.1.1) et la détection des défaillances des contrôles de sécurité critiques pour toutes les entités (10.7.2). PCI DSS 4.0 a été retirée fin 2024 ; les évaluations se font selon la version 4.0.1.
Dans quel délai installer les correctifs critiques selon PCI DSS ?
Les correctifs des vulnérabilités critiques, classées selon votre processus de l’exigence 6.3.1, dans le mois suivant leur publication (6.3.3). Les autres correctifs dans un délai fixé par votre propre évaluation.
Combien de temps conserver les journaux pour PCI DSS ?
Au moins 12 mois, dont les trois derniers immédiatement disponibles pour l’analyse (10.5.1). Schildmark vous avertit, en citant 10.5.1, si la durée de conservation réglée est plus courte.
Schildmark remplace-t-il l’antivirus de l’exigence 5 ?
Non. Schildmark n’est pas un antivirus. Vous conservez votre protection contre les logiciels malveillants ; Schildmark ramène les alertes de Microsoft Defender for Endpoint ou de Sophos Central dans la même liste que tout le reste, pour qu’elles soient examinées et traitées.
Évaluation PCI DSS en vue ?
Indiquez-nous les systèmes de votre environnement de données de titulaires et les pare-feu qui le protègent. Nous vous montrons ce que Schildmark couvre avant que votre QSA ne le demande. Tarif par machine protégée.