Kliper mène une évaluation PCI PIN Security Requirements v3.1 dans le même éditeur d’exigences qu’un ROC PCI DSS. Vous renseignez les détails du rapport, une constatation et les réponses de l’évaluateur pour chaque sous-exigence, et les réponses que demande l’Attestation de conformité, puis vous exportez le Rapport de conformité PIN et l’AOC PIN à partir des modèles officiels du PCI SSC (ROC Reporting Template 1.0e, AOC v3.3).
Le déroulement d’une évaluation PIN
Créer l'évaluation
Choisissez PCI PIN 3.1 et les annexes pour lesquelles l’entité est évaluée, en plus des opérations de traitement des transactions.
Renseigner les détails du rapport
Les contacts et les dates, les services évalués, les installations, les clés, le matériel, les documents et les personnes interrogées.
Évaluer chaque objectif de contrôle
Pour chaque sous-exigence, choisissez une constatation et rédigez la réponse de l’évaluateur sous chaque procédure de test.
Compléter l'AOC
L’AOC se déduit en grande partie du rapport ; vous ajoutez les parties, les justifications et le plan d’action qu’elle demande.
Exporter
Téléchargez le ROC et l’AOC en Word ou en PDF, après les contrôles d’export.
Créer une évaluation PIN
Dans l’assistant complet, à l’étape Référentiel, sélectionnez PCI PIN et la version 3.1. L’étape Périmètre et visibilité propose alors les Annexes :
| Annexe | Couvre |
|---|---|
| Annexe A1 | La distribution de clés à distance par techniques asymétriques |
| Annexe A2 | Les autorités de certification et d’enregistrement |
| Annexe B | Les installations d’injection de clés |
Les opérations de traitement des transactions sont toujours évaluées. Création rapide ne demande pas les annexes : une évaluation créée ainsi n’en a aucune. Modifiez les annexes plus tard depuis la fenêtre de modification de l’évaluation. Une annexe désactivée garde ses réponses : elles sont masquées et exclues de tous les décomptes, et reviennent si vous la réactivez.
Consultez Créer une évaluation pour la suite du parcours.
Ce que contient l’évaluation
| Partie | Objectifs de contrôle | Sous-exigences | Procédures de test |
|---|---|---|---|
| Opérations de traitement des transactions | 1 à 7 | 155 | 298 |
| Annexe A1 | 3 à 6 | 11 | 17 |
| Annexe A2 | 3 à 7 | 96 | 180 |
| Annexe B | 1 à 7 | 184 | 325 |
Les exigences et les procédures portent les numéros qu’imprime le ROC : 1-3, 6-1.1, et pour une annexe B 1-3. Dans la barre latérale, Synthèse réunit les détails du rapport et les réponses de l’AOC, Exigences les objectifs de contrôle de chaque partie (une annexe ajoute les siens, comme B CO 1 à B CO 7, jamais une annexe du rapport), et Annexes l’annexe 2.
Les détails du rapport
| Rubrique | Ce que vous renseignez |
|---|---|
| 1.1 à 1.4 | Les parties et leurs contacts, les dates et la période de l’évaluation, la version PIN, les services déclarés |
| 1.5 | Le résultat de chaque objectif de contrôle. Il se déduit des constatations : Non conforme dès qu’une sous-exigence est Non en place, puis Non testé, Non applicable quand toutes le sont, Conforme sinon |
| 2 | Les schémas de réseau de haut niveau |
| 3a, 3b | Les types de service évalués et non évalués, et les installations |
| 4.1 à 4.4 | Les clés, le matériel, les documents et les personnes interrogées |
| 4.5, 4.6 | Les exigences En place avec un contrôle compensatoire, et celles Non testées, chacune avec un résumé |
4.5 et 4.6 répondent Oui ou Non d’après les constatations. Cliquez sur Ajouter les exigences d’après les constats pour lister chacune, puis rédigez son résumé.
Renseigner une constatation
Chaque objectif de contrôle a sa propre page, avec ses sous-exigences dans l’ordre du ROC. Pour chacune, choisissez une constatation :
| Constatation | Quand |
|---|---|
| En place | L’exigence est respectée |
| En place avec CCW | Respectée grâce à un contrôle compensatoire : choisissez En place et cochez Contrôle compensatoire |
| Non applicable | L’exigence ne s’applique pas, ce que les tests ont confirmé |
| Non testé | L’exigence a été exclue de l’évaluation |
| Non en place | L’exigence n’est pas respectée |
Rédigez ensuite la réponse de l’évaluateur sous chaque procédure de test : ce qui a été examiné, observé ou recueilli en entretien, et ce que cela a montré. Une constatation Non applicable se rapporte de la même façon, avec les tests qui ont confirmé qu’elle ne s’applique pas. Un contrôle compensatoire se documente dans l’annexe 2, la fiche des contrôles compensatoires (Ouvrir l’annexe 2 sur la constatation).
Les réponses de l’AOC
La page propre à l’AOC, après les détails du rapport, ne demande que ce que le rapport ne fournit pas :
| Partie | Ce que vous renseignez |
|---|---|
| Parties 1a, 1b | Le prestataire de services PIN et la société QPA. Remplir d’après 1.1 copie les contacts du rapport |
| Partie 2c | La couverture de chaque objectif de contrôle (Full, Partial ou None) se déduit des constatations ; rédigez la justification que demandent Partial et None |
| Partie 3 | L’évaluation se déduit des constatations : Non-Compliant dès qu’un objectif l’est, Compliant quand chaque objectif est Conforme ou Non applicable. Une contrainte légale demande l’exigence concernée et ses détails, et si elle explique chaque exigence Non en place (l’évaluation est alors Compliant but with legal exception). Une évaluation Non-Compliant demande sa date cible |
| Partie 4 | La conformité de chaque objectif, d’après les constatations ; un objectif non conforme demande sa date et ses actions de remédiation |
Les parties 2a et 2b de l’AOC reprennent les rubriques 3a et 3b du rapport.
Exporter le ROC et l’AOC
Cliquez sur Exporter dans l’en-tête de l’évaluation, ou dans le menu Actions de la barre supérieure. Choisissez le Rapport de conformité, l’Attestation de conformité ou les deux, en PDF ou en Word. Un PDF inachevé peut porter le filigrane BROUILLON.
Le ROC ne contient que les annexes couvertes par l’évaluation ; sa table des matières est recalculée pour le document exporté. Chaque export est conservé dans la bibliothèque des ROC.
Avant de produire le fichier, Kliper exécute les contrôles d’export. Les points bloquants sont ce qu’exigent le ROC et l’AOC ; les avertissements méritent une relecture. Exporter quand même produit le fichier malgré tout.
| Contrôle | Gravité |
|---|---|
| Une sous-exigence avec une constatation dont toutes les procédures n’ont pas de réponse (« N/A » ou « voir … » seul ne compte pas comme réponse) | Bloquant |
| Un contrôle compensatoire ou une exigence Non testée absent de 4.5 ou 4.6, ou listé sans résumé | Bloquant |
| Un contrôle compensatoire avec l’annexe 2 vide | Bloquant |
| Une réponse de l’AOC qui s’applique mais manque : une justification de la partie 2c, une remédiation de la partie 4, les détails de la contrainte légale, une date cible | Bloquant |
| 4.5 ou 4.6 qui liste une exigence à laquelle les constatations ne donnent pas ce résultat | Avertissement |
| Aucun schéma de réseau dans la section 2 | Avertissement |
| Une réponse qui reprend sa procédure, copiée d’une autre sous-exigence, ou qui décrit des travaux à venir sous En place | Avertissement |
Cortex sur une évaluation PIN
Cortex lit l’évaluation PIN comme le ROC : le texte et les procédures d’une sous-exigence, vos constatations et vos réponses, le résultat de chaque objectif de contrôle, les détails du rapport, l’AOC telle que l’évaluent les constatations, et les contrôles d’export. Il nomme les exigences comme les imprime le ROC. Cortex n’enregistre pas de réponses PIN : demandez-lui de rédiger une réponse et il l’écrit dans sa réponse, pour que vous la relisiez et la colliez. La constatation vous appartient toujours.