Partager via

Exigence 2 de la norme PCI-DSS et Microsoft Entra ID

  • Article

Exigence 2 : appliquer des configurations sécurisées à tous les composants système
Exigences d’approche définies

2.1 Des processus et mécanismes destinés à appliquer des configurations sécurisées à tous les composants système sont définis et compris.

Exigences d’approche définies par la norme PCI-DSS Aide et recommandations relatives à Microsoft Entra
2.1.1 L’ensemble des stratégies de sécurité et procédures opérationnelles identifiées dans la condition requise 2 sont les suivantes :
Documentées
Tenues à jour
En place
Connues de toutes les parties concernées		 Utilisez les conseils et les liens ci-dessous pour produire la documentation et répondre aux exigences en fonction de la configuration de votre environnement.
2.1.2 Les rôles et responsabilités liés à l’exécution des activités mentionnées dans l’Exigence 2 sont documentés, attribués et compris. Utilisez les conseils et les liens ci-dessous pour produire la documentation et répondre aux exigences en fonction de la configuration de votre environnement.

2.2 Les composants système sont configurés et gérés de manière sécurisée.

Exigences d’approche définies par la norme PCI-DSS Aide et recommandations relatives à Microsoft Entra
2.2.1 Des normes de configuration sont développées, implémentées et gérées pour :
couvrir tous les composants du système.
corriger toutes les vulnérabilités de sécurité connues.
être cohérentes avec des normes de renforcement du système acceptées par le secteur d’activité ou des recommandations de renforcement des fournisseurs.
être mises à jour à mesure que de nouveaux problèmes de vulnérabilité sont identifiés, comme défini dans l’Exigence 6.3.1.
être appliquées lorsque de nouveaux systèmes sont configurés et vérifiés comme en place avant ou immédiatement après la connexion d’un composant système à un environnement de production.		 Voir le guide des opérations de sécurité Microsoft Entra
2.2.2 Les comptes par défaut du fournisseur sont gérés comme suit :
si le ou les comptes par défaut du fournisseur sont utilisés, le mot de passe par défaut est modifié conformément à l’Exigence 8.3.6.
Si le ou les comptes par défaut du fournisseur ne sont pas utilisés, le compte est supprimé ou désactivé.		 Non applicable à Microsoft Entra ID.
2.2.3 Les fonctions principales nécessitant différents niveaux de sécurité sont gérées comme suit :
une seule fonction principale existe sur un composant système,
OU
des fonctions principales avec différents niveaux de sécurité existant sur le même composant système sont isolées les unes des autres,
OU
des fonctions principales avec différents niveaux de sécurité sur le même composant système sont toutes sécurisées au niveau requis par la fonction avec le besoin de sécurité le plus élevé.		 Découvrez comment déterminer les rôles les moins privilégiés. Rôles les moins privilégiés par tâche dans Microsoft Entra ID
2.2.4 Seuls les services, protocoles, démons et fonctions nécessaires sont activés et toutes les fonctionnalités inutiles sont supprimées ou désactivées. Passez en revue les paramètres de Microsoft Entra et désactivez les fonctionnalités inutilisées. Cinq étapes pour sécuriser votre infrastructure d’identité
Guide des opérations de sécurité Microsoft Entra
2.2.5 Si des services, protocoles ou démons non sécurisés sont présents :
la justification métier est documentée.
Des fonctionnalités de sécurité supplémentaires sont documentées et implémentées, lesquelles réduisent le risque d’utilisation de services, de protocoles ou de démons non sécurisés.		 Passez en revue les paramètres de Microsoft Entra et désactivez les fonctionnalités inutilisées. Cinq étapes pour sécuriser votre infrastructure d’identité
Guide des opérations de sécurité Microsoft Entra
2.2.6 Configurez des paramètres de sécurité système pour empêcher toute utilisation malveillante. Passez en revue les paramètres de Microsoft Entra et désactivez les fonctionnalités inutilisées. Cinq étapes pour sécuriser votre infrastructure d’identité
Guide des opérations de sécurité Microsoft Entra
2.2.7 Chiffrez tous les accès administratifs non-console en utilisant un chiffrement fort. Les interfaces Microsoft Entra ID, telles que le portail de gestion, Microsoft Graph et PowerShell, sont chiffrées en transit avec le protocole TLS. Activer la prise en charge de TLS 1.2 dans votre environnement en vue de la dépréciation de TLS 1.1 et 1.0 dans Microsoft Entra

2.3 Des environnements sans fil sont configurés et gérés de manière sécurisée.

Exigences d’approche définies par la norme PCI-DSS Aide et recommandations relatives à Microsoft Entra
2.3.1 Pour les environnements sans fil connectés au CDE ou transmettant des données de compte, toutes les valeurs par défaut sans fil du fournisseur sont modifiées lors de l’installation ou sont confirmées comme étant sécurisées
, y compris, mais sans s’y limiter :
clés de chiffrement sans fil par défaut
Mots de passe sur des points d’accès sans fil
Toutes les autres valeurs par défaut sans fil du fournisseur liées à la sécurité		 Si votre organisation intègre des points d’accès réseau à Microsoft Entra ID pour l’authentification, consultez Exigence 1 : installer et gérer des contrôles de sécurité réseau.
2.3.2 Pour des environnements sans fil connectés au CDE ou transmettant des données de compte, les clés de chiffrement sans fil sont modifiées comme suit :
chaque fois que du personnel ayant connaissance de la clé quitte l’entreprise ou le rôle pour lequel les connaissances étaient nécessaires.
chaque fois qu’une clé est suspecte ou connue comme étant compromise.		 Non applicable à Microsoft Entra ID.

Étapes suivantes

Les exigences 3, 4, 9 et 12 de la norme PCI-DSS ne s’appliquent pas à Microsoft Entra ID. Par conséquent, il n’existe aucun article correspondant. Pour consulter toutes les exigences, rendez-vous sur le site pcisecuritystandards.org : Site officiel du Conseil des normes de sécurité PCI.

Pour configurer Microsoft Entra ID pour qu'il soit conforme à PCI-DSS, consultez les articles suivants.