En réponse à l’explosion du nombre d’attaques de phishing recensées dans le monde, la prochaine version des normes de l’industrie des cartes de paiement (PCI DSS v4.0) va imposer le déploiement du protocole DMARC dans le but de sécuriser les échanges par mail.
Voici tout ce que vous devez savoir à ce sujet.
Qu’est-ce que la PCI DSS et qui est concerné ?
Cet acronyme désigne un ensemble de normes de sécurité élaborées pour garantir la protection des informations liées aux cartes de paiement. Ces normes ont été créées par le Conseil des normes de sécurité de l’industrie des cartes de paiement (PCI SSC), une organisation regroupant les principales entreprises du secteur des cartes de paiement, telles que Visa, MasterCard, American Express, Discover et JCB.
L’objectif principal de la PCI DSS est de sécuriser les transactions par carte de paiement et de protéger les données sensibles des porteurs de cartes, telles que les numéros de carte, les dates d’expiration et les codes de sécurité.
La conformité à la PCI DSS est requise pour toutes les organisations qui traitent, stockent ou transmettent des informations relatives aux cartes de paiement.
Dans sa version actuelle, la norme repose sur les critères suivants :
- Création et gestion d’un réseau et d’un système sécurisé
- Protection des données du titulaire
- Maintien d’un programme de gestion des vulnérabilités
- Mise en œuvre de mesures de contrôle d’accès strictes
- Surveillance et tests réguliers des réseaux
- Maintien d’une politique de sécurité des informations
L’email, grand absent de cette norme… Jusqu’en mars 2025
Comme vous pouvez le constater, la messagerie n’est pas clairement mentionnée dans les critères définis par la norme PCI DSS dans sa version actuelle. Or, le mail étant le premier vecteur d’arnaques en ligne, il était grand temps de l’intégrer pleinement au centre des débats et de définir un plan d’action fort afin de protéger les commerçants et leurs clients.
Dans ce contexte, la norme PCI DSS va bientôt évoluer et imposer le déploiement d’une politique DMARC stricte (“p=reject” ou “p=quarantine”) afin de permettre aux anti-spams de filtrer plus efficacement les mails émis depuis votre nom de domaine sans votre autorisation.
A compter de mars 2025, les contrôleurs de la PCI DSS prendront en compte la bonne configuration des protocoles SPF, DKIM et DMARC lors des audits.
Les experts de Nameshield se tiennent à votre disposition pour vous accompagner dans le déploiement de ce protocole.
Crédit image : pixabay/storyset.com/nameshield
