Certification de conformité PCI HSM

Objectifs de certification

Les HSM jouent un rôle majeur dans la protection des transactions de paiement, il est donc essentiel que les HSM eux-mêmes soient protégés pendant l’intégralité de leur cycle de vie, de la production et la livraison au fonctionnement et à la mise hors service. La norme de certification de conformité PCI HSM propose aux fournisseurs de HSM un ensemble d’exigences de sécurité strict et un processus rigoureux pour l’évaluation des plateformes vis-à-vis de ces exigences.

Portée

La certification de conformité PCI HSM devient une exigence de plus en plus fondamentale pour plusieurs processus de paiement, y compris le traitement des codes PIN, la vérification des cartes, l’interchange des DAB, la recharge des cartes prépayées et la génération des clés.

Le HSM payShield 10K est doté d’un logiciel riche en fonctionnalités certifié PCI HSM. Il répond à tous les processus ci-dessous, et bien plus encore.

Matériel

Pour garantir sa conformité à la norme PCI HSM, une plateforme doit satisfaire les exigences de sécurité physique suivantes :

• la détection des violations et l’application de mécanismes correctifs ;
• la résistance face aux conditions environnementales et d’exploitation anormales ;
• la protection des données sensibles dans l’appareil ;
• la prévention de la divulgation des informations sensibles par des techniques de surveillance extérieures ;
• la protection des clés de chiffrement à l’intérieur de l’appareil, même en cas de violation des barrières de sécurité.

Logiciels et configurations

Les logiciels, la configuration et la gestion des HSM doivent satisfaire les exigences de sécurité logiques suivantes :

• la résistance face aux séquences de commande ou aux modes d’exploitation inattendus ;
• une gestion sécurisée des micrologiciels ;
• une authentification robuste avant d’exécuter les services sensibles ;
• la gestion sécurisée des clés et la séparation des clés pour empêcher les abus d’utilisation et éliminer l’exposition des données sensibles et des codes PIN en clair ;
• une piste d’audit sécurisée.

Chaîne d’approvisionnement

Le fournisseur de HSM doit fournir des preuves à l’équipe d’évaluation PCI HSM que des processus efficaces sont mis en place pour garantir que le HSM est protégé à tout moment, de la fabrication à l’emballage et à la livraison à l’utilisateur final.