Avec un soutien approprié, vos développeurs peuvent mener votre organisation vers une conformité PCI DSS 4.0 supérieure.

Une version de cet article a été initialement publiée sur DZone. Il a été mis à jour et syndiqué ici.

La version 4.0 de la norme de sécurité des données de l'industrie des cartes de paiement (PCI DSS) va bouleverser presque tous les aspects de la sécurité pour toute entreprise ou organisation acceptant les paiements électroniques, soit la grande majorité d'entre elles. Ne vous y trompez pas, cette mise à jour sera transformatrice pour la plupart des entreprises, les obligeant à améliorer bon nombre de leurs processus de sécurité et potentiellement à déployer de nouvelles protections en matière de chiffrement, d'authentification, de contrôle d'accès, de gestion des clés et d'autres domaines qu'elles avaient peut-être tardé à adopter jusqu'à présent.

En raison de la complexité des nouvelles exigences, les organisations ont jusqu'en mars 2025 pour se mettre en totale conformité. Mais cette échéance arrivera plus vite qu'on ne le pense. En fait, de nombreuses entreprises avant-gardistes prennent dès maintenant des mesures pour permettre à leurs développeurs d'appréhender le paysage de conformité à venir.

Aller au-delà d'une formation de pure forme

Les développeurs d'une organisation écrivent le code sur lequel repose une grande partie de leur infrastructure ; il est donc logique qu'ils soient les premiers concernés par la mise en œuvre des nouvelles exigences PCI DSS 4.0. Cependant, la plupart des développeurs auront besoin d'un soutien stratégique pour monter en compétences dans le cadre d'un programme de sensibilisation à la sécurité actualisé. Cela garantit qu'ils possèdent l'expérience nécessaire pour mettre en œuvre et maintenir les niveaux de sécurité plus élevés exigés par la nouvelle norme.

En fait, l'exigence 12.6.2 de la norme PCI DSS 4.0 demande aux organisations de mettre en place un programme de sécurité formel et de le tenir à jour avec les dernières informations sur les menaces et les techniques de défense. Avec l'ancienne norme, des programmes de sécurité de base ou même une formation annuelle à la conformité « de pure forme » suffisaient. Cette nouvelle norme impose bien plus, exigeant même que les programmes de formation à la sécurité traitent des menaces et des vulnérabilités spécifiques à l'environnement de l'entreprise. Par exemple, si l'usurpation d'identité constitue un problème majeur pour une organisation, la formation doit aborder ce point.

Il est clair qu'une formation minimale ne sera plus suffisante, que ce soit d'un point de vue pratique ou pour se conformer à la nouvelle norme. Les organisations doivent plutôt fournir aux développeurs des parcours d'apprentissage complets et agiles qui leur apprennent à appliquer les meilleures pratiques de sécurité à leur travail quotidien réel. En allant au-delà des efforts de conformité minimaux et en fournissant aux développeurs les ressources dont ils ont besoin pour vraiment comprendre la sécurité, les organisations peuvent leur donner les moyens de prendre de meilleures décisions en matière de sécurité tout en se conformant à la norme PCI DSS 4.0.

La bonne nouvelle est qu'un grand nombre des nouvelles exigences de la norme PCI DSS 4.0 ciblent des domaines que la plupart des développeurs connaissent déjà, comme l'authentification, le chiffrement, le contrôle d'accès, la gestion des clés, entre autres. Lorsque les développeurs disposent de ressources adaptées, pertinentes et familières pour développer leurs compétences, les organisations peuvent plus facilement les préparer aux nouvelles normes et aux responsabilités accrues qu'exigera la norme PCI DSS 4.0.

Utiliser la norme PCI DSS 4.0 comme tremplin vers une meilleure sécurité globale

Si répondre aux besoins des développeurs par une formation à la sécurité de qualité sera essentiel pour se conformer avec succès à la nouvelle norme PCI DSS 4.0, l'effort visant à améliorer la cybersécurité d'une organisation ne doit pas s'arrêter là. Certes, les exigences sont rigoureuses, mais comme la plupart des organisations devront travailler pour s'y conformer, rien n'empêche d'utiliser cet effort comme tremplin pour lancer une meilleure sensibilisation et formation à la sécurité dans l'ensemble de l'entreprise. Cela aidera non seulement l'organisation à respecter les exigences de conformité, mais commencera également à favoriser une culture de sécurité positive qui privilégie les meilleures pratiques et garantit que chacun travaille vers le même objectif axé sur la sécurité.

Il y a une courbe d'apprentissage, certes, mais les développeurs seront probablement favorables à une telle démarche. Dans une enquête d'Evans Data menée auprès de plus de 1 200 développeurs professionnels travaillant activement dans le monde entier, la grande majorité s'est déclarée favorable au concept de création de code sécurisé et à l'instauration d'une meilleure culture de sécurité au sein de leur organisation. Il est clair que la plupart des développeurs accueillent favorablement un passage stratégique et soutenu vers un codage sécurisé et une repriorisation de la sécurité dans le processus de développement.

Les mises à niveau de sécurité imposées par la norme PCI DSS 4.0 constituent une excuse parfaite pour les entreprises d'investir dans l'amélioration des meilleures pratiques et de la formation en matière de sécurité, et d'adopter une meilleure culture de sécurité globale au sein de leur organisation.

Les développeurs peuvent plus facilement atteindre des niveaux de maturité de sécurité plus élevés si leurs entreprises investissent dans un programme leur permettant d'intégrer leurs compétences en codage sécurisé avec des outils et une formation pertinents. Cela peut, à son tour, contribuer à créer une culture de sécurité où les développeurs sont davantage habilités à prendre de meilleures décisions qui améliorent la posture de sécurité globale de leur organisation, bien au-delà des nouvelles normes rigoureuses PCI DSS 4.0.
‍