Comment Cyber Crucible prend-il en charge la norme PCI-DSS pour le commerce de détail et l'hôtellerie ?
Réponse courte : Cyber Crucible ne traite, ne stocke ni ne transmet de données de titulaires de carte ; il est donc hors périmètre en tant que processeur de données de carte — tout en soutenant les objectifs de contrôle PCI-DSS du commerçant, en particulier l'exigence de protection des systèmes contre les logiciels malveillants. Il réduit, plutôt qu'il n'élargit, le périmètre PCI.
Comment cela soutient les objectifs PCI-DSS
- Protection contre les logiciels malveillants (Exigence 5). La prévention autonome, au niveau du noyau, arrête les rançongiciels et les attaques en mémoire sur les systèmes de l'environnement des données de titulaires de carte.
- Aucune donnée de titulaire de carte collectée. L'agent surveille le comportement des processus et n'ingère jamais de données de carte, même sur les hôtes traitant des cartes, de sorte qu'il n'élargit pas le périmètre d'évaluation.
- Continuité. Seuls les processus malveillants sont suspendus, de sorte que les systèmes de point de vente et de paiement continuent de fonctionner.
Remarques relatives au choix du fournisseur
La conformité PCI-DSS relève du commerçant et de son évaluateur ; Cyber Crucible est un contrôle de soutien, et non un service validé par un QSA. Il ne détient aucune certification PCI-DSS et n'en revendique aucune.