Connected to the future - ITnation

SÉCURITÉ petit-déjeuner it news
Photos sur www.itnation.eu
L’EXPÉRIENCE IBM
Simples recommandations, les PCI Data Security Standards (DSS) sont pourtant suffisamment
précis pour constituer la base d’une politique de sécurité complète. «PCI correspond
aux exigences de sécurité décrites par SOX et Bâle II, dit Umberto Sansovini. Les 12 règles
n’impliquent pas une mise en conformité supplémentaire. Elles posent les bases pour le futur.»
Un réseau sécurisé, un programme de gestion de la vulnérabilité, une politique de sécurité
de l’information, etc., les standards PCI tombent sous le sens. «Pourtant, les entreprises qui
regardent leur organisation et leur système d’information de plus près découvriront des failles»,
prévient Umberto Sansovini. La sécurité est à l’entreprise ce que la médecine est au corps
humain : mieux vaut prévenir que guérir.
CETREL AU CRÉNEAU
«Il est rare que les entreprises actives sur
internet considèrent la conformité à PCI, dit
Dominique Klein, Account Manager chez
CETREL. Or, les sociétés à l’origine de PCI,
telles VISA, peuvent remettre en cause la
crédibilité de ces entreprises en soulignant
leurs lacunes en matière de sécurité.» Sur
son site, VISA dresse une liste des entreprises
conformes à PCI et reconnues ainsi
pour leur engagement. Fournisseur de services
majeur auprès de onze grandes banques
luxembourgeoises, CETREL autorise 250.000
transactions par jour, est active dans le
clearing et le settlement, agit en tant que
helpdesk auprès des détenteurs de cartes,
contrôle les fraudes, règle les conflits, etc.
CETREL a donc, à ce titre, suivi une stricte
mise en conformité.
La société CETREL a ainsi fait appel à IBM
pour sa qualité de Qualified Security Auditor.
En suivant les PCI Data Security Standards,
CETREL a mis en place une stratégie : identification
des données essentielles qui sont
encryptées ou tronquées, encryptage de la
base de données, des disques et du backup,
centralisation des log, gestion d’identité,
remplacement du protocole FTP par SFTP,
consolidation du système pour éviter les
failles, renforcement des firewalls sur les
LAN, et formations. La société doit cependant
encore compléter sa politique d’IAM et
va à présent se concentrer sur l’encryption de
la base de données en lien avec la migration
vers les RDBMS. Au troisième trimestre 2009,
la version 2.0 des standards PCI apportera
d’autres changements… «La PCI est une
plateforme idéale pour la sécurité», déclare
Dominique Klein.
NOVEMBRE 08 61