Audit et reporting de conformité PCI-DSS

Segment : Secteur des Cartes de Paiement

Les normes PCI DSS s'appliquent à toute entité qui stocke, traite ou transmet des données liées aux titulaires de cartes. Elles couvrent à la fois les aspects techniques et opérationnels des systèmes impliqués dans le traitement des données des titulaires de cartes ou connectés à ces systèmes. Si votre entreprise accepte ou traite des paiements par carte, elle est tenue de se conformer aux normes PCI DSS.

Se conformer à la norme PCI DSS offre des avantages significatifs, quelle que soit la taille de votre entreprise. Voici pourquoi :

La conformité à la norme PCI DSS garantit que vos systèmes sont sécurisés, renforçant la confiance des clients quant à la protection de leurs informations sensibles liées aux cartes de paiement.
Elle améliore votre réputation auprès des acquéreurs et des marques de paiement.
La surveillance continue aide à prévenir les failles de sécurité et à protéger les données des cartes de paiement contre le vol.

Remarque : Cliquez sur les numéros de section dans le tableau ci-dessous pour consulter les différents rapports d’audit ADAudit Plus qui vous aideront à répondre à une clause spécifique.

Numéro de section	Description	Reports
7.1 / 7.2	Restreindre l’accès aux données des titulaires de cartes en fonction du principe du « besoin de savoir » spécifique à l’entreprise.	Rapport sur les tentatives réussies de connexion/déconnexion utilisateur Rapports sur les tentatives de connexion Rapports sur les modifications de la stratégie d'audit
8.3	Incorporer l'authentification à deux facteurs pour l'accès à distance (accès au niveau du réseau à partir de l'extérieur du réseau) au réseau par les employés, les administrateurs et les tiers. (Par exemple, le service d'authentification et de numérotation à distance (RADIUS) avec jetons, le TACACS (Terminal Access Controller Access-Control System) avec jetons ou d'autres technologies qui facilitent l'authentification à deux facteurs).	Activité de connexion RADIUS Activité de connexion RDP
10.1 / 10.2.2	Établir un processus permettant de lier chaque accès aux composants du système (notamment les accès avec des privilèges administratifs tels que root) à un utilisateur individuel. Toutes les actions entreprises par un utilisateur disposant de privilèges d'administrateur ou root.	Modifications effectuées par les utilisateurs administratifs privilégiés
10.2.7	La création et la suppression d’objets au niveau du système.	Accès aux fichiers Création et suppression de fichiers
10.2.4 / 10.2.5	Les tentatives d’accès logique non valides. L’utilisation de mécanismes d’identification et d’authentification.	Échec de l'authentification de la connexion Authentification sur DC
10.2.1 / 10.2.3	Tous les accès individuels aux données des titulaires de cartes. L’accès à toutes les pistes d’audit.	Toutes les modifications de la stratégie du domaine local Audit des connexions locales
10.2.6	L’initialisation des journaux d’audit.	Journal d'audit effacé
10.5.1 / 10.5.2	Limiter la visualisation des pistes d’audit aux seules personnes ayant besoin d’y accéder dans le cadre de leur travail. Protéger les fichiers des pistes d’audit contre toute modification non autorisée	Rapport sur les tentatives réussies de connexion/déconnexion utilisateur Rapports sur les tentatives de connexion Rapports sur les modifications de la stratégie d'audit Afficher les autorisations pour un fichier/dossier particulier : Rapport sur les modifications des autorisations Fichier créé / modifié / supprimé

Real-Time Audit Reports from ADAudit Plus

A broader look at various audit reports in ADAudit Plus, which satisfy the requirements under a particular category. The reports ensure thorough monitoring and reporting / alerting, besides custom reporting and profile-based reporting.

Sample Real-Time Compliance Audit Reports

Dashboard View

Audit Reports

Compliance Reports

File Audit Reports

7.1 / 7.2

Rapport sur les tentatives réussies de connexion/déconnexion utilisateur | Rapports sur les tentatives de connexion | Rapports sur les modifications de la stratégie d'audit

Modification de la stratégie de domaine

Modifications des paramètres de la stratégie de groupe | Modifications de la configuration des ordinateurs | Modifications de la configuration des utilisateurs | Modifications de la stratégie des mots de passe | Modifications de la stratégie de verrouillage des comptes | Modifications des paramètres de sécurité | Modifications des modèles administratifs | Modifications de l'attribution des droits d'utilisateur | Modifications des paramètres Windows | Modifications des autorisations de la stratégie de groupe | Modifications des préférences de la stratégie de groupe | Historique des paramètres de la stratégie de groupe | Modifications des attributs étendus

Modifications de la stratégie locale (Rapports d’audit des serveurs)

∧

8.3

Activité de connexion RADIUS | Activité de connexion RDP

∧

10.1 / 10.2.2

Modifications effectuées par les utilisateurs administratifs privilégiés

∧

10.2.7

Accès aux fichiers | Création de fichiers | Suppression de fichiers

∧

10.2.4 / 10.2.5

Échec de l'authentification de la connexion | Authentification sur DC

∧

10.2.1 / 10.2.3

Modifications de la stratégie de domaine

Modifications de la stratégie locale (Rapports d’audit des serveurs)

Audit des connexions locales

∧

10.2.6

Journal d'audit effacé [Modifications de la stratégie locale (Rapports d’audit des serveurs)]

∧

10.5.1 / 10.5.2

Afficher les autorisations pour un fichier/dossier particulier

Exemples d'Autres Rapports de Conformité en Temps Réel Préconfigurés

Rapports de conformité SOX

Rapports de Conformité HIPAA

Rapports de Conformité GLBA

Rapports de Conformité FISMA

ADAudit Plus nous a aidés à répondre à certaines exigences de conformité SOX et PCI. Nous apprécions particulièrement les rapports mensuels automatisés pour SOX, la simplicité d’utilisation, la mise en œuvre rapide, ainsi que le coût très compétitif de la solution.

Jeffrey O'Donnell
Directeur IT,
Uncle Bob’s Self Storage
Nous avons opté pour ADAudit Plus de ManageEngine principalement pour nos rapports d’audit SOX. L’outil, avec ses résultats faciles à comprendre, est très intéressant. De plus, son prix compétitif a grandement attiré notre attention.

Andreas Ederer
Cosma International
Nous sommes un fournisseur de soins de santé d’urgence. ADAudit Plus nous aide à gérer les risques grâce à de bonnes pratiques en gestion des risques et à garantir notre conformité à la loi HIPAA. Fonctionnant 24/7/365 comme notre organisation, il s’est avéré être un choix idéal.

JT Mason
Directeur IT
California Transplant Donor Network (CTDN)
Nous avons évalué plusieurs logiciels, mais ADAudit Plus s’est démarqué. Extrêmement facile à déployer, il s’est révélé être une solution rentable qui nous a permis de réussir plusieurs audits de sécurité industriels, un test d’audit PEN approfondi, et de respecter les directives de sécurité HIPAA.

Renee Davis
DSI
Life Management Center
En tant qu’organisation à but non lucratif, nous devions satisfaire aux exigences HIPAA. ADAudit Plus nous a permis d’identifier les modifications effectuées dans notre AD et les utilisateurs responsables de ces changements.

CMenendez
Responsable des Opérations Réseau
Kendal
ADAudit Plus était la solution la plus simple et pertinente parmi celles que nous avons testées. Il nous permet de surveiller les échecs de connexion des utilisateurs, de gérer le nettoyage des comptes, de détecter les activités malveillantes et de répondre aux exigences de conformité PCI-DSS.

Bernie Camus
Responsable IT
Iglu.com