La dernière mise à jour de la norme PCI DSS (Payment Card Industry Data Security Standard) 4.0.1 est importante, car elle met davantage l’accent sur les chaînes d’approvisionnement logicielles, notamment les API et les scripts côté client.
Avec le retrait de PCI DSS 3.2.1, les organisations qui traitent des paiements doivent s’adapter à l’évolution des applications modernes basées sur des microservices, des environnements multicloud et du recours accru aux API.
Cet article de blog examine certaines des nouvelles exigences essentielles introduites dans la norme PCI DSS 4.0.1 qui visent spécifiquement à protéger les API, devenues indispensables aux transactions dans la quasi-totalité des secteurs et des organisations.
Les nouvelles exigences comprennent :
- Tests préalables au déploiement 6.2.3 : Cette exigence met l’accent sur des pratiques rigoureuses de revue, de test et de développement sécurisé pour les logiciels sur mesure et personnalisés, y compris les API, avant leur mise en production, afin d’identifier et de corriger les vulnérabilités du code.
- Protection contre les menaces courantes 6.2.4 : Les organisations doivent mettre en œuvre des contrôles afin de prévenir ou d’atténuer les attaques logicielles courantes et les vulnérabilités associées dans les logiciels sur mesure et personnalisés. Une attention particulière doit être portée à l’exploitation abusive de la logique métier, aux attaques par injection (par exemple, SQL, LDAP, XPATH ou toute autre injection de commande, de paramètre, d’objet, d’erreur, etc.), ainsi qu’aux attaques visant le contrôle d’accès et les données. Tous ces éléments sont essentiels à la protection des API.
- Inventaire et visibilité des logiciels sur mesure 6.3.2 : Les entreprises doivent également assurer la visibilité et tenir à jour l’inventaire des logiciels spécifiques et sur mesure, notamment des API et des composants tiers, afin de faciliter la gestion des vulnérabilités et l’application des correctifs, garantissant ainsi une posture de sécurité globale.
- Visibilité en production, détection des menaces et tests 6.4.1 et 6.4.2 : Cette mise à jour souligne la nécessité de tester régulièrement, de surveiller en continu et de protéger les applications web et les API accessibles au public contre les vulnérabilités, les attaques connues et les menaces émergentes. Parmi ces exigences :
- Analyse et test réguliers (au moins une fois par an) des applications web et API accessibles au public
- Une solution technique, déployée en amont des applications web et des API accessibles au public, afin de détecter et de prévenir les attaques ciblant le web et les API
Les organisations ont jusqu’en mars 2025 pour se mettre en conformité
Les dernières révisions de la norme PCI DSS 4.0 ont été publiées par le PCI Security Standards Council en juin 2024 afin de tenir compte des transformations commerciales et technologiques observées ces dernières années. Ces modifications prennent acte de l’adoption généralisée des API ainsi que de l’évolution des applications et des infrastructures qui prennent en charge un nombre croissant de services et d’interactions au cœur d’une économie toujours plus numérique, notamment les systèmes de paiement en magasin, sur le Web et sur mobile.
“L’accent mis par la norme PCI DSS 4.0.1 sur la sécurité des API constitue une étape cruciale pour protéger les transactions numériques dans les environnements informatiques complexes et en constante évolution d’aujourd’hui.”
Les API marquent un changement de paradigme en matière de menaces, avec leurs propres menaces spécifiques recensées dans l’API OWASP TOP 10. Elles sont exposées à la plupart des attaques et vulnérabilités qui touchent les applications web traditionnelles, mais elles donnent souvent un accès direct à la logique métier, ce qui en fait une cible de plus en plus prisée des attaquants. Elles nécessitent donc un ensemble de contrôles spécifiques pour protéger les données contre tout accès, toute manipulation ou toute exposition non autorisés, afin de préserver la confidentialité et la confiance des utilisateurs et des parties prenantes, ainsi que d’assurer la confidentialité, l’intégrité et la disponibilité des communications des API.
L’échéance fixée à mars 2025 pour la mise en conformité des organisations souligne l’urgence, pour les entreprises, de s’aligner sur ces nouvelles spécifications afin de protéger les API et leurs scripts côté client.
Quelques stratégies pour garantir la conformité
Pour se conformer efficacement aux exigences de la norme PCI DSS 4.0 et protéger l’ensemble de leur surface d’attaque, les organisations doivent évaluer leur infrastructure, leurs processus et leurs capacités de sécurité existants, et envisager de mettre en œuvre des solutions offrant les fonctionnalités suivantes :
- Découverte complète des API : Cela commence par l’intégration aux dépôts de code afin de créer des inventaires et une documentation exhaustifs et précis directement à partir de la ou des sources. Cela comprend également l’analyse du trafic et l’exploration des domaines afin d’identifier les API fantômes, zombies, non gérées et tierces.
- Tests robustes des API : Ces tests permettent d’analyser le code des API avant leur mise en production, tout en effectuant des tests dynamiques des applications et API accessibles au public, afin d’identifier en continu les vulnérabilités, avec des informations contextuelles et des recommandations de correction.
- Protection à l’exécution : Elle nécessite des mécanismes intégrés d’application et de contrôle afin de bloquer et de limiter les comportements inappropriés des API, et de garantir leur bon fonctionnement. Cela inclut notamment un WAF et d’autres fonctionnalités propres aux API permettant de mettre en œuvre des règles de protection des API, la limitation du débit, le masquage des données et l’application des schémas, afin d’assurer un modèle de sécurité positif.
- Surveillance continue et détection des anomalies : Comprend une analyse comportementale basée sur l’IA et le machine learning, ainsi qu’une inspection continue du trafic des API afin de détecter les attaques potentielles, l’exposition de données sensibles et tout autre comportement anormal des API pouvant indiquer une utilisation abusive ou la compromission d’un point de terminaison d’API.
La mise à jour est conséquente, mais la mise en conformité ne doit pas nécessairement être intimidante
L’accent mis par la norme PCI DSS 4.0.1 sur la sécurité des API constitue une étape cruciale pour protéger les transactions numériques dans les environnements informatiques complexes et en constante évolution d’aujourd’hui.
À l’approche de l’échéance, il sera essentiel de prendre des mesures proactives pour renforcer la sécurité des API afin d’assurer et de maintenir la conformité. Ces mesures amélioreront également la résilience de votre infrastructure face aux cybermenaces et aux attaques ciblant les API et les scripts côté client, renforceront la protection des données et informations relatives aux cartes de paiement de vos clients, et consolideront la confiance et la crédibilité dont bénéficie votre organisation auprès de ses clients et des organismes de réglementation.
“L’échéance de mars 2025 souligne l’urgence pour les organisations de se conformer à ces nouvelles spécifications afin de sécuriser les API et leurs scripts côté client.”
Vous pouvez préparer votre organisation à se conformer à la norme PCI DSS 4.0.1 en évaluant vos pratiques actuelles en matière de sécurité des API, en identifiant les lacunes et en mettant en œuvre les améliorations nécessaires. Tenez-vous informé des ressources et recommandations supplémentaires fournies par le Conseil des normes de sécurité PCI afin d’être prêt d’ici mars 2025.
Cette tâche ne doit pas nécessairement être insurmontable. F5 dispose de l’expertise et des solutions nécessaires pour aider les organisations à évaluer et à mettre en œuvre des contrôles conformes aux nouvelles exigences, tout en renforçant la sécurité de leurs applications web et de leurs API.
Découvrez cette démonstration de la solution complète de sécurité des API de F5 en action et contactez-nous dès aujourd’hui pour organiser un rendez-vous avec l’un de nos experts.
À propos de l’auteur
Articles de blog associés
F5 NGINXaaS pour Google Cloud : des applications résilientes et évolutives
Découvrez comment NGINXaaS s’intègre à Google Cloud pour renforcer les performances et la sécurité, et préparer vos applications critiques à un avenir propulsé par l’IA.
L’intégration de F5 Web Application Firewall (WAF) à AWS est disponible dès aujourd’hui
En faisant appel à un partenaire de déploiement AWS WAF tel que F5, vous pouvez renforcer la sécurité de vos applications web grâce à des règles personnalisées qui bloquent les schémas d’attaque courants, comme les injections SQL ou les attaques par scripts intersites (XSS).
Appliquer le principe de Peter Parker à l’inspection TLS
« Un grand pouvoir implique de grandes responsabilités. » Si l’on en trouve des échos chez Voltaire et Churchill, cette citation est surtout connue grâce aux bandes dessinées Spider-Man, où elle est attribuée à l’oncle Ben. Bien entendu, si cette phrase est si répandue dans la culture populaire, c’est notamment parce qu’elle peut s’appliquer à une multitude de situations et de sujets, y compris à l’inspection TLS.
Le NetOps a besoin de défenseurs, pas d’adversaires
Il est important de reconnaître que les équipes NetOps ne sont pas toujours celles qui font obstacle au déploiement de la dernière nouveauté, application ou service. Les freins à la rapidité sont souvent dus au fait que les organisations n’adoptent pas tous les principes du DevOps lorsqu’elles cherchent à transformer leurs opérations informatiques.
Mise à jour des services applicatifs : sécurité, rapidité et visiteurs suspects
Il est de nouveau temps de nous pencher sur les services applicatifs que les entreprises utilisent réellement pour rendre leurs applications plus rapides et plus sûres. On constate notamment une hausse du recours aux services de protection contre les bots, ainsi que la progression lente mais régulière de HTTP/2. Bien qu’il ne s’agisse pas d’une application…
Les templates prennent le contrôle du cloud
Les modèles s’imposent dans le cloud. Lisez le blog de F5 pour découvrir comment l’infrastructure en tant que code et les API déclaratives automatisent la mise à disposition des applications.