En mars 2022, le Conseil des normes de sécurité de l’industrie des cartes de paiement (PCI SSC) a publié la dernière version de sa norme de sécurité des données, PCI DSS v4.0, et a officiellement retiré PCI DSS v3.2.1 fin mars 2024. PCI DSS est une norme mondiale qui définit les exigences minimales de sécurité technique et opérationnelle auxquelles doit se conformer toute organisation qui stocke, traite ou transmet des données de cartes de paiement.
Représentant une avancée majeure en matière de sécurité des données de cartes de paiement grâce à une flexibilité et à une maîtrise des risques accrues par rapport aux versions précédentes, la norme PCI DSS v4.0 et ses mises à jour (la dernière version de la norme PCI DSS étant la v4.0.1) ont fourni aux organisations des bonnes pratiques à suivre. Toutefois, dans un peu plus de trois mois (après le 31 mars 2025), ces « bonnes pratiques » de PCI DSS v4.x deviendront des exigences qui s’appliqueront à toute évaluation PCI DSS.
La norme PCI DSS v4.x souligne l’importance cruciale de sécuriser les données sensibles des titulaires de cartes tout au long du cycle de vie d’une carte de paiement. L’obligation de chiffrement, que les données des titulaires de cartes soient en transit ou au repos, met en évidence l’importance de protéger les transactions de paiement et les données, tout en assurant une défense préventive contre les menaces émergentes.
PCI DSS et les WAF
Dans la norme PCI DSS v3.2.1, les organisations avaient la possibilité de protéger les applications web accessibles au public manuellement ou à l’aide d’outils automatisés d’évaluation de la sécurité et des vulnérabilités des applications, au moins une fois par an ou après toute modification importante apportée aux applications. Elles pouvaient également choisir d’installer une solution automatisée en amont de toute application web accessible au public afin de détecter et de prévenir en continu les attaques web, configurée pour bloquer les attaques ou générer des alertes. Toutefois, la norme PCI DSS v4.x exigera des organisations qu’elles déploient une solution en amont des applications web accessibles au public afin de détecter et de prévenir en continu les attaques web, ainsi que de générer une alerte en cas d’attaque (sous-section 6.4.2 de la norme PCI DSS v4.0).
C’est précisément le rôle d’un pare-feu d’applications web (WAF). Un WAF est installé en amont des applications accessibles au public afin d’analyser leur trafic, de détecter les attaques web et de s’en protéger. Il empêche les attaques visant la couche applicative, notamment celles susceptibles d’exploiter des vulnérabilités courantes ou inconnues dans les applications et leur chaîne d’approvisionnement logicielle — code source principal, bibliothèques tierces, outils de compilation et autres composants constituant les applications complexes et sophistiquées d’aujourd’hui. Les WAF protègent également contre les attaques qui tentent d’exploiter des failles d’implémentation ou de configuration, ainsi que contre les attaques automatisées visant les paiements, les identifiants et les applications installées.
Comment F5 peut vous aider
F5 sécurise toutes les applications et API, où qu’elles se trouvent. Nos solutions WAF peuvent être déployées en amont de n’importe quelle application, quel que soit son environnement d’hébergement. Que vous ayez besoin d’un WAF pour protéger des applications sur site, dans des centres de données ou dans le cloud, F5 propose une solution WAF qui assure une sécurité complète de la couche applicative ainsi qu’une protection contre les exploitations de vulnérabilités et les attaques. F5 WAF est disponible sous forme d’appliance, de logiciel ou dans le cloud, en libre-service ou en tant que service géré, afin de sécuriser notamment les applications conteneurisées et Kubernetes.
Les produits F5 sont certifiés en tant que fournisseur de services PCI DSS de niveau 1. Un fournisseur de services, tel que défini par le PCI SSC, est une organisation qui ne fournit pas de cartes de paiement de marque ni d’autres supports de paiement, mais qui traite, stocke ou transmet les données de titulaires de cartes ou les données d’authentification sensibles pour le compte d’une autre organisation. Les entreprises qui fournissent des services visant à contrôler la sécurité des données de titulaires de cartes ou des données d’authentification sensibles, ou ayant une incidence sur celle-ci, comme le fait F5 par l’intermédiaire de F5 Distributed Cloud Services, sont également classées comme fournisseurs de services au titre de la norme PCI DSS v4.0. Les fonctionnalités des produits F5 aident nos clients à satisfaire aux exigences de la norme PCI DSS en tant que commerçants, définis par le PCI SSC comme toute entité qui accepte, en paiement de biens et/ou de services, des cartes de paiement portant le logo de l’une des marques de paiement participantes.
Les services F5 Distributed Cloud proposent de nombreuses fonctionnalités qui couvrent un grand nombre de sections et sous-sections de la norme PCI DSS v4.0 pour les organisations qui stockent, traitent ou transmettent des données de cartes de paiement.
F5 Distributed Cloud WAF sécurise les applications où qu’elles se trouvent, dans les clouds, les centres de données et les sites en périphérie. Agissant comme un proxy intermédiaire, Distributed Cloud WAF inspecte les requêtes et les réponses des applications, bloque et atténue les risques, notamment ceux liés aux catégories du Top 10 de l’OWASP, aux campagnes de menaces, aux utilisateurs malveillants, aux menaces DDoS de couche 7, aux bots et aux attaques automatisées, pour n’en citer que quelques-uns. Il atténue les attaques et les vulnérabilités des applications web grâce à des contrôles et des politiques de sécurité complets et cohérents, ainsi qu’à une observabilité facile à configurer, déployer, gérer et faire évoluer. F5 Distributed Cloud WAF intègre simplement et de manière transparente la protection à votre processus de développement d’applications, ce qui permet d’accélérer les cycles de livraison et de publication tout en renforçant leur sécurité. Grâce à des techniques de détection basées sur les signatures et l’IA, avec ajustement automatisé des signatures, F5 Distributed Cloud WAF fournit une sécurité rapide et simple de la couche applicative, avec une efficacité maximale. Le nouvel assistant IA intégré à Distributed Cloud Services contribue à simplifier la sécurité des applications distribuées et des API grâce à une interface en langage naturel fournissant des informations en temps réel, des recommandations exploitables et une synthèse des rapports de données.
F5 NGINX App Protect est un WAF léger et hautement performant, conçu pour protéger de manière homogène les API et les applications modernes dans les architectures distribuées et les environnements hybrides. Indépendant de la plateforme, NGINX App Protect s’intègre parfaitement à votre processus de développement d’applications afin de détecter les attaques applicatives et de vous en protéger, notamment les attaques par déni de service (DoS) de couche 7 et les bots. Solution puissante de sécurité des applications à faible latence, NGINX App Protect vous permet de faire évoluer la sécurité applicative dans les clusters Kubernetes et le cloud, contribuant ainsi à réduire considérablement vos coûts de calcul. Il offre une défense multicouche qui atténue les campagnes de cyberattaques actives et va au-delà de la protection contre les catégories du Top 10 de l’OWASP.
F5 BIG-IP Advanced WAF est le pare-feu pour applications web phare de F5. Les fonctions de détection et d’atténuation de la solution Advanced WAF, maintes fois primée, constituent le moteur de Distributed Cloud WAF et de NGINX App Protect. Grâce à l’analyse comportementale, à l’atténuation des attaques DoS de couche 7, au chiffrement des données sensibles au niveau de la couche applicative et aux services de renseignement sur les menaces, BIG-IP Advanced WAF protège les applications déployées dans des environnements distribués et hybrides contre un large éventail d’attaques applicatives. BIG-IP Advanced WAF propose un tableau de bord dédié et dynamique qui permet d’assurer rapidement et simplement une protection contre les menaces répertoriées dans le Top 10 de l’OWASP. BIG-IP Advanced WAF comprend des configurations guidées pour les cas d’usage courants des WAF, un moteur d’apprentissage et permet de personnaliser les politiques de sécurité de manière granulaire.
Une protection étendue signée F5
En outre, F5 peut couvrir davantage de domaines concernés par la norme PCI DSS v4.0.
- Les API sont un composant essentiel de la quasi-totalité des transactions, tous secteurs et toutes organisations confondus. La norme PCI DSS v4.0.1 introduit plusieurs nouvelles exigences visant à protéger et à sécuriser les API dans le cadre de logiciels adaptés et personnalisés. F5 Distributed Cloud API Security permet de répondre à bon nombre de ces nouvelles exigences en fournissant des contrôles qui protègent les API et contribuent également à prévenir ou à atténuer les attaques et vulnérabilités logicielles courantes. Pour mieux comprendre les exigences de sécurité des API figurant dans la norme PCI DSS v4.0.1, consultez l’article de blog d’Ian Dinno, Mise à jour PCI DSS 4.0.1 : d’importantes améliorations de la sécurité des API sont requises pour les prestataires de traitement des paiements clients, et découvrez début 2025 un nouvel article de blog qui fournira des informations complémentaires.
- F5 Distributed Cloud Web App Scanning analyse de manière dynamique et continue votre surface d’attaque externe afin de détecter les applications web et les API exposées. Grâce à ses fonctionnalités automatisées de test d’intrusion, Distributed Cloud Web App Scanning identifie et signale les vulnérabilités potentiellement exploitables, même celles qui se trouvent au cœur de votre chaîne d’approvisionnement logicielle. Cette solution vous aide à mieux protéger vos applications et vos API contre les attaques et les tentatives d’exploitation. Distributed Cloud Web App Scanning vous aide également à répondre aux exigences de la sous-section 6.3.2 de la norme PCI DSS v4.0.
- F5 Distributed Cloud Mobile App Shield protège efficacement vos applications mobiles contre les logiciels malveillants, les bots, les fuites de données, les accès non autorisés et les attaques de l’homme du milieu (MiTM), susceptibles d’entraîner des manquements aux exigences de conformité, des pertes financières, une attrition de la clientèle et une atteinte à la réputation. Distributed Cloud Mobile App Shield offre une protection inégalée à l’exécution et au repos afin de renforcer de manière proactive la sécurité de vos applications mobiles, d’empêcher leur altération et de bloquer les bots malveillants, l’exfiltration de données et l’utilisation abusive des API.
- La sous-section 8.4.2 de la norme PCI DSS v4.0 exige la mise en œuvre de l’authentification multifacteur (MFA) pour tous les accès à l’environnement des données des titulaires de cartes (CDE), qui peut comprendre des composants système stockant, traitant ou transmettant des données de titulaires de cartes ou des données d’authentification sensibles, ou disposant d’une connectivité sans restriction à ces systèmes. F5 BIG-IP Access Policy Manager (BIG-IP APM) permet un accès aux applications fondé sur le modèle Zero Trust, notamment en limitant l’accès aux applications et aux données en fonction des privilèges et de divers facteurs, tels que la date et l’heure. BIG-IP APM peut sécuriser les données des titulaires de cartes et les données d’authentification sensibles en transit. Il permet également une authentification renforcée, qui oblige les utilisateurs concernés, tels que ceux qui accèdent au CDE ou les utilisateurs distants, à saisir un autre ensemble d’identifiants d’authentification que ceux utilisés lors de l’accès initial, y compris des identifiants MFA différents.
- Pour détecter les défaillances des systèmes critiques de contrôle de sécurité, notamment les solutions IDS / IPS et antimalware, et y remédier rapidement, vous pouvez compter sur F5 BIG-IP SSL Orchestrator. BIG-IP SSL Orchestrator protège contre les menaces chiffrées en déchiffrant le trafic chiffré et en acheminant le trafic déchiffré à travers votre pile de sécurité existante au moyen de chaînes de services dynamiques personnalisables. Il répartit également la charge du trafic entre les solutions de votre pile de sécurité, surveille l’état de toutes ces solutions et peut gérer la mise à jour de leurs algorithmes de chiffrement. De plus, si l’une de vos solutions de sécurité devient indisponible, vous pouvez rapidement atténuer le risque grâce aux chaînes de services dynamiques de BIG-IP SSL Orchestrator, qui permettent de contourner la solution indisponible et de limiter les effets préjudiciables, tels qu’un contournement involontaire de l’inspection du trafic. Lorsque vous devez remplacer une solution de sécurité, BIG-IP SSL Orchestrator gère efficacement les modifications et les ajouts de services de sécurité, en transférant de manière transparente le trafic déchiffré à des fins d’inspection sans interrompre le flux du trafic. BIG-IP SSL Orchestrator vous aidera à satisfaire aux sous-sections 10.7.2, 10.7.3 et 11.5.1.1 de la norme PCI DSS v4.0.
Pour résumer
Comme indiqué précédemment, F5 vous aidera à répondre à bon nombre des nouvelles exigences de la norme PCI DSS v4.0, quels que soient vos besoins spécifiques et vos autres priorités, avant qu’elles ne deviennent obligatoires le 31 mars 2025.
Pour en savoir plus sur la capacité de F5 à répondre aux exigences de la norme PCI DSS v4.0, veuillez consulter les ressources suivantes :
Modifications importantes de la norme PCI DSS 4.0.1 à connaître
L’heure de la fin a sonné pour PCI DSS 3.2.1… Êtes-vous prêt pour la version 4.0 ?
La défense contre les bots devrait également contribuer à la conformité à la norme PCI DSS
Qu’est-ce que la norme PCI DSS ? Présentation, exigences et avantages
Pour plus d’informations, veuillez contacter votre responsable de compte F5, votre responsable de réseau de distribution ou votre partenaire de distribution F5.
À propos de l’auteur
Articles de blog associés
F5 NGINXaaS pour Google Cloud : des applications résilientes et évolutives
Découvrez comment NGINXaaS s’intègre à Google Cloud pour renforcer les performances et la sécurité, et préparer vos applications critiques à un avenir propulsé par l’IA.
L’intégration de F5 Web Application Firewall (WAF) à AWS est disponible dès aujourd’hui
En faisant appel à un partenaire de déploiement AWS WAF tel que F5, vous pouvez renforcer la sécurité de vos applications web grâce à des règles personnalisées qui bloquent les schémas d’attaque courants, comme les injections SQL ou les attaques par scripts intersites (XSS).
Appliquer le principe de Peter Parker à l’inspection TLS
« Un grand pouvoir implique de grandes responsabilités. » Si l’on en trouve des échos chez Voltaire et Churchill, cette citation est surtout connue grâce aux bandes dessinées Spider-Man, où elle est attribuée à l’oncle Ben. Bien entendu, si cette phrase est si répandue dans la culture populaire, c’est notamment parce qu’elle peut s’appliquer à une multitude de situations et de sujets, y compris à l’inspection TLS.
Le NetOps a besoin de défenseurs, pas d’adversaires
Il est important de reconnaître que les équipes NetOps ne sont pas toujours celles qui font obstacle au déploiement de la dernière nouveauté, application ou service. Les freins à la rapidité sont souvent dus au fait que les organisations n’adoptent pas tous les principes du DevOps lorsqu’elles cherchent à transformer leurs opérations informatiques.
Mise à jour des services applicatifs : sécurité, rapidité et visiteurs suspects
Il est de nouveau temps de nous pencher sur les services applicatifs que les entreprises utilisent réellement pour rendre leurs applications plus rapides et plus sûres. On constate notamment une hausse du recours aux services de protection contre les bots, ainsi que la progression lente mais régulière de HTTP/2. Bien qu’il ne s’agisse pas d’une application…
Les templates prennent le contrôle du cloud
Les modèles s’imposent dans le cloud. Lisez le blog de F5 pour découvrir comment l’infrastructure en tant que code et les API déclaratives automatisent la mise à disposition des applications.