Êtes-vous prêt à répondre aux dernières exigences de sécurité relatives aux paiements par carte ? Depuis le 31 mars 2025, les organisations doivent se conformer à la norme PCI DSS v4.0.1, une mise à jour de la norme de sécurité des données de l’industrie des cartes de paiement qui a rendu obligatoires plusieurs bonnes pratiques de sécurité auparavant recommandées. La version 4.0.1 a introduit de nouvelles exigences en matière de sécurité continue, d’authentification renforcée et de protection contre les vulnérabilités, les logiciels malveillants et l’hameçonnage.
AWS maintient sa conformité PCI DSS en tant que fournisseur de services de niveau 1 pour un grand nombre de ses services, assurant ainsi la sécurité de l’infrastructure sous-jacente, du réseau et des composants logiciels. Toutefois, dans le cadre du modèle de responsabilité partagée d’AWS, il incombe à votre organisation de sécuriser vos applications et vos données sur AWS. Pour atteindre une conformité totale à la norme PCI DSS, vous devrez peut-être mettre en œuvre des mesures de sécurité supplémentaires pour vos applications et vos données.
“La norme PCI DSS v4.0.1 impose une protection continue de toutes les applications web et API accessibles au public, au moyen de solutions capables de détecter et de prévenir les attaques, ainsi que de générer des alertes en cas d’attaque.”
Répondre aux nouvelles exigences de sécurité
À compter de la norme PCI DSS v4.0.1, les améliorations de sécurité suivantes sont désormais requises :
Web application and API protection: La norme PCI DSS v4.0.1 impose une protection continue de toutes les applications web et API accessibles au public, au moyen de solutions capables de détecter et de prévenir les attaques, ainsi que de générer des alertes en cas d’attaque. Elle exige également l’analyse des vulnérabilités et la tenue d’un inventaire des logiciels personnalisés, notamment des API et des composants tiers (exigences 6.2.4, 6.3.2 et 6.4.2).
Authentification renforcée : Afin d’empêcher tout accès non autorisé aux données de paiement sensibles, l’authentification multifacteur (MFA) est désormais requise pour tout accès à l’environnement des données de titulaires de cartes (CDE), qui englobe tous les composants stockant, traitant ou transmettant des données de titulaires de cartes (exigence 8.4.2).
Surveillance des contrôles de sécurité et détection des défaillances : Les organisations doivent détecter rapidement les défaillances des systèmes critiques de contrôle de sécurité, notamment les systèmes de détection et de prévention des intrusions et les solutions antimalware, et y remédier (exigence 10.7).
Gestion complète des vulnérabilités : Une analyse régulière et approfondie des vulnérabilités de l’ensemble des applications et systèmes accessibles au public est requise afin d’identifier les vulnérabilités exploitables, y compris celles qui se trouvent au cœur de la chaîne d’approvisionnement logicielle (exigence 11.3.1).
Ajoutez les solutions F5 sur AWS pour une couverture complète de la norme PCI DSS
À l’instar d’AWS, F5 propose également des services qui sont conformes à la norme PCI DSS en tant que fournisseur de services de niveau 1. Les solutions F5 fournissent les fonctionnalités de sécurité supplémentaires nécessaires à la conformité à la norme PCI DSS v4.0.1 sur AWS :
F5 Distributed Cloud WAF et F5 BIG-IP Advanced WAF offrent une sécurité complète des applications qui inspecte le trafic applicatif et bloque les menaces du Top 10 de l’OWASP, les attaques par déni de service distribué (DDoS) de couche 7 et les bots malveillants. Les solutions WAF de F5 peuvent être déployées devant n’importe quelle application, quel que soit son environnement d’hébergement : sur site, sur AWS ou dans plusieurs clouds.
F5 Managed Rules for AWS WAF fournit des ensembles de règles de sécurité préconfigurées qui renforcent les capacités de protection d’AWS WAF. Cette protection continuellement mise à jour protège contre les menaces du Top 10 de l’OWASP, les bots malveillants, les attaques au niveau des API et d’autres vulnérabilités.
F5 Distributed Cloud API Security découvre et protège les API, notamment grâce à une surveillance continue assortie d’une analyse comportementale visant à détecter les anomalies et les attaques potentielles.
F5 BIG-IP Access Policy Manager permet un accès Zero Trust aux applications à l’aide de l’authentification multifacteur (MFA) pour accéder à l’environnement des données des titulaires de cartes (CDE). Il sécurise les données des titulaires de cartes en transit et impose un accès sécurisé afin de répondre aux exigences.
F5 BIG-IP SSL Orchestrator déchiffre le trafic entrant dans votre environnement AWS et l’achemine à travers votre pile de sécurité afin de détecter les menaces. Il surveille l’état des solutions de sécurité et peut rapidement atténuer les problèmes en cas de défaillance d’un contrôle de sécurité, empêchant ainsi tout contournement involontaire de l’inspection du trafic.
F5 Distributed Cloud Web App Scanning analyse en continu votre surface d’attaque externe afin de détecter les applications et les API exposées. Grâce à des tests d’intrusion automatisés, la solution identifie les vulnérabilités potentiellement exploitables au cœur de votre chaîne d’approvisionnement logicielle.
Simplifiez la sécurité et la conformité avec F5
En mettant en œuvre les solutions F5 conjointement avec les contrôles de sécurité AWS, vous pouvez :
- Simplifiez la mise en conformité grâce à une couverture complète des exigences PCI DSS, ainsi qu’à des journaux d’audit et des rapports.
- Réduisez le risque de violation de données grâce à des fonctionnalités avancées de détection et de prévention des menaces.
- Unifiez votre posture de sécurité afin de garantir une protection cohérente dans l’ensemble de votre environnement hybride ou multicloud.
Forts de plus de dix ans de partenariat, F5 et AWS collaborent pour simplifier la mise à disposition et la sécurité des applications dans le cloud. Les solutions F5 sont disponibles sur AWS Marketplace afin d’ajouter facilement une protection complète des données sensibles de cartes de paiement. Pour en savoir plus, consultez notre page web F5 sur AWS.
À propos de l’auteur
Articles de blog associés
F5 NGINXaaS pour Google Cloud : des applications résilientes et évolutives
Découvrez comment NGINXaaS s’intègre à Google Cloud pour renforcer les performances et la sécurité, et préparer vos applications critiques à un avenir propulsé par l’IA.
L’intégration de F5 Web Application Firewall (WAF) à AWS est disponible dès aujourd’hui
En faisant appel à un partenaire de déploiement AWS WAF tel que F5, vous pouvez renforcer la sécurité de vos applications web grâce à des règles personnalisées qui bloquent les schémas d’attaque courants, comme les injections SQL ou les attaques par scripts intersites (XSS).
Appliquer le principe de Peter Parker à l’inspection TLS
« Un grand pouvoir implique de grandes responsabilités. » Si l’on en trouve des échos chez Voltaire et Churchill, cette citation est surtout connue grâce aux bandes dessinées Spider-Man, où elle est attribuée à l’oncle Ben. Bien entendu, si cette phrase est si répandue dans la culture populaire, c’est notamment parce qu’elle peut s’appliquer à une multitude de situations et de sujets, y compris à l’inspection TLS.
Le NetOps a besoin de défenseurs, pas d’adversaires
Il est important de reconnaître que les équipes NetOps ne sont pas toujours celles qui font obstacle au déploiement de la dernière nouveauté, application ou service. Les freins à la rapidité sont souvent dus au fait que les organisations n’adoptent pas tous les principes du DevOps lorsqu’elles cherchent à transformer leurs opérations informatiques.
Mise à jour des services applicatifs : sécurité, rapidité et visiteurs suspects
Il est de nouveau temps de nous pencher sur les services applicatifs que les entreprises utilisent réellement pour rendre leurs applications plus rapides et plus sûres. On constate notamment une hausse du recours aux services de protection contre les bots, ainsi que la progression lente mais régulière de HTTP/2. Bien qu’il ne s’agisse pas d’une application…
Les templates prennent le contrôle du cloud
Les modèles s’imposent dans le cloud. Lisez le blog de F5 pour découvrir comment l’infrastructure en tant que code et les API déclaratives automatisent la mise à disposition des applications.