Kliper mène une évaluation PCI 3DS Core Security Standard v1.0 dans le même éditeur d’exigences qu’un ROC PCI DSS. Vous renseignez les détails du rapport, une constatation et les réponses de l’évaluateur pour chaque sous-exigence, et les réponses que demande l’Attestation de conformité, puis vous exportez le Rapport de conformité 3DS et l’AOC 3DS.
Le déroulement d’une évaluation 3DS
Créer l'évaluation
Choisissez PCI 3DS 1.0.
Renseigner les détails du rapport
Les contacts et les dates, les fonctions 3DS, le périmètre, le recours éventuel à une évaluation PCI DSS, l’environnement, l’échantillonnage, les documents et les personnes interrogées.
Évaluer chaque exigence
Pour chaque sous-exigence, choisissez une constatation et rédigez la réponse de l’évaluateur à chaque instruction de rapport.
Compléter les annexes et l'AOC
Documentez les contrôles compensatoires dans l’annexe A et expliquez chaque N/A dans l’annexe B. L’AOC se déduit en grande partie du rapport ; vous ajoutez ce qu’elle demande en plus.
Exporter
Téléchargez le ROC et l’AOC en Word ou en PDF, après les contrôles d’export.
Créer une évaluation 3DS
Dans l’assistant complet, à l’étape Référentiel, sélectionnez PCI 3DS et la version 1.0. Consultez Créer une évaluation pour la suite du parcours.
Ce que contient l’évaluation
| Partie | Exigences de haut niveau | Sous-groupes | Sous-exigences | Instructions de rapport |
|---|---|---|---|---|
| Partie 1 : Baseline Security Requirements | P1-1 à P1-7 | 18 | 68 | 228 |
| Partie 2 : 3DS Security Requirements | P2-1 à P2-7 | 25 | 75 | 266 |
Les exigences portent les numéros qu’imprime le ROC : P1-1.1.1, P2-6.1.2. Chaque exigence de haut niveau a sa propre page, ses sous-groupes en intertitres. Dans la barre latérale, Synthèse réunit les détails du rapport et les réponses de l’AOC, Exigences les exigences de chaque partie, et Annexes l’annexe A puis l’annexe B, comme les imprime le ROC.
Les détails du rapport
| Rubrique | Ce que vous renseignez |
|---|---|
| 1.1 à 1.4 | Les parties et leurs contacts, les dates et la période de l’évaluation, la version 3DS, les services déclarés par la société QSA |
| 2.1 | Les fonctions 3DS évaluées (3DS Server, ACS, DS) et la façon dont l’entité les assure |
| 2.2 | La façon dont l’environnement 3DS et le périmètre ont été validés |
| 2.3 | Si une évaluation PCI DSS est utilisée pour la partie 1, avec ses détails et la couverture de chaque exigence de la partie 1 |
| 3.1 à 3.4 | Les schémas de réseau, les flux de données 3DS, l’emplacement des données sensibles 3DS, le matériel et les logiciels critiques |
| 3.5, 3.6 | Si un échantillonnage a été utilisé et, le cas échéant, chaque ensemble d’échantillons |
| 3.7 à 3.9 | Les prestataires tiers, les documents examinés, les personnes interrogées |
| 3.10 | Les exigences En place avec un contrôle compensatoire, chacune avec un résumé |
| 4.1.1, 4.2.1 | Le résultat de chaque exigence de haut niveau, déduit des constatations |
3.10 répond Oui ou Non d’après les constatations. Cliquez sur Ajouter les exigences d’après les constats pour lister chacune, puis rédigez son résumé. Une question posée seulement dans certains cas (3.6 après un Oui en 3.5, les détails de 2.3 après un Oui) n’apparaît, et ne compte dans l’avancement, qu’alors.
S’appuyer sur une évaluation PCI DSS
Répondez Oui en 2.3 quand la partie 1 est respectée au travers de l’évaluation PCI DSS de l’entité. Les pages de la partie 1 quittent la barre latérale et l’avancement, 4.1.1 indique In Place per PCI DSS pour toute la partie 1, et le ROC et l’AOC l’impriment ainsi, sans les constatations détaillées de la partie 1. Ses réponses sont conservées : répondez Non et elles reviennent. 2.3 demande alors les détails de l’évaluation PCI DSS et, pour chaque exigence de la partie 1, sa couverture (Full ou Partial, avec une justification pour Partial).
Renseigner une constatation
Pour chaque sous-exigence, choisissez une constatation :
| Constatation | Quand |
|---|---|
| En place | L’exigence est respectée |
| En place avec CCW | Respectée grâce à un contrôle compensatoire : choisissez En place et cochez Contrôle compensatoire |
| N/A | L’exigence ne s’applique pas, ce que l’évaluateur a confirmé |
| Non en place | L’exigence n’est pas respectée |
Le ROC 3DS n’a pas de résultat Non testé. Rédigez ensuite la réponse de l’évaluateur à chaque instruction de rapport : ce qui a été examiné, observé ou recueilli en entretien, et ce que cela a montré. Une constatation N/A se rapporte de la même façon, en disant comment sa non-applicabilité a été confirmée. La dernière ligne, Additional assessor comments, est facultative.
Le résultat d’une exigence de haut niveau suit le modèle : Non en place dès qu’une sous-exigence l’est, N/A quand toutes le sont, En place avec CCW dès qu’une l’est, En place sinon.
Les annexes
| Annexe | Ce que vous renseignez |
|---|---|
| Annexe A | La fiche des contrôles compensatoires, pour chaque exigence En place avec CCW (Ouvrir l’annexe A sur la constatation) |
| Annexe B | Chaque exigence constatée N/A et pourquoi. Ajouter les exigences d’après les constats les liste |
Quand 2.1 n’évalue que le 3DS Server, l’annexe B liste les exigences qui ne s’appliquent qu’à un ACS et à un DS, selon la norme et sa FAQ technique, et propose Les marquer N/A. Chacune est alors marquée N/A sur sa page, ses réponses conservées, et ajoutée à l’annexe B avec la raison qu’en donne le modèle. Chacune demande encore, sur sa page, comment sa non-applicabilité a été confirmée, et reste à votre main. Une exigence qui a déjà une constatation la garde.
Les réponses de l’AOC
Les pages propres à l’AOC ne demandent que ce que le rapport ne fournit pas :
| Partie | Ce que vous renseignez |
|---|---|
| Parties 1a, 1b | L’entité 3DS et la société d’évaluation. Remplir d’après 1.1 copie les contacts du rapport |
| Partie 2a | Les fonctions viennent de 2.1 ; donnez à chacune sa lettre d’approbation EMVCo (référence, date, produit). Une autre fonction définie par une marque de paiement, le cas échéant |
| Parties 2b, 2c, 2e, 2f | L’activité, les sites, l’environnement et sa segmentation, les prestataires tiers |
| Partie 2g | Le résultat de chaque exigence de haut niveau, d’après les constatations |
| Partie 3 | L’évaluation se déduit des constatations : Non-Compliant dès qu’une exigence est Non en place, Compliant quand chaque exigence a son résultat. Une contrainte légale demande l’exigence concernée et ses détails, et si elle explique chaque exigence Non en place (l’évaluation est alors Compliant but with Legal exception). Une évaluation Non-Compliant demande sa date cible |
| Partie 4 | La conformité de chaque exigence, d’après les constatations ; une exigence non conforme demande sa date et ses actions de remédiation |
Les parties 3a à 3c, les attestations, se signent sur le document exporté.
Exporter le ROC et l’AOC
Cliquez sur Exporter dans l’en-tête de l’évaluation, ou dans le menu Actions de la barre supérieure. Choisissez le Rapport de conformité, l’Attestation de conformité ou les deux, en PDF ou en Word. Un PDF inachevé peut porter le filigrane BROUILLON. La table des matières du ROC est recalculée pour le document exporté. Chaque export est conservé dans la bibliothèque des ROC.
Avant de produire le fichier, Kliper exécute les contrôles d’export. Les points bloquants sont ce qu’exigent le ROC et l’AOC ; les avertissements méritent une relecture. Exporter quand même produit le fichier malgré tout.
| Contrôle | Gravité |
|---|---|
| Une sous-exigence avec une constatation dont toutes les instructions de rapport n’ont pas de réponse (« N/A » ou « voir … » seul ne compte pas comme réponse) | Bloquant |
| Une constatation Non testé, que le ROC 3DS n’a pas | Bloquant |
| Un contrôle compensatoire absent de 3.10, ou avec l’annexe A vide | Bloquant |
| Une exigence N/A non expliquée dans l’annexe B | Bloquant |
| 2.3 qui s’appuie sur une évaluation PCI DSS sans ses détails ou sans la couverture d’une exigence de la partie 1 | Bloquant |
| 3.5 qui indique un échantillonnage, sans ensemble d’échantillons en 3.6 | Bloquant |
| Une réponse de l’AOC qui s’applique mais manque : une lettre d’approbation EMVCo, les prestataires après un Oui en 2f, une remédiation de la partie 4, les détails de la contrainte légale, une date cible | Bloquant |
| 3.10 ou l’annexe B qui liste une exigence à laquelle les constatations ne donnent pas ce résultat | Avertissement |
| Aucun schéma en 3.1 ou 3.2 | Avertissement |
| Une réponse qui reprend son instruction, copiée d’une autre sous-exigence, ou qui décrit des travaux à venir sous En place | Avertissement |
Cortex sur une évaluation 3DS
Cortex lit l’évaluation 3DS comme le ROC : le texte, les méthodes de validation et les instructions de rapport d’une sous-exigence, vos constatations et vos réponses, le résultat de chaque exigence de haut niveau, les détails du rapport et les annexes, l’AOC telle que l’évaluent les constatations, et les contrôles d’export. Il nomme les exigences comme les imprime le ROC. Cortex n’enregistre pas de réponses 3DS : demandez-lui de rédiger une réponse et il l’écrit dans sa réponse, pour que vous la relisiez et la colliez. La constatation vous appartient toujours.