Détails de l’initiative intégrée Conformité réglementaire PCI DSS v4.0
L’article suivant explique en détail comment la définition de l’initiative intégrée Conformité réglementaire Azure Policy est mappée aux domaines de conformité et aux contrôles dans PCI DSS v4.0. Pour plus d’informations sur ce standard de conformité, consultez PCI DSS v4.0. Pour comprendre la propriété, consultez Définition de stratégie Azure Policy et Responsabilité partagée dans le cloud.
Les mappages suivants concernent les contrôles PCI-DSS v4.0. De nombreux contrôles sont mis en œuvre avec la définition d’une initiative Azure Policy. Pour examiner la définition d’initiative complète, ouvrez Stratégie dans le Portail Azure et sélectionnez la page Définitions. Ensuite, recherchez et sélectionnez la définition de l’initiative intégrée Conformité réglementaire PCI DSS v4.
Important
Chaque contrôle ci-dessous est associé à une ou plusieurs définitions Azure Policy. Ces stratégies peuvent vous aider à évaluer la conformité avec le contrôle ; toutefois, il n’existe pas souvent de correspondance un-à-un ou parfaite entre un contrôle et une ou plusieurs stratégies. Ainsi, la conformité dans Azure Policy fait uniquement référence aux définitions de stratégie elles-mêmes ; cela ne garantit pas que vous êtes entièrement conforme à toutes les exigences d’un contrôle. En outre, la norme de conformité comprend des contrôles qui ne sont traités par aucune définition Azure Policy pour l’instant. Par conséquent, la conformité dans Azure Policy n’est qu’une vue partielle de l’état de conformité global. Les associations entre les domaines de conformité, les contrôles et les définitions Azure Policy pour cette norme de conformité peuvent changer au fil du temps. Pour afficher l’historique des changements, consultez l’historique des validations GitHub.
Exigence 01 : Installer et gérer les contrôles de sécurité réseau
Des processus et mécanismes destinés à installer et gérer des contrôles de sécurité réseau sont définis et compris
ID : PCI DSS v4.0 1.1.1 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Passer en revue et mettre à jour les stratégies et les procédures de gestion des configurations | CMA_C1175 - Passer en revue et mettre à jour les stratégies et les procédures de gestion des configurations | Manuel, désactivé | 1.1.0 |
| Examiner et mettre à jour les stratégies et procédures de protection du système et des communications | CMA_C1616 - Examiner et mettre à jour les stratégies et procédures de protection du système et des communications | Manuel, désactivé | 1.1.0 |
Les contrôles de sécurité réseau (NSC) sont configurés et gérés
ID : PCI DSS v4.0 1.2.1 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Configurer des actions pour les appareils non conformes | CMA_0062 – Configurer des actions pour les appareils non conformes | Manuel, désactivé | 1.1.0 |
| Développer et tenir à jour les configurations de base | CMA_0153 – Développer et tenir à jour les configurations de base | Manuel, désactivé | 1.1.0 |
| Appliquer les paramètres de configuration de sécurité | CMA_0249 – Appliquer les paramètres de configuration de sécurité | Manuel, désactivé | 1.1.0 |
| Établir un panneau de configuration | CMA_0254 – Établir un panneau de configuration | Manuel, désactivé | 1.1.0 |
| Établir et documenter un plan de gestion de la configuration | CMA_0264 – Établir et documenter un plan de gestion de la configuration | Manuel, désactivé | 1.1.0 |
| Implémenter un outil de gestion de la configuration automatisée | CMA_0311 – Implémenter un outil de gestion de la configuration automatisée | Manuel, désactivé | 1.1.0 |
Les contrôles de sécurité réseau (NSC) sont configurés et gérés
ID : PCI DSS v4.0 1.2.2 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Effectuer une analyse d’impact sur la sécurité | CMA_0057 - Effectuer une analyse d’impact sur la sécurité | Manuel, désactivé | 1.1.0 |
| Développer et gérer un standard de gestion des vulnérabilités | CMA_0152 - Développer et gérer un standard de gestion des vulnérabilités | Manuel, désactivé | 1.1.0 |
| Établir une stratégie de gestion des risques | CMA_0258 - Établir une stratégie de gestion des risques | Manuel, désactivé | 1.1.0 |
| Établir et documenter les processus de contrôle des modifications | CMA_0265 – Établir et documenter les processus de contrôle des modifications | Manuel, désactivé | 1.1.0 |
| Établir des exigences de gestion de configuration pour les développeurs | CMA_0270 - Établir des exigences de gestion de configuration pour les développeurs | Manuel, désactivé | 1.1.0 |
| Effectuer une évaluation de l’impact sur la confidentialité | CMA_0387 - Effectuer une évaluation de l’impact sur la confidentialité | Manuel, désactivé | 1.1.0 |
| Effectuer une évaluation des risques | CMA_0388 - Effectuer une évaluation des risques | Manuel, désactivé | 1.1.0 |
| Effectuer un audit pour le contrôle des modifications de configuration | CMA_0390 - Effectuer un audit pour le contrôle des modifications de configuration | Manuel, désactivé | 1.1.0 |
Les contrôles de sécurité réseau (NSC) sont configurés et gérés
ID : PCI DSS v4.0 1.2.3 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Vérifier la conformité de la confidentialité et de la sécurité avant d’établir des connexions internes | CMA_0053 - Vérifier la conformité de la confidentialité et de la sécurité avant d’établir des connexions internes | Manuel, désactivé | 1.1.0 |
Les contrôles de sécurité réseau (NSC) sont configurés et gérés
ID : PCI DSS v4.0 1.2.4 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Conserver les enregistrements de traitement des données personnelles | CMA_0353 - Conserver les enregistrements de traitement des données personnelles | Manuel, désactivé | 1.1.0 |
Les contrôles de sécurité réseau (NSC) sont configurés et gérés
ID : PCI DSS v4.0 1.2.5 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Identifier les fournisseurs de services externes | CMA_C1591 - Identifier les fournisseurs de services externes | Manuel, désactivé | 1.1.0 |
| Exiger du développeur qu’il identifie les ports, protocoles et services SDLC | CMA_C1578 – Exiger du développeur qu’il identifie les ports, protocoles et services SDLC | Manuel, désactivé | 1.1.0 |
Les contrôles de sécurité réseau (NSC) sont configurés et gérés
ID : PCI DSS v4.0 1.2.8 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Appliquer et auditer les restrictions d’accès | CMA_C1203 - Appliquer et auditer les restrictions d’accès | Manuel, désactivé | 1.1.0 |
| Établir et documenter les processus de contrôle des modifications | CMA_0265 – Établir et documenter les processus de contrôle des modifications | Manuel, désactivé | 1.1.0 |
| Passer en revue les modifications non autorisées | CMA_C1204 - Passer en revue les modifications non autorisées | Manuel, désactivé | 1.1.0 |
L’accès réseau vers et à partir de l’environnement de données de titulaires de carte est restreint
ID : PCI DSS v4.0 1.3.2 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Tous les ports réseau doivent être restreints sur les groupes de sécurité réseau associés à votre machine virtuelle | Azure Security Center a identifié qu’une partie des règles de trafic entrant de vos groupes de sécurité réseau est trop permissive. Les règles de trafic entrant ne doivent pas autoriser l’accès à partir des plages « Tout » ou « Internet ». Cela peut permettre aux attaquants de cibler vos ressources. | AuditIfNotExists, Désactivé | 3.0.0 |
| Les comptes de stockage doivent limiter l’accès réseau | L’accès réseau aux comptes de stockage doit être limité. Configurez les règles du réseau de telle manière que seules les applications des réseaux autorisés puissent accéder au compte de stockage. Pour autoriser les connexions de clients Internet ou locaux spécifiques, l’accès au trafic peut être autorisé à partir de réseaux virtuels Azure spécifiques ou vers des plages d’adresses IP Internet publiques. | Audit, Refuser, Désactivé | 1.1.1 |
L’accès réseau vers et à partir de l’environnement de données de titulaires de carte est restreint
ID : PCI DSS v4.0 1.3.3 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Documenter et implémenter les instructions d’accès sans fil | CMA_0190 - Documenter et implémenter les instructions d’accès sans fil | Manuel, désactivé | 1.1.0 |
| Protéger l’accès sans fil | CMA_0411 - Protéger l’accès sans fil | Manuel, désactivé | 1.1.0 |
Les connexions réseau entre les réseaux approuvés et non approuvés sont contrôlées
ID : PCI DSS v4.0 1.4.1 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Flux d’informations de contrôle | CMA_0079 – Flux d’informations de contrôle | Manuel, désactivé | 1.1.0 |
| Utiliser des mécanismes de contrôle de flux d’informations chiffrées | CMA_0211 – Utiliser des mécanismes de contrôle de flux d’informations chiffrées | Manuel, désactivé | 1.1.0 |
| Implémenter une interface managée pour chaque service externe | CMA_C1626 - Implémenter une interface managée pour chaque service externe | Manuel, désactivé | 1.1.0 |
| Implémenter la protection des limites des systèmes | CMA_0328 - Implémenter la protection des limites des systèmes | Manuel, désactivé | 1.1.0 |
| Sécuriser l’interface pour les systèmes externes | CMA_0491 - Sécuriser l’interface pour les systèmes externes | Manuel, désactivé | 1.1.0 |
Les connexions réseau entre les réseaux approuvés et non approuvés sont contrôlées
ID : PCI DSS v4.0 1.4.2 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Tous les ports réseau doivent être restreints sur les groupes de sécurité réseau associés à votre machine virtuelle | Azure Security Center a identifié qu’une partie des règles de trafic entrant de vos groupes de sécurité réseau est trop permissive. Les règles de trafic entrant ne doivent pas autoriser l’accès à partir des plages « Tout » ou « Internet ». Cela peut permettre aux attaquants de cibler vos ressources. | AuditIfNotExists, Désactivé | 3.0.0 |
| Flux d’informations de contrôle | CMA_0079 – Flux d’informations de contrôle | Manuel, désactivé | 1.1.0 |
| Utiliser des mécanismes de contrôle de flux d’informations chiffrées | CMA_0211 – Utiliser des mécanismes de contrôle de flux d’informations chiffrées | Manuel, désactivé | 1.1.0 |
| Implémenter une interface managée pour chaque service externe | CMA_C1626 - Implémenter une interface managée pour chaque service externe | Manuel, désactivé | 1.1.0 |
| Implémenter la protection des limites des systèmes | CMA_0328 - Implémenter la protection des limites des systèmes | Manuel, désactivé | 1.1.0 |
| Sécuriser l’interface pour les systèmes externes | CMA_0491 - Sécuriser l’interface pour les systèmes externes | Manuel, désactivé | 1.1.0 |
| Les comptes de stockage doivent limiter l’accès réseau | L’accès réseau aux comptes de stockage doit être limité. Configurez les règles du réseau de telle manière que seules les applications des réseaux autorisés puissent accéder au compte de stockage. Pour autoriser les connexions de clients Internet ou locaux spécifiques, l’accès au trafic peut être autorisé à partir de réseaux virtuels Azure spécifiques ou vers des plages d’adresses IP Internet publiques. | Audit, Refuser, Désactivé | 1.1.1 |
Les connexions réseau entre les réseaux approuvés et non approuvés sont contrôlées
ID : PCI DSS v4.0 1.4.3 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Flux d’informations de contrôle | CMA_0079 – Flux d’informations de contrôle | Manuel, désactivé | 1.1.0 |
| Utiliser des mécanismes de contrôle de flux d’informations chiffrées | CMA_0211 – Utiliser des mécanismes de contrôle de flux d’informations chiffrées | Manuel, désactivé | 1.1.0 |
Les connexions réseau entre les réseaux approuvés et non approuvés sont contrôlées
ID : PCI DSS v4.0 1.4.4 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Flux d’informations de contrôle | CMA_0079 – Flux d’informations de contrôle | Manuel, désactivé | 1.1.0 |
| Utiliser des mécanismes de contrôle de flux d’informations chiffrées | CMA_0211 – Utiliser des mécanismes de contrôle de flux d’informations chiffrées | Manuel, désactivé | 1.1.0 |
Les risques pour l’environnement de données de titulaires de carte (CDE) liés aux appareils informatiques pouvant se connecter à la fois à des réseaux non approuvés et au CDE sont atténués
ID : PCI DSS v4.0 1.5.1 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Autoriser l’accès à distance | CMA_0024 – Autoriser l’accès à distance | Manuel, désactivé | 1.1.0 |
| Formation sur la mobilité des documents | CMA_0191 – Formation sur la mobilité des documents | Manuel, désactivé | 1.1.0 |
| Documentation des instructions d’accès à distance | CMA_0196 – Documentation des instructions d’accès à distance | Manuel, désactivé | 1.1.0 |
| Implémenter des contrôles pour sécuriser d’autres sites de travail | CMA_0315 – Implémenter des contrôles pour sécuriser d’autres sites de travail | Manuel, désactivé | 1.1.0 |
| Fournir une formation sur la confidentialité | CMA_0415 – Fournir une formation sur la confidentialité | Manuel, désactivé | 1.1.0 |
Exigence 10 : Enregistrer et surveiller tous les accès aux composants système et aux données de titulaires de carte
Des processus et mécanismes destinés à journaliser et surveiller tous les accès aux composants système et aux données de titulaires de carte sont définis et documentés
ID : PCI DSS v4.0 10.1.1 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Développer des stratégies et des procédures d’audit et de responsabilité | CMA_0154 - Développer des stratégies et des procédures d’audit et de responsabilité | Manuel, désactivé | 1.1.0 |
| Développer des stratégies et des procédures de sécurité des informations | CMA_0158 -Développer des stratégies et des procédures de sécurité des informations | Manuel, désactivé | 1.1.0 |
| Gouverner les stratégies et les procédures | CMA_0292 - Gouverner les stratégies et les procédures | Manuel, désactivé | 1.1.0 |
| Mettre à jour les stratégies de sécurité des informations | CMA_0518 - Mettre à jour les stratégies de sécurité des informations | Manuel, désactivé | 1.1.0 |
Les journaux d’audit sont implémentés pour faciliter la détection d’anomalies et d’activités suspectes ainsi que l’analyse d’investigation des événements
ID : PCI DSS v4.0 10.2.1 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Auditer les fonctions privilégiées | CMA_0019 – Auditer les fonctions privilégiées | Manuel, désactivé | 1.1.0 |
| Auditer l’état du compte d’utilisateur | CMA_0020 – Auditer l’état du compte d’utilisateur | Manuel, désactivé | 1.1.0 |
| Déterminer les événements auditables | CMA_0137 – Déterminer les événements auditables | Manuel, désactivé | 1.1.0 |
| Vérifier les journaux d'audit | CMA_0466 – Examiner les données d’audit | Manuel, désactivé | 1.1.0 |
Les journaux d’audit sont implémentés pour faciliter la détection d’anomalies et d’activités suspectes ainsi que l’analyse d’investigation des événements
ID : PCI DSS v4.0 10.2.1.1 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Déterminer les événements auditables | CMA_0137 – Déterminer les événements auditables | Manuel, désactivé | 1.1.0 |
Les journaux d’audit sont implémentés pour faciliter la détection d’anomalies et d’activités suspectes ainsi que l’analyse d’investigation des événements
ID : PCI DSS v4.0 10.2.1.2 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Auditer les fonctions privilégiées | CMA_0019 – Auditer les fonctions privilégiées | Manuel, désactivé | 1.1.0 |
| Effectuer une analyse de texte intégral des commandes privilégiées journalisées | CMA_0056 - Effectuer une analyse de texte intégral des commandes privilégiées journalisées | Manuel, désactivé | 1.1.0 |
| Surveiller l’activité des comptes | CMA_0377 - Surveiller l’activité des comptes | Manuel, désactivé | 1.1.0 |
| Surveiller l’attribution de rôle privilégié | CMA_0378 – Surveiller l’attribution de rôle privilégié | Manuel, désactivé | 1.1.0 |
| Restreindre l’accès aux comptes privilégiés | CMA_0446 – Restreindre l’accès aux comptes privilégiés | Manuel, désactivé | 1.1.0 |
| Révoquer les rôles privilégiés selon les besoins | CMA_0483 – Révoquer les rôles privilégiés selon les besoins | Manuel, désactivé | 1.1.0 |
| Utiliser Privileged Identity Management | CMA_0533 – Utiliser la gestion des identités privilégiées | Manuel, désactivé | 1.1.0 |
Les journaux d’audit sont implémentés pour faciliter la détection d’anomalies et d’activités suspectes ainsi que l’analyse d’investigation des événements
ID : PCI DSS v4.0 10.2.1.3 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Auditer les fonctions privilégiées | CMA_0019 – Auditer les fonctions privilégiées | Manuel, désactivé | 1.1.0 |
| Effectuer une analyse de texte intégral des commandes privilégiées journalisées | CMA_0056 - Effectuer une analyse de texte intégral des commandes privilégiées journalisées | Manuel, désactivé | 1.1.0 |
| Déterminer les événements auditables | CMA_0137 – Déterminer les événements auditables | Manuel, désactivé | 1.1.0 |
| Surveiller l’activité des comptes | CMA_0377 - Surveiller l’activité des comptes | Manuel, désactivé | 1.1.0 |
| Surveiller l’attribution de rôle privilégié | CMA_0378 – Surveiller l’attribution de rôle privilégié | Manuel, désactivé | 1.1.0 |
| Restreindre l’accès aux comptes privilégiés | CMA_0446 – Restreindre l’accès aux comptes privilégiés | Manuel, désactivé | 1.1.0 |
| Révoquer les rôles privilégiés selon les besoins | CMA_0483 – Révoquer les rôles privilégiés selon les besoins | Manuel, désactivé | 1.1.0 |
| Utiliser Privileged Identity Management | CMA_0533 – Utiliser la gestion des identités privilégiées | Manuel, désactivé | 1.1.0 |
Les journaux d’audit sont implémentés pour faciliter la détection d’anomalies et d’activités suspectes ainsi que l’analyse d’investigation des événements
ID : PCI DSS v4.0 10.2.1.4 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Déterminer les événements auditables | CMA_0137 – Déterminer les événements auditables | Manuel, désactivé | 1.1.0 |
Les journaux d’audit sont implémentés pour faciliter la détection d’anomalies et d’activités suspectes ainsi que l’analyse d’investigation des événements
ID : PCI DSS v4.0 10.2.1.5 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Auditer les fonctions privilégiées | CMA_0019 – Auditer les fonctions privilégiées | Manuel, désactivé | 1.1.0 |
| Auditer l’état du compte d’utilisateur | CMA_0020 – Auditer l’état du compte d’utilisateur | Manuel, désactivé | 1.1.0 |
| Automatiser la gestion des comptes | CMA_0026 – Automatiser la gestion des comptes | Manuel, désactivé | 1.1.0 |
| Effectuer une analyse de texte intégral des commandes privilégiées journalisées | CMA_0056 - Effectuer une analyse de texte intégral des commandes privilégiées journalisées | Manuel, désactivé | 1.1.0 |
| Déterminer les événements auditables | CMA_0137 – Déterminer les événements auditables | Manuel, désactivé | 1.1.0 |
| Gérer les comptes système et d’administration | CMA_0368 – Gérer les comptes système et d’administration | Manuel, désactivé | 1.1.0 |
| Surveiller l’accès au sein de l’organisation | CMA_0376 – Surveiller l’accès au sein de l’organisation | Manuel, désactivé | 1.1.0 |
| Surveiller l’activité des comptes | CMA_0377 - Surveiller l’activité des comptes | Manuel, désactivé | 1.1.0 |
| Surveiller l’attribution de rôle privilégié | CMA_0378 – Surveiller l’attribution de rôle privilégié | Manuel, désactivé | 1.1.0 |
| Avertir lorsque le compte n’est pas nécessaire | CMA_0383 – Avertir lorsque le compte n’est pas nécessaire | Manuel, désactivé | 1.1.0 |
| Restreindre l’accès aux comptes privilégiés | CMA_0446 – Restreindre l’accès aux comptes privilégiés | Manuel, désactivé | 1.1.0 |
| Révoquer les rôles privilégiés selon les besoins | CMA_0483 – Révoquer les rôles privilégiés selon les besoins | Manuel, désactivé | 1.1.0 |
| Utiliser Privileged Identity Management | CMA_0533 – Utiliser la gestion des identités privilégiées | Manuel, désactivé | 1.1.0 |
Les journaux d’audit sont implémentés pour faciliter la détection d’anomalies et d’activités suspectes ainsi que l’analyse d’investigation des événements
ID : PCI DSS v4.0 10.2.1.6 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Auditer les fonctions privilégiées | CMA_0019 – Auditer les fonctions privilégiées | Manuel, désactivé | 1.1.0 |
| Effectuer une analyse de texte intégral des commandes privilégiées journalisées | CMA_0056 - Effectuer une analyse de texte intégral des commandes privilégiées journalisées | Manuel, désactivé | 1.1.0 |
| Déterminer les événements auditables | CMA_0137 – Déterminer les événements auditables | Manuel, désactivé | 1.1.0 |
| Surveiller l’activité des comptes | CMA_0377 - Surveiller l’activité des comptes | Manuel, désactivé | 1.1.0 |
| Surveiller l’attribution de rôle privilégié | CMA_0378 – Surveiller l’attribution de rôle privilégié | Manuel, désactivé | 1.1.0 |
| Restreindre l’accès aux comptes privilégiés | CMA_0446 – Restreindre l’accès aux comptes privilégiés | Manuel, désactivé | 1.1.0 |
| Révoquer les rôles privilégiés selon les besoins | CMA_0483 – Révoquer les rôles privilégiés selon les besoins | Manuel, désactivé | 1.1.0 |
| Utiliser Privileged Identity Management | CMA_0533 – Utiliser la gestion des identités privilégiées | Manuel, désactivé | 1.1.0 |
Les journaux d’audit sont implémentés pour faciliter la détection d’anomalies et d’activités suspectes ainsi que l’analyse d’investigation des événements
ID : PCI DSS v4.0 10.2.1.7 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Déterminer les événements auditables | CMA_0137 – Déterminer les événements auditables | Manuel, désactivé | 1.1.0 |
Les journaux d’audit sont implémentés pour faciliter la détection d’anomalies et d’activités suspectes ainsi que l’analyse d’investigation des événements
ID : PCI DSS v4.0 10.2.2 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Auditez le paramètre de diagnostic pour les types de ressources sélectionnés | Auditez le paramètre de diagnostic pour les types de ressources sélectionnés. Assurez-vous que vous sélectionnez uniquement des types de ressources qui prennent en charge les paramètres de diagnostic. | AuditIfNotExists | 2.0.1 |
| L’audit sur SQL Server doit être activé | L’audit sur votre serveur SQL Server doit être activé pour suivre les activités de toutes les bases de données du serveur et les enregistrer dans un journal d’audit. | AuditIfNotExists, Désactivé | 2.0.0 |
| Déterminer les événements auditables | CMA_0137 – Déterminer les événements auditables | Manuel, désactivé | 1.1.0 |
| Les comptes de stockage doivent être migrés vers de nouvelles ressources Azure Resource Manager | Profitez des nouveautés d’Azure Resource Manager pour renforcer la sécurité de vos comptes de stockage : contrôle d’accès plus puissant, audit amélioré, déploiement et gouvernance basés sur Azure Resource Manager, accès aux identités managées, accès au coffre de clés pour les secrets, authentification basée sur Azure AD, prise en charge des étiquettes et des groupes de ressources pour faciliter la gestion de la sécurité, etc. | Audit, Refuser, Désactivé | 1.0.0 |
| Les machines virtuelles doivent être migrées vers de nouvelles ressources Azure Resource Manager | Utilisez le nouvel Azure Resource Manager pour renforcer la sécurité de vos machines virtuelles : contrôle d’accès en fonction du rôle (RBAC) renforcé, audit amélioré, déploiement et gouvernance basés sur Azure Resource Manager, accès aux identités managées, accès au coffre de clés pour les secrets, authentification basée sur Azure AD, et prise en charge des étiquettes et des groupes de ressources pour faciliter la gestion de la sécurité. | Audit, Refuser, Désactivé | 1.0.0 |
Les journaux d’audit sont protégés contre la destruction et les modifications non autorisées
ID : PCI DSS v4.0 10.3.1 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Activer l’autorisation double ou conjointe | CMA_0226 – Activer l’autorisation double ou conjointe | Manuel, désactivé | 1.1.0 |
| Protéger les informations d’audit | CMA_0401 – Protéger les informations d’audit | Manuel, désactivé | 1.1.0 |
Les journaux d’audit sont protégés contre la destruction et les modifications non autorisées
ID : PCI DSS v4.0 10.3.2 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Activer l’autorisation double ou conjointe | CMA_0226 – Activer l’autorisation double ou conjointe | Manuel, désactivé | 1.1.0 |
| Protéger les informations d’audit | CMA_0401 – Protéger les informations d’audit | Manuel, désactivé | 1.1.0 |
Les journaux d’audit sont protégés contre la destruction et les modifications non autorisées
ID : PCI DSS v4.0 10.3.3 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Auditez le paramètre de diagnostic pour les types de ressources sélectionnés | Auditez le paramètre de diagnostic pour les types de ressources sélectionnés. Assurez-vous que vous sélectionnez uniquement des types de ressources qui prennent en charge les paramètres de diagnostic. | AuditIfNotExists | 2.0.1 |
| L’audit sur SQL Server doit être activé | L’audit sur votre serveur SQL Server doit être activé pour suivre les activités de toutes les bases de données du serveur et les enregistrer dans un journal d’audit. | AuditIfNotExists, Désactivé | 2.0.0 |
| Établir des stratégies et des procédures de sauvegarde | CMA_0268 - Établir des stratégies et des procédures de sauvegarde | Manuel, désactivé | 1.1.0 |
| Les comptes de stockage doivent être migrés vers de nouvelles ressources Azure Resource Manager | Profitez des nouveautés d’Azure Resource Manager pour renforcer la sécurité de vos comptes de stockage : contrôle d’accès plus puissant, audit amélioré, déploiement et gouvernance basés sur Azure Resource Manager, accès aux identités managées, accès au coffre de clés pour les secrets, authentification basée sur Azure AD, prise en charge des étiquettes et des groupes de ressources pour faciliter la gestion de la sécurité, etc. | Audit, Refuser, Désactivé | 1.0.0 |
| Les machines virtuelles doivent être migrées vers de nouvelles ressources Azure Resource Manager | Utilisez le nouvel Azure Resource Manager pour renforcer la sécurité de vos machines virtuelles : contrôle d’accès en fonction du rôle (RBAC) renforcé, audit amélioré, déploiement et gouvernance basés sur Azure Resource Manager, accès aux identités managées, accès au coffre de clés pour les secrets, authentification basée sur Azure AD, et prise en charge des étiquettes et des groupes de ressources pour faciliter la gestion de la sécurité. | Audit, Refuser, Désactivé | 1.0.0 |
Les journaux d’audit sont protégés contre la destruction et les modifications non autorisées
ID : PCI DSS v4.0 10.3.4 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Activer l’autorisation double ou conjointe | CMA_0226 – Activer l’autorisation double ou conjointe | Manuel, désactivé | 1.1.0 |
| Protéger les informations d’audit | CMA_0401 – Protéger les informations d’audit | Manuel, désactivé | 1.1.0 |
Les journaux d’audit sont examinés pour identifier les anomalies ou les activités suspectes
ID : PCI DSS v4.0 10.4.1 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Mettre en corrélation les enregistrements d’audit | CMA_0087 - Mettre en corrélation les enregistrements d’audit | Manuel, désactivé | 1.1.0 |
| Établir des exigences pour la révision et la création de rapports d’audit | CMA_0277 - Établir des exigences pour la révision et la création de rapports d’audit | Manuel, désactivé | 1.1.0 |
| Intégrer la révision d’audit, l’analyse et la création de rapports | CMA_0339 - Intégrer la révision d’audit, l’analyse et la création de rapports | Manuel, désactivé | 1.1.0 |
| Intégrer la sécurité des applications cloud à un SIEM | CMA_0340 - Intégrer la sécurité des applications cloud à un SIEM | Manuel, désactivé | 1.1.0 |
| Examiner les journaux d’approvisionnement de compte | CMA_0460 – Examiner les journaux d’approvisionnement de compte | Manuel, désactivé | 1.1.0 |
| Passer en revue les affectations d’administrateurs toutes les semaines | CMA_0461 - Passer en revue les affectations d’administrateurs toutes les semaines | Manuel, désactivé | 1.1.0 |
| Vérifier les journaux d'audit | CMA_0466 – Examiner les données d’audit | Manuel, désactivé | 1.1.0 |
| Passer en revue la vue d’ensemble du rapport des identités cloud | CMA_0468 - Passer en revue la vue d’ensemble du rapport des identités cloud | Manuel, désactivé | 1.1.0 |
| Passer en revue les événements accès contrôlé aux dossiers | CMA_0471 - Passer en revue les événements d’accès contrôlé aux dossiers | Manuel, désactivé | 1.1.0 |
| Examiner l’activité des fichiers et des dossiers | CMA_0473 - Examiner l’activité des fichiers et des dossiers | Manuel, désactivé | 1.1.0 |
| Passer en revue les modifications apportées aux groupes de rôles chaque semaine | CMA_0476 - Passer en revue les modifications apportées aux groupes de rôles chaque semaine | Manuel, désactivé | 1.1.0 |
Les journaux d’audit sont examinés pour identifier les anomalies ou les activités suspectes
ID : PCI DSS v4.0 10.4.1.1 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Mettre en corrélation les enregistrements d’audit | CMA_0087 - Mettre en corrélation les enregistrements d’audit | Manuel, désactivé | 1.1.0 |
| Établir des exigences pour la révision et la création de rapports d’audit | CMA_0277 - Établir des exigences pour la révision et la création de rapports d’audit | Manuel, désactivé | 1.1.0 |
| Intégrer la révision d’audit, l’analyse et la création de rapports | CMA_0339 - Intégrer la révision d’audit, l’analyse et la création de rapports | Manuel, désactivé | 1.1.0 |
| Intégrer la sécurité des applications cloud à un SIEM | CMA_0340 - Intégrer la sécurité des applications cloud à un SIEM | Manuel, désactivé | 1.1.0 |
| Examiner les journaux d’approvisionnement de compte | CMA_0460 – Examiner les journaux d’approvisionnement de compte | Manuel, désactivé | 1.1.0 |
| Passer en revue les affectations d’administrateurs toutes les semaines | CMA_0461 - Passer en revue les affectations d’administrateurs toutes les semaines | Manuel, désactivé | 1.1.0 |
| Vérifier les journaux d'audit | CMA_0466 – Examiner les données d’audit | Manuel, désactivé | 1.1.0 |
| Passer en revue la vue d’ensemble du rapport des identités cloud | CMA_0468 - Passer en revue la vue d’ensemble du rapport des identités cloud | Manuel, désactivé | 1.1.0 |
| Passer en revue les événements accès contrôlé aux dossiers | CMA_0471 - Passer en revue les événements d’accès contrôlé aux dossiers | Manuel, désactivé | 1.1.0 |
| Examiner l’activité des fichiers et des dossiers | CMA_0473 - Examiner l’activité des fichiers et des dossiers | Manuel, désactivé | 1.1.0 |
| Passer en revue les modifications apportées aux groupes de rôles chaque semaine | CMA_0476 - Passer en revue les modifications apportées aux groupes de rôles chaque semaine | Manuel, désactivé | 1.1.0 |
Les journaux d’audit sont examinés pour identifier les anomalies ou les activités suspectes
ID : PCI DSS v4.0 10.4.2 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Mettre en corrélation les enregistrements d’audit | CMA_0087 - Mettre en corrélation les enregistrements d’audit | Manuel, désactivé | 1.1.0 |
| Établir des exigences pour la révision et la création de rapports d’audit | CMA_0277 - Établir des exigences pour la révision et la création de rapports d’audit | Manuel, désactivé | 1.1.0 |
| Intégrer la révision d’audit, l’analyse et la création de rapports | CMA_0339 - Intégrer la révision d’audit, l’analyse et la création de rapports | Manuel, désactivé | 1.1.0 |
| Intégrer la sécurité des applications cloud à un SIEM | CMA_0340 - Intégrer la sécurité des applications cloud à un SIEM | Manuel, désactivé | 1.1.0 |
| Examiner les journaux d’approvisionnement de compte | CMA_0460 – Examiner les journaux d’approvisionnement de compte | Manuel, désactivé | 1.1.0 |
| Passer en revue les affectations d’administrateurs toutes les semaines | CMA_0461 - Passer en revue les affectations d’administrateurs toutes les semaines | Manuel, désactivé | 1.1.0 |
| Vérifier les journaux d'audit | CMA_0466 – Examiner les données d’audit | Manuel, désactivé | 1.1.0 |
| Passer en revue la vue d’ensemble du rapport des identités cloud | CMA_0468 - Passer en revue la vue d’ensemble du rapport des identités cloud | Manuel, désactivé | 1.1.0 |
| Passer en revue les événements accès contrôlé aux dossiers | CMA_0471 - Passer en revue les événements d’accès contrôlé aux dossiers | Manuel, désactivé | 1.1.0 |
| Examiner l’activité des fichiers et des dossiers | CMA_0473 - Examiner l’activité des fichiers et des dossiers | Manuel, désactivé | 1.1.0 |
| Passer en revue les modifications apportées aux groupes de rôles chaque semaine | CMA_0476 - Passer en revue les modifications apportées aux groupes de rôles chaque semaine | Manuel, désactivé | 1.1.0 |
Les journaux d’audit sont examinés pour identifier les anomalies ou les activités suspectes
ID : PCI DSS v4.0 10.4.2.1 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Mettre en corrélation les enregistrements d’audit | CMA_0087 - Mettre en corrélation les enregistrements d’audit | Manuel, désactivé | 1.1.0 |
| Établir des exigences pour la révision et la création de rapports d’audit | CMA_0277 - Établir des exigences pour la révision et la création de rapports d’audit | Manuel, désactivé | 1.1.0 |
| Intégrer la révision d’audit, l’analyse et la création de rapports | CMA_0339 - Intégrer la révision d’audit, l’analyse et la création de rapports | Manuel, désactivé | 1.1.0 |
| Intégrer la sécurité des applications cloud à un SIEM | CMA_0340 - Intégrer la sécurité des applications cloud à un SIEM | Manuel, désactivé | 1.1.0 |
| Examiner les journaux d’approvisionnement de compte | CMA_0460 – Examiner les journaux d’approvisionnement de compte | Manuel, désactivé | 1.1.0 |
| Passer en revue les affectations d’administrateurs toutes les semaines | CMA_0461 - Passer en revue les affectations d’administrateurs toutes les semaines | Manuel, désactivé | 1.1.0 |
| Vérifier les journaux d'audit | CMA_0466 – Examiner les données d’audit | Manuel, désactivé | 1.1.0 |
| Passer en revue la vue d’ensemble du rapport des identités cloud | CMA_0468 - Passer en revue la vue d’ensemble du rapport des identités cloud | Manuel, désactivé | 1.1.0 |
| Passer en revue les événements accès contrôlé aux dossiers | CMA_0471 - Passer en revue les événements d’accès contrôlé aux dossiers | Manuel, désactivé | 1.1.0 |
| Examiner l’activité des fichiers et des dossiers | CMA_0473 - Examiner l’activité des fichiers et des dossiers | Manuel, désactivé | 1.1.0 |
| Passer en revue les modifications apportées aux groupes de rôles chaque semaine | CMA_0476 - Passer en revue les modifications apportées aux groupes de rôles chaque semaine | Manuel, désactivé | 1.1.0 |
Les journaux d’audit sont examinés pour identifier les anomalies ou les activités suspectes
ID : PCI DSS v4.0 10.4.3 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Mettre en corrélation les enregistrements d’audit | CMA_0087 - Mettre en corrélation les enregistrements d’audit | Manuel, désactivé | 1.1.0 |
| Établir des exigences pour la révision et la création de rapports d’audit | CMA_0277 - Établir des exigences pour la révision et la création de rapports d’audit | Manuel, désactivé | 1.1.0 |
| Intégrer la révision d’audit, l’analyse et la création de rapports | CMA_0339 - Intégrer la révision d’audit, l’analyse et la création de rapports | Manuel, désactivé | 1.1.0 |
| Intégrer la sécurité des applications cloud à un SIEM | CMA_0340 - Intégrer la sécurité des applications cloud à un SIEM | Manuel, désactivé | 1.1.0 |
| Examiner les journaux d’approvisionnement de compte | CMA_0460 – Examiner les journaux d’approvisionnement de compte | Manuel, désactivé | 1.1.0 |
| Passer en revue les affectations d’administrateurs toutes les semaines | CMA_0461 - Passer en revue les affectations d’administrateurs toutes les semaines | Manuel, désactivé | 1.1.0 |
| Vérifier les journaux d'audit | CMA_0466 – Examiner les données d’audit | Manuel, désactivé | 1.1.0 |
| Passer en revue la vue d’ensemble du rapport des identités cloud | CMA_0468 - Passer en revue la vue d’ensemble du rapport des identités cloud | Manuel, désactivé | 1.1.0 |
| Passer en revue les événements accès contrôlé aux dossiers | CMA_0471 - Passer en revue les événements d’accès contrôlé aux dossiers | Manuel, désactivé | 1.1.0 |
| Examiner l’activité des fichiers et des dossiers | CMA_0473 - Examiner l’activité des fichiers et des dossiers | Manuel, désactivé | 1.1.0 |
| Passer en revue les modifications apportées aux groupes de rôles chaque semaine | CMA_0476 - Passer en revue les modifications apportées aux groupes de rôles chaque semaine | Manuel, désactivé | 1.1.0 |
L’historique du journal d’audit est conservé et disponible pour analyse
ID : PCI DSS v4.0 10.5.1 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Respecter les périodes de rétention définies | CMA_0004 – Respecter les périodes de rétention définies | Manuel, désactivé | 1.1.0 |
| Conserver les stratégies et procédures de sécurité | CMA_0454 – Conserver les stratégies et procédures de sécurité | Manuel, désactivé | 1.1.0 |
| Conserver les données utilisateur terminées | CMA_0455 – Conserver les données utilisateur terminées | Manuel, désactivé | 1.1.0 |
Les mécanismes de synchronisation de l’heure permettent un paramétrage de l’heure cohérent sur tous les systèmes
ID : PCI DSS v4.0 10.6.1 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Utiliser des horloges système pour les enregistrements d’audit | CMA_0535 - Utiliser des horloges système pour les enregistrements d’audit | Manuel, désactivé | 1.1.0 |
Les mécanismes de synchronisation de l’heure permettent un paramétrage de l’heure cohérent sur tous les systèmes
ID : PCI DSS v4.0 10.6.2 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Utiliser des horloges système pour les enregistrements d’audit | CMA_0535 - Utiliser des horloges système pour les enregistrements d’audit | Manuel, désactivé | 1.1.0 |
Les mécanismes de synchronisation de l’heure permettent un paramétrage de l’heure cohérent sur tous les systèmes
ID : PCI DSS v4.0 10.6.3 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Auditer les fonctions privilégiées | CMA_0019 – Auditer les fonctions privilégiées | Manuel, désactivé | 1.1.0 |
| Autoriser l’accès aux fonctions et informations de sécurité | CMA_0022 – Autoriser l’accès aux fonctions et informations de sécurité | Manuel, désactivé | 1.1.0 |
| Autoriser et gérer l’accès | CMA_0023 – Autoriser et gérer l’accès | Manuel, désactivé | 1.1.0 |
| Effectuer une analyse de texte intégral des commandes privilégiées journalisées | CMA_0056 - Effectuer une analyse de texte intégral des commandes privilégiées journalisées | Manuel, désactivé | 1.1.0 |
| Appliquer des stratégies de contrôle d’accès obligatoires et discrétionnaires | CMA_0246 – Appliquer des stratégies de contrôle d’accès obligatoires et discrétionnaires | Manuel, désactivé | 1.1.0 |
| Surveiller l’activité des comptes | CMA_0377 - Surveiller l’activité des comptes | Manuel, désactivé | 1.1.0 |
| Surveiller l’attribution de rôle privilégié | CMA_0378 – Surveiller l’attribution de rôle privilégié | Manuel, désactivé | 1.1.0 |
| Restreindre l’accès aux comptes privilégiés | CMA_0446 – Restreindre l’accès aux comptes privilégiés | Manuel, désactivé | 1.1.0 |
| Révoquer les rôles privilégiés selon les besoins | CMA_0483 – Révoquer les rôles privilégiés selon les besoins | Manuel, désactivé | 1.1.0 |
| Utiliser Privileged Identity Management | CMA_0533 – Utiliser la gestion des identités privilégiées | Manuel, désactivé | 1.1.0 |
Les défaillances des systèmes de contrôle de sécurité critiques sont détectées, signalées et traitées rapidement
ID : PCI DSS v4.0 10.7.1 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Créer des actions alternatives pour les anomalies identifiées | CMA_C1711 - Créer des actions alternatives pour les anomalies identifiées | Manuel, désactivé | 1.1.0 |
| Régir et surveiller les activités de traitement d’audit | CMA_0289 – Régir et surveiller les activités de traitement d’audit | Manuel, désactivé | 1.1.0 |
| Avertir le personnel de l’échec des tests de vérification de sécurité | CMA_C1710 – Avertir le personnel de l’échec des tests de vérification de sécurité | Manuel, désactivé | 1.1.0 |
| Effectuer la vérification de la fonction de sécurité à une fréquence définie | CMA_C1709 – Effectuer la vérification de la fonction de sécurité à une fréquence définie | Manuel, désactivé | 1.1.0 |
| Vérifier les fonctions de sécurité | CMA_C1708 – Vérifier les fonctions de sécurité | Manuel, désactivé | 1.1.0 |
Les défaillances des systèmes de contrôle de sécurité critiques sont détectées, signalées et traitées rapidement
ID : PCI DSS v4.0 10.7.2 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Créer des actions alternatives pour les anomalies identifiées | CMA_C1711 - Créer des actions alternatives pour les anomalies identifiées | Manuel, désactivé | 1.1.0 |
| Régir et surveiller les activités de traitement d’audit | CMA_0289 – Régir et surveiller les activités de traitement d’audit | Manuel, désactivé | 1.1.0 |
| Avertir le personnel de l’échec des tests de vérification de sécurité | CMA_C1710 – Avertir le personnel de l’échec des tests de vérification de sécurité | Manuel, désactivé | 1.1.0 |
| Effectuer la vérification de la fonction de sécurité à une fréquence définie | CMA_C1709 – Effectuer la vérification de la fonction de sécurité à une fréquence définie | Manuel, désactivé | 1.1.0 |
| Vérifier les fonctions de sécurité | CMA_C1708 – Vérifier les fonctions de sécurité | Manuel, désactivé | 1.1.0 |
Les défaillances des systèmes de contrôle de sécurité critiques sont détectées, signalées et traitées rapidement
ID : PCI DSS v4.0 10.7.3 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Créer des actions alternatives pour les anomalies identifiées | CMA_C1711 - Créer des actions alternatives pour les anomalies identifiées | Manuel, désactivé | 1.1.0 |
| Avertir le personnel de l’échec des tests de vérification de sécurité | CMA_C1710 – Avertir le personnel de l’échec des tests de vérification de sécurité | Manuel, désactivé | 1.1.0 |
| Effectuer la vérification de la fonction de sécurité à une fréquence définie | CMA_C1709 – Effectuer la vérification de la fonction de sécurité à une fréquence définie | Manuel, désactivé | 1.1.0 |
| Vérifier les fonctions de sécurité | CMA_C1708 – Vérifier les fonctions de sécurité | Manuel, désactivé | 1.1.0 |
Exigence 11 : Tester régulièrement la sécurité des systèmes et des réseaux
Des processus et mécanismes destinés à tester régulièrement la sécurité des systèmes et des réseaux sont définis et compris
ID : PCI DSS v4.0 11.1.1 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Passer en revue et mettre à jour les stratégies et les procédures d’intégrité des informations | CMA_C1667 - Passer en revue et mettre à jour les stratégies et les procédures d’intégrité des informations | Manuel, désactivé | 1.1.0 |
| Examiner et mettre à jour les stratégies et procédures de protection du système et des communications | CMA_C1616 - Examiner et mettre à jour les stratégies et procédures de protection du système et des communications | Manuel, désactivé | 1.1.0 |
| Passer en revue les stratégies et les procédures d’évaluation de la sécurité et d’autorisation | CMA_C1143 - Passer en revue les stratégies et les procédures d’évaluation de la sécurité et d’autorisation | Manuel, désactivé | 1.1.0 |
Les points d’accès sans fil sont identifiés et surveillés, et les points d’accès sans fil non autorisés sont traités
ID : PCI DSS v4.0 11.2.2 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Documenter et implémenter les instructions d’accès sans fil | CMA_0190 - Documenter et implémenter les instructions d’accès sans fil | Manuel, désactivé | 1.1.0 |
| Protéger l’accès sans fil | CMA_0411 - Protéger l’accès sans fil | Manuel, désactivé | 1.1.0 |
Les vulnérabilités externes et internes sont régulièrement identifiées, hiérarchisées et traitées
ID : PCI DSS v4.0 11.3.1 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Une solution d’évaluation des vulnérabilités doit être activée sur vos machines virtuelles | Audite les machines virtuelles pour détecter si elles exécutent une solution d’évaluation des vulnérabilités prise en charge. L’identification et l’analyse des vulnérabilités constituent un composant fondamental de chaque programme de sécurité et d’évaluation des cyber-risques. Le niveau tarifaire Standard d’Azure Security Center comprend l’analyse des vulnérabilités de vos machines virtuelles sans coût supplémentaire. De plus, Security Center peut déployer cet outil automatiquement pour vous. | AuditIfNotExists, Désactivé | 3.0.0 |
| Superviser les agents Endpoint Protection manquants dans Azure Security Center | Les serveurs sans agent Endpoint Protection installé seront supervisés par Azure Security Center en tant que recommandation | AuditIfNotExists, Désactivé | 3.0.0 |
| Effectuer des analyses de vulnérabilité | CMA_0393 – Effectuer des analyses de vulnérabilité | Manuel, désactivé | 1.1.0 |
| Corriger les défauts du système d’information | CMA_0427 – Corriger les défauts du système d’information | Manuel, désactivé | 1.1.0 |
| Les résultats des vulnérabilités des bases de données SQL doivent être résolus | Supervisez les résultats de l’analyse des vulnérabilités et les recommandations sur la correction des vulnérabilités liées aux bases de données. | AuditIfNotExists, Désactivé | 4.1.0 |
| Les mises à jour système doivent être installées sur vos machines | Les mises à jour système de sécurité manquantes sur vos serveurs seront supervisées par Azure Security Center en tant que recommandation | AuditIfNotExists, Désactivé | 4.0.0 |
| Les vulnérabilités dans la configuration de la sécurité sur vos machines doivent être corrigées | Les serveurs qui ne respectent pas la base de référence configurée seront supervisés par Azure Security Center en tant que recommandation | AuditIfNotExists, Désactivé | 3.1.0 |
Les vulnérabilités externes et internes sont régulièrement identifiées, hiérarchisées et traitées
ID : PCI DSS v4.0 11.3.1.1 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Effectuer des analyses de vulnérabilité | CMA_0393 – Effectuer des analyses de vulnérabilité | Manuel, désactivé | 1.1.0 |
| Corriger les défauts du système d’information | CMA_0427 – Corriger les défauts du système d’information | Manuel, désactivé | 1.1.0 |
Les vulnérabilités externes et internes sont régulièrement identifiées, hiérarchisées et traitées
ID : PCI DSS v4.0 11.3.1.3 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Effectuer des analyses de vulnérabilité | CMA_0393 – Effectuer des analyses de vulnérabilité | Manuel, désactivé | 1.1.0 |
| Corriger les défauts du système d’information | CMA_0427 – Corriger les défauts du système d’information | Manuel, désactivé | 1.1.0 |
Les vulnérabilités externes et internes sont régulièrement identifiées, hiérarchisées et traitées
ID : PCI DSS v4.0 11.3.2 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Effectuer des analyses de vulnérabilité | CMA_0393 – Effectuer des analyses de vulnérabilité | Manuel, désactivé | 1.1.0 |
| Corriger les défauts du système d’information | CMA_0427 – Corriger les défauts du système d’information | Manuel, désactivé | 1.1.0 |
Les vulnérabilités externes et internes sont régulièrement identifiées, hiérarchisées et traitées
ID : PCI DSS v4.0 11.3.2.1 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Effectuer des analyses de vulnérabilité | CMA_0393 – Effectuer des analyses de vulnérabilité | Manuel, désactivé | 1.1.0 |
| Corriger les défauts du système d’information | CMA_0427 – Corriger les défauts du système d’information | Manuel, désactivé | 1.1.0 |
Des tests d’intrusion externes et internes sont régulièrement effectués, et les vulnérabilités exploitables et failles de sécurité sont corrigées
ID : PCI DSS v4.0 11.4.1 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Utiliser une équipe indépendante pour les tests d’intrusion | CMA_C1171 - Utiliser une équipe indépendante pour les tests d’intrusion | Manuel, désactivé | 1.1.0 |
Des tests d’intrusion externes et internes sont régulièrement effectués, et les vulnérabilités exploitables et failles de sécurité sont corrigées
ID : PCI DSS v4.0 11.4.3 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Utiliser une équipe indépendante pour les tests d’intrusion | CMA_C1171 - Utiliser une équipe indépendante pour les tests d’intrusion | Manuel, désactivé | 1.1.0 |
Les intrusions réseau et les modifications inattendues de fichiers sont détectées et traitées
ID : PCI DSS v4.0 11.5.1 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Alerter le personnel d’un débordement d’informations | CMA_0007 – Alerter le personnel d’un débordement d’informations | Manuel, désactivé | 1.1.0 |
| Mettez sur pied un plan de réponse en cas d'incident | CMA_0145 – Développer un plan de réponse aux incidents | Manuel, désactivé | 1.1.0 |
| Effectuer une analyse des tendances sur les menaces | CMA_0389 – Effectuer une analyse des tendances sur les menaces | Manuel, désactivé | 1.1.0 |
| Définir des notifications automatisées pour les applications cloud nouvelles et populaires dans votre organisation | CMA_0495 – Définir des notifications automatisées pour les applications cloud nouvelles et populaires dans votre organisation | Manuel, désactivé | 1.1.0 |
Les intrusions réseau et les modifications inattendues de fichiers sont détectées et traitées
ID : PCI DSS v4.0 11.5.1.1 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Alerter le personnel d’un débordement d’informations | CMA_0007 – Alerter le personnel d’un débordement d’informations | Manuel, désactivé | 1.1.0 |
| Mettez sur pied un plan de réponse en cas d'incident | CMA_0145 – Développer un plan de réponse aux incidents | Manuel, désactivé | 1.1.0 |
| Définir des notifications automatisées pour les applications cloud nouvelles et populaires dans votre organisation | CMA_0495 – Définir des notifications automatisées pour les applications cloud nouvelles et populaires dans votre organisation | Manuel, désactivé | 1.1.0 |
Les intrusions réseau et les modifications inattendues de fichiers sont détectées et traitées
ID : PCI DSS v4.0 11.5.2 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Utiliser l’arrêt/redémarrage automatique lorsque des violations sont détectées | CMA_C1715 – Utiliser l’arrêt/redémarrage automatique lorsque des violations sont détectées | Manuel, désactivé | 1.1.0 |
| Vérifier l’intégrité des logiciels, des microprogrammes et des informations | CMA_0542 – Vérifier l’intégrité des logiciels, des microprogrammes et des informations | Manuel, désactivé | 1.1.0 |
| Visualiser et configurer les données de diagnostic système | CMA_0544 - Visualiser et configurer les données de diagnostic système | Manuel, désactivé | 1.1.0 |
Les modifications non autorisées dans les pages de paiement sont détectées et traitées
ID : PCI DSS v4.0 11.6.1 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Utiliser l’arrêt/redémarrage automatique lorsque des violations sont détectées | CMA_C1715 – Utiliser l’arrêt/redémarrage automatique lorsque des violations sont détectées | Manuel, désactivé | 1.1.0 |
| Vérifier l’intégrité des logiciels, des microprogrammes et des informations | CMA_0542 – Vérifier l’intégrité des logiciels, des microprogrammes et des informations | Manuel, désactivé | 1.1.0 |
| Visualiser et configurer les données de diagnostic système | CMA_0544 - Visualiser et configurer les données de diagnostic système | Manuel, désactivé | 1.1.0 |
Exigence 12 : Faciliter la sécurité des informations avec des stratégies et des programmes organisationnels
Une stratégie complète de sécurité de l’information régissant et fournissant des instructions pour la protection des ressources d’informations de l’entité est connue et actuelle
ID : PCI DSS v4.0 12.1.2 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Établir un programme de sécurité des informations | CMA_0263 - Établir un programme de sécurité des informations | Manuel, désactivé | 1.1.0 |
| Mettre à jour les stratégies de sécurité des informations | CMA_0518 - Mettre à jour les stratégies de sécurité des informations | Manuel, désactivé | 1.1.0 |
Une stratégie complète de sécurité de l’information régissant et fournissant des instructions pour la protection des ressources d’informations de l’entité est connue et actuelle
ID : PCI DSS v4.0 12.1.4 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Nommer un responsable senior de la sécurité des informations | CMA_C1733 - Nommer un responsable senior de la sécurité des informations | Manuel, désactivé | 1.1.0 |
Les incidents de sécurité suspectés et confirmés susceptibles d’affecter l’environnement de données de titulaires de carte (CDE) sont immédiatement traités
ID : PCI DSS v4.0 12.10.2 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Évaluer les événements de sécurité des informations | CMA_0013 - Évaluer les événements de sécurité des informations | Manuel, désactivé | 1.1.0 |
| Mettez sur pied un plan de réponse en cas d'incident | CMA_0145 – Développer un plan de réponse aux incidents | Manuel, désactivé | 1.1.0 |
| Implémenter une gestion des incidents | CMA_0318 - Implémenter une gestion des incidents | Manuel, désactivé | 1.1.0 |
| Conserver les enregistrements de divulgation de données | CMA_0351 - Conserver les enregistrements de divulgation de données | Manuel, désactivé | 1.1.0 |
| Gérer le plan de réponse aux incidents | CMA_0352 - Gérer le plan de réponse aux incidents | Manuel, désactivé | 1.1.0 |
| Protéger le plan de réponse aux incidents | CMA_0405 - Protéger le plan de réponse aux incidents | Manuel, désactivé | 1.1.0 |
Les incidents de sécurité suspectés et confirmés susceptibles d’affecter l’environnement de données de titulaires de carte (CDE) sont immédiatement traités
ID : PCI DSS v4.0 12.10.4 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Fournir une formation sur les fuites d’informations | CMA_0413 - Fournir une formation sur les fuites d’informations | Manuel, désactivé | 1.1.0 |
Les incidents de sécurité suspectés et confirmés susceptibles d’affecter l’environnement de données de titulaires de carte (CDE) sont immédiatement traités
ID : PCI DSS v4.0 12.10.4.1 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Fournir une formation sur les fuites d’informations | CMA_0413 - Fournir une formation sur les fuites d’informations | Manuel, désactivé | 1.1.0 |
Les incidents de sécurité suspectés et confirmés susceptibles d’affecter l’environnement de données de titulaires de carte (CDE) sont immédiatement traités
ID : PCI DSS v4.0 12.10.5 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Mettez sur pied un plan de réponse en cas d'incident | CMA_0145 – Développer un plan de réponse aux incidents | Manuel, désactivé | 1.1.0 |
| Activer la protection du réseau | CMA_0238 - Activer la protection réseau | Manuel, désactivé | 1.1.0 |
| Implémenter une gestion des incidents | CMA_0318 - Implémenter une gestion des incidents | Manuel, désactivé | 1.1.0 |
Les incidents de sécurité suspectés et confirmés susceptibles d’affecter l’environnement de données de titulaires de carte (CDE) sont immédiatement traités
ID : PCI DSS v4.0 12.10.6 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Évaluer les événements de sécurité des informations | CMA_0013 - Évaluer les événements de sécurité des informations | Manuel, désactivé | 1.1.0 |
| Gérer le plan de réponse aux incidents | CMA_0352 - Gérer le plan de réponse aux incidents | Manuel, désactivé | 1.1.0 |
Les incidents de sécurité suspectés et confirmés susceptibles d’affecter l’environnement de données de titulaires de carte (CDE) sont immédiatement traités
ID : PCI DSS v4.0 12.10.7 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Mettez sur pied un plan de réponse en cas d'incident | CMA_0145 – Développer un plan de réponse aux incidents | Manuel, désactivé | 1.1.0 |
| Développer des protections de sécurité | CMA_0161 - Développer des protections de sécurité | Manuel, désactivé | 1.1.0 |
| Activer la protection du réseau | CMA_0238 - Activer la protection réseau | Manuel, désactivé | 1.1.0 |
| Éradiquer les informations contaminées | CMA_0253 - Éradiquer les informations contaminées | Manuel, désactivé | 1.1.0 |
| Exécuter des actions en réponse à des fuites d’informations | CMA_0281 - Exécuter des actions en réponse à des fuites d’informations | Manuel, désactivé | 1.1.0 |
| Implémenter une gestion des incidents | CMA_0318 - Implémenter une gestion des incidents | Manuel, désactivé | 1.1.0 |
| Effectuer une analyse des tendances sur les menaces | CMA_0389 – Effectuer une analyse des tendances sur les menaces | Manuel, désactivé | 1.1.0 |
| Visualiser et examiner les utilisateurs restreints | CMA_0545 - Visualiser et examiner les utilisateurs restreints | Manuel, désactivé | 1.1.0 |
Des stratégies d’utilisation acceptables pour les technologies de l’utilisateur final sont définies et implémentées
ID : PCI DSS v4.0 12.2.1 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Développer des stratégies et des procédures d’utilisation acceptables | CMA_0143 - Développer des stratégies et des procédures d’utilisation acceptables | Manuel, désactivé | 1.1.0 |
| Appliquer des règles de comportement et des contrats d’accès | CMA_0248 - Appliquer des règles de comportement et des contrats d’accès | Manuel, désactivé | 1.1.0 |
| Exiger la conformité avec les droits de propriété intellectuelle | CMA_0432 - Exiger la conformité avec les droits de propriété intellectuelle | Manuel, désactivé | 1.1.0 |
| Suivre l’utilisation des licences logicielles | CMA_C1235 - Suivre l’utilisation des licences logicielles | Manuel, désactivé | 1.1.0 |
Les risques pour l’environnement de données de titulaires de carte sont formellement identifiés, évalués et gérés
ID : PCI DSS v4.0 12.3.1 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Effectuer une évaluation des risques | CMA_C1543 - Effectuer une évaluation des risques | Manuel, désactivé | 1.1.0 |
| Effectuer une évaluation des risques et distribuer ses résultats | CMA_C1544 - Effectuer une évaluation des risques et distribuer ses résultats | Manuel, désactivé | 1.1.0 |
| Effectuer l’évaluation des risques et documenter ses résultats | CMA_C1542 - Effectuer l’évaluation des risques et documenter ses résultats | Manuel, désactivé | 1.1.0 |
| Effectuer une évaluation des risques | CMA_0388 - Effectuer une évaluation des risques | Manuel, désactivé | 1.1.0 |
Les risques pour l’environnement de données de titulaires de carte sont formellement identifiés, évalués et gérés
ID : PCI DSS v4.0 12.3.2 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Effectuer une évaluation des risques | CMA_C1543 - Effectuer une évaluation des risques | Manuel, désactivé | 1.1.0 |
| Effectuer une évaluation des risques et distribuer ses résultats | CMA_C1544 - Effectuer une évaluation des risques et distribuer ses résultats | Manuel, désactivé | 1.1.0 |
| Effectuer l’évaluation des risques et documenter ses résultats | CMA_C1542 - Effectuer l’évaluation des risques et documenter ses résultats | Manuel, désactivé | 1.1.0 |
| Effectuer une évaluation des risques | CMA_0388 - Effectuer une évaluation des risques | Manuel, désactivé | 1.1.0 |
Les risques pour l’environnement de données de titulaires de carte sont formellement identifiés, évalués et gérés
ID : PCI DSS v4.0 12.3.4 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Diffuser les alertes de sécurité au personnel | CMA_C1705 - Diffuser les alertes de sécurité au personnel | Manuel, désactivé | 1.1.0 |
| Établir un programme de renouvellement sur les menaces | CMA_0260 - Établir un programme de renseignement sur les menaces | Manuel, désactivé | 1.1.0 |
| Corriger les défauts du système d’information | CMA_0427 – Corriger les défauts du système d’information | Manuel, désactivé | 1.1.0 |
La conformité PCI DSS est gérée
ID : PCI DSS v4.0 12.4.1 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Développer un plan d’évaluation de la sécurité | CMA_C1144 - Développer un plan d’évaluation de la sécurité | Manuel, désactivé | 1.1.0 |
| Établir un programme de confidentialité | CMA_0257 - Établir un programme de confidentialité | Manuel, désactivé | 1.1.0 |
| Établir un programme de sécurité des informations | CMA_0263 - Établir un programme de sécurité des informations | Manuel, désactivé | 1.1.0 |
| Gérer les activités de conformité | CMA_0358 - Gérer les activités de conformité | Manuel, désactivé | 1.1.0 |
| Mettre à jour le plan, les stratégies et les procédures de confidentialité | CMA_C1807 - Mettre à jour le plan, les stratégies et les procédures de confidentialité | Manuel, désactivé | 1.1.0 |
La conformité PCI DSS est gérée
ID : PCI DSS v4.0 12.4.2 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Évaluer les contrôles de sécurité | CMA_C1145 - Évaluer les contrôles de sécurité | Manuel, désactivé | 1.1.0 |
| Configurer la liste verte des détections | CMA_0068 - Configurer la liste verte des détections | Manuel, désactivé | 1.1.0 |
| Développer un plan d’évaluation de la sécurité | CMA_C1144 - Développer un plan d’évaluation de la sécurité | Manuel, désactivé | 1.1.0 |
| Sélectionner des tests supplémentaires pour les évaluations des contrôles de sécurité | CMA_C1149 - Sélectionner des tests supplémentaires pour les évaluations des contrôles de sécurité | Manuel, désactivé | 1.1.0 |
| Activer les capteurs pour la solution de sécurité de point de terminaison | CMA_0514 – Activer les capteurs pour la solution de sécurité de point de terminaison | Manuel, désactivé | 1.1.0 |
| Faire l’objet d’une révision de sécurité indépendante | CMA_0515 - Faire l’objet d’une révision de sécurité indépendante | Manuel, désactivé | 1.1.0 |
La conformité PCI DSS est gérée
ID : PCI DSS v4.0 12.4.2.1 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Configurer la liste verte des détections | CMA_0068 - Configurer la liste verte des détections | Manuel, désactivé | 1.1.0 |
| Fournir les résultats de l’évaluation de la sécurité | CMA_C1147 - Fournir les résultats de l’évaluation de la sécurité | Manuel, désactivé | 1.1.0 |
| Développer des POA&M | CMA_C1156 – Développer POA&M | Manuel, désactivé | 1.1.0 |
| Produire un rapport d’évaluation de la sécurité | CMA_C1146 - Produire un rapport d’évaluation de la sécurité | Manuel, désactivé | 1.1.0 |
| Activer les capteurs pour la solution de sécurité de point de terminaison | CMA_0514 – Activer les capteurs pour la solution de sécurité de point de terminaison | Manuel, désactivé | 1.1.0 |
| Faire l’objet d’une révision de sécurité indépendante | CMA_0515 - Faire l’objet d’une révision de sécurité indépendante | Manuel, désactivé | 1.1.0 |
| Mettre à jour les éléments POA&M | CMA_C1157 – Mettre à jour des éléments POA&M | Manuel, désactivé | 1.1.0 |
L’étendue PCI DSS est documentée et validée
ID : PCI DSS v4.0 12.5.2 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Conserver les enregistrements de traitement des données personnelles | CMA_0353 - Conserver les enregistrements de traitement des données personnelles | Manuel, désactivé | 1.1.0 |
L’étendue PCI DSS est documentée et validée
ID : PCI DSS v4.0 12.5.2.1 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Créer un inventaire des données | CMA_0096 - Créer un inventaire des données | Manuel, désactivé | 1.1.0 |
| Conserver les enregistrements de traitement des données personnelles | CMA_0353 - Conserver les enregistrements de traitement des données personnelles | Manuel, désactivé | 1.1.0 |
L’étendue PCI DSS est documentée et validée
ID : PCI DSS v4.0 12.5.3 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Établir un programme de sécurité des informations | CMA_0263 - Établir un programme de sécurité des informations | Manuel, désactivé | 1.1.0 |
| Mettre à jour les stratégies de sécurité des informations | CMA_0518 - Mettre à jour les stratégies de sécurité des informations | Manuel, désactivé | 1.1.0 |
La sensibilisation à la sécurité est une activité permanente
ID : PCI DSS v4.0 12.6.1 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Documenter les activités de formation à la sécurité et à la confidentialité | CMA_0198 - Documenter les activités de formation à la sécurité et à la confidentialité | Manuel, désactivé | 1.1.0 |
| Établir un programme de développement et d’amélioration du personnel en matière de sécurité des informations | CMA_C1752 - Établir un programme de développement et d’amélioration du personnel en matière de sécurité des informations | Manuel, désactivé | 1.1.0 |
La sensibilisation à la sécurité est une activité permanente
ID : PCI DSS v4.0 12.6.2 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Fournir une formation de sensibilisation à la sécurité mise à jour | CMA_C1090 - Fournir une formation de sensibilisation à la sécurité mise à jour | Manuel, désactivé | 1.1.0 |
La sensibilisation à la sécurité est une activité permanente
ID : PCI DSS v4.0 12.6.3 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Documenter l’acceptation des exigences de confidentialité par le personnel | CMA_0193 - Documenter l’acceptation des exigences de confidentialité par le personnel | Manuel, désactivé | 1.1.0 |
| Fournir une formation périodique sur la sécurité basée sur les rôles | CMA_C1095 - Fournir une formation périodique sur la sécurité basée sur les rôles | Manuel, désactivé | 1.1.0 |
| Fournir une formation périodique sur la sensibilisation à la sécurité | CMA_C1091 - Fournir une formation périodique sur la sensibilisation à la sécurité | Manuel, désactivé | 1.1.0 |
| Fournir une formation sur la confidentialité | CMA_0415 – Fournir une formation sur la confidentialité | Manuel, désactivé | 1.1.0 |
| Fournir une formation sur la sécurité basée sur les rôles | CMA_C1094 - Fournir une formation sur la sécurité basée sur les rôles | Manuel, désactivé | 1.1.0 |
| Fournir une formation sur la sécurité avant de fournir l’accès | CMA_0418 - Fournir une formation sur la sécurité avant de fournir l’accès | Manuel, désactivé | 1.1.0 |
| Fournir une formation sur la sécurité pour les nouveaux utilisateurs | CMA_0419 - Fournir une formation sur la sécurité pour les nouveaux utilisateurs | Manuel, désactivé | 1.1.0 |
| Fournir une formation de sensibilisation à la sécurité mise à jour | CMA_C1090 - Fournir une formation de sensibilisation à la sécurité mise à jour | Manuel, désactivé | 1.1.0 |
La sensibilisation à la sécurité est une activité permanente
ID : PCI DSS v4.0 12.6.3.1 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Implémenter un programme de sensibilisation aux menaces | CMA_C1758 - Implémenter un programme de sensibilisation aux menaces | Manuel, désactivé | 1.1.0 |
| Implémenter un programme de menaces internes | CMA_C1751 - Implémenter un programme de menaces internes | Manuel, désactivé | 1.1.0 |
| Fournir une formation sur la sécurité pour les nouveaux utilisateurs | CMA_0419 - Fournir une formation sur la sécurité pour les nouveaux utilisateurs | Manuel, désactivé | 1.1.0 |
La sensibilisation à la sécurité est une activité permanente
ID : PCI DSS v4.0 12.6.3.2 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Fournir une formation sur la sécurité avant de fournir l’accès | CMA_0418 - Fournir une formation sur la sécurité avant de fournir l’accès | Manuel, désactivé | 1.1.0 |
| Fournir une formation sur la sécurité pour les nouveaux utilisateurs | CMA_0419 - Fournir une formation sur la sécurité pour les nouveaux utilisateurs | Manuel, désactivé | 1.1.0 |
Le personnel est passé au crible pour réduire les risques liés aux menaces internes
ID : PCI DSS v4.0 12.7.1 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Habiliter le personnel ayant accès aux informations classifiées | CMA_0054 - Habiliter le personnel ayant accès aux informations classifiées | Manuel, désactivé | 1.1.0 |
| Implémenter le filtrage du personnel | CMA_0322 - Implémenter le filtrage du personnel | Manuel, désactivé | 1.1.0 |
| Refiltrer les personnes à une fréquence définie | CMA_C1512 - Refiltrer les personnes à une fréquence définie | Manuel, désactivé | 1.1.0 |
Les risques pour les ressources d’informations associées aux relations de fournisseur de services tiers (TPSP) sont gérés
ID : PCI DSS v4.0 12.8.1 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Exiger la conformité aux exigences de sécurité de la part des fournisseurs de services externes | CMA_C1586 - Exiger la conformité aux exigences de sécurité de la part des fournisseurs de services externes | Manuel, désactivé | 1.1.0 |
Les risques pour les ressources d’informations associées aux relations de fournisseur de services tiers (TPSP) sont gérés
ID : PCI DSS v4.0 12.8.2 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Définir les tâches des processeurs | CMA_0127 - Définir les tâches des processeurs | Manuel, désactivé | 1.1.0 |
| Déterminer les obligations des contrats fournisseur | CMA_0140 - Déterminer les obligations des contrats fournisseur | Manuel, désactivé | 1.1.0 |
| Documenter les critères d’acceptation des contrats d’acquisition | CMA_0187 - Documenter les critères d’acceptation des contrats d’acquisition | Manuel, désactivé | 1.1.0 |
| Documenter la protection des données personnelles dans les contrats d’acquisition | CMA_0194 - Documenter la protection des données personnelles dans les contrats d’acquisition | Manuel, désactivé | 1.1.0 |
| Documenter la protection des informations de sécurité dans les contrats d’acquisition | CMA_0195 - Documenter la protection des informations de sécurité dans les contrats d’acquisition | Manuel, désactivé | 1.1.0 |
| Documenter les exigences pour l’utilisation des données partagées dans les contrats | CMA_0197 - Documenter les exigences pour l’utilisation des données partagées dans les contrats | Manuel, désactivé | 1.1.0 |
| Documenter les exigences d’assurance de sécurité dans les contrats d’acquisition | CMA_0199 - Documenter les exigences d’assurance de sécurité dans les contrats d’acquisition | Manuel, désactivé | 1.1.0 |
| Documenter les exigences de documentation de sécurité dans les contrats d’acquisition | CMA_0200 - Documenter les exigences de documentation de sécurité dans les contrats d’acquisition | Manuel, désactivé | 1.1.0 |
| Documenter les exigences fonctionnelles de sécurité dans les contrats d’acquisition | CMA_0201 - Documenter les exigences fonctionnelles de sécurité dans les contrats d’acquisition | Manuel, désactivé | 1.1.0 |
| Documenter les exigences de niveau de sécurité dans les contrats d’acquisition | CMA_0203 - Documenter les exigences de niveau de sécurité dans les contrats d’acquisition | Manuel, désactivé | 1.1.0 |
| Documenter l’environnement du système d’information dans les contrats d’acquisition | CMA_0205 - Documenter l’environnement du système d’information dans les contrats d’acquisition | Manuel, désactivé | 1.1.0 |
| Documenter la protection des données des détenteurs de carte dans les contrats de tiers | CMA_0207 - Documenter la protection des données des détenteurs de carte dans les contrats de tiers | Manuel, désactivé | 1.1.0 |
| Obtenir des informations de conception et d’implémentation pour les contrôles de sécurité | CMA_C1576 - Obtenir des informations de conception et d’implémentation pour les contrôles de sécurité | Manuel, désactivé | 1.1.1 |
| Obtenir les propriétés fonctionnelles des contrôles de sécurité | CMA_C1575 - Obtenir les propriétés fonctionnelles des contrôles de sécurité | Manuel, désactivé | 1.1.0 |
| Enregistrer les divulgations d’informations personnelles à des tiers | CMA_0422 - Enregistrer les divulgations d’informations personnelles à des tiers | Manuel, désactivé | 1.1.0 |
Les risques pour les ressources d’informations associées aux relations de fournisseur de services tiers (TPSP) sont gérés
ID : PCI DSS v4.0 12.8.3 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Évaluer les risques dans les relations avec les tiers | CMA_0014 - Évaluer les risques dans les relations avec les tiers | Manuel, désactivé | 1.1.0 |
| Définir les exigences pour la fourniture de biens et de services | CMA_0126 - Définir les exigences pour la fourniture de biens et de services | Manuel, désactivé | 1.1.0 |
| Déterminer les obligations des contrats fournisseur | CMA_0140 - Déterminer les obligations des contrats fournisseur | Manuel, désactivé | 1.1.0 |
| Établir des stratégies pour la gestion des risques liés à la chaîne d’approvisionnement | CMA_0275 - Établir des stratégies pour la gestion des risques liés à la chaîne d’approvisionnement | Manuel, désactivé | 1.1.0 |
| Exiger la conformité aux exigences de sécurité de la part des fournisseurs de services externes | CMA_C1586 - Exiger la conformité aux exigences de sécurité de la part des fournisseurs de services externes | Manuel, désactivé | 1.1.0 |
Les risques pour les ressources d’informations associées aux relations de fournisseur de services tiers (TPSP) sont gérés
ID : PCI DSS v4.0 12.8.4 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Évaluer les risques dans les relations avec les tiers | CMA_0014 - Évaluer les risques dans les relations avec les tiers | Manuel, désactivé | 1.1.0 |
| Définir les exigences pour la fourniture de biens et de services | CMA_0126 - Définir les exigences pour la fourniture de biens et de services | Manuel, désactivé | 1.1.0 |
| Déterminer les obligations des contrats fournisseur | CMA_0140 - Déterminer les obligations des contrats fournisseur | Manuel, désactivé | 1.1.0 |
| Établir des stratégies pour la gestion des risques liés à la chaîne d’approvisionnement | CMA_0275 - Établir des stratégies pour la gestion des risques liés à la chaîne d’approvisionnement | Manuel, désactivé | 1.1.0 |
| Obtenir un plan de surveillance continue pour les contrôles de sécurité | CMA_C1577 - Obtenir un plan de surveillance continue pour les contrôles de sécurité | Manuel, désactivé | 1.1.0 |
| Exiger la conformité aux exigences de sécurité de la part des fournisseurs de services externes | CMA_C1586 - Exiger la conformité aux exigences de sécurité de la part des fournisseurs de services externes | Manuel, désactivé | 1.1.0 |
| Passer en revue la conformité du fournisseur de services cloud avec les stratégies et les contrats | CMA_0469 - Passer en revue la conformité du fournisseur de services cloud avec les stratégies et les contrats | Manuel, désactivé | 1.1.0 |
| Faire l’objet d’une révision de sécurité indépendante | CMA_0515 - Faire l’objet d’une révision de sécurité indépendante | Manuel, désactivé | 1.1.0 |
Les risques pour les ressources d’informations associées aux relations de fournisseur de services tiers (TPSP) sont gérés
ID : PCI DSS v4.0 12.8.5 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Déterminer les obligations des contrats fournisseur | CMA_0140 - Déterminer les obligations des contrats fournisseur | Manuel, désactivé | 1.1.0 |
| Documenter les critères d’acceptation des contrats d’acquisition | CMA_0187 - Documenter les critères d’acceptation des contrats d’acquisition | Manuel, désactivé | 1.1.0 |
| Documenter la protection des données personnelles dans les contrats d’acquisition | CMA_0194 - Documenter la protection des données personnelles dans les contrats d’acquisition | Manuel, désactivé | 1.1.0 |
| Documenter la protection des informations de sécurité dans les contrats d’acquisition | CMA_0195 - Documenter la protection des informations de sécurité dans les contrats d’acquisition | Manuel, désactivé | 1.1.0 |
| Documenter les exigences pour l’utilisation des données partagées dans les contrats | CMA_0197 - Documenter les exigences pour l’utilisation des données partagées dans les contrats | Manuel, désactivé | 1.1.0 |
| Documenter les exigences d’assurance de sécurité dans les contrats d’acquisition | CMA_0199 - Documenter les exigences d’assurance de sécurité dans les contrats d’acquisition | Manuel, désactivé | 1.1.0 |
| Documenter les exigences de documentation de sécurité dans les contrats d’acquisition | CMA_0200 - Documenter les exigences de documentation de sécurité dans les contrats d’acquisition | Manuel, désactivé | 1.1.0 |
| Documenter les exigences fonctionnelles de sécurité dans les contrats d’acquisition | CMA_0201 - Documenter les exigences fonctionnelles de sécurité dans les contrats d’acquisition | Manuel, désactivé | 1.1.0 |
| Documenter les exigences de niveau de sécurité dans les contrats d’acquisition | CMA_0203 - Documenter les exigences de niveau de sécurité dans les contrats d’acquisition | Manuel, désactivé | 1.1.0 |
| Documenter l’environnement du système d’information dans les contrats d’acquisition | CMA_0205 - Documenter l’environnement du système d’information dans les contrats d’acquisition | Manuel, désactivé | 1.1.0 |
| Documenter la protection des données des détenteurs de carte dans les contrats de tiers | CMA_0207 - Documenter la protection des données des détenteurs de carte dans les contrats de tiers | Manuel, désactivé | 1.1.0 |
| Obtenir des informations de conception et d’implémentation pour les contrôles de sécurité | CMA_C1576 - Obtenir des informations de conception et d’implémentation pour les contrôles de sécurité | Manuel, désactivé | 1.1.1 |
| Obtenir les propriétés fonctionnelles des contrôles de sécurité | CMA_C1575 - Obtenir les propriétés fonctionnelles des contrôles de sécurité | Manuel, désactivé | 1.1.0 |
Les fournisseurs de services tiers (TPSP) prennent en charge la conformité PCI DSS de leurs clients
ID : PCI DSS v4.0 12.9.1 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Définir les tâches des processeurs | CMA_0127 - Définir les tâches des processeurs | Manuel, désactivé | 1.1.0 |
| Enregistrer les divulgations d’informations personnelles à des tiers | CMA_0422 - Enregistrer les divulgations d’informations personnelles à des tiers | Manuel, désactivé | 1.1.0 |
| Exiger la conformité aux exigences de sécurité de la part des fournisseurs de services externes | CMA_C1586 - Exiger la conformité aux exigences de sécurité de la part des fournisseurs de services externes | Manuel, désactivé | 1.1.0 |
Les fournisseurs de services tiers (TPSP) prennent en charge la conformité PCI DSS de leurs clients
ID : PCI DSS v4.0 12.9.2 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Exiger la conformité aux exigences de sécurité de la part des fournisseurs de services externes | CMA_C1586 - Exiger la conformité aux exigences de sécurité de la part des fournisseurs de services externes | Manuel, désactivé | 1.1.0 |
| Passer en revue la conformité du fournisseur de services cloud avec les stratégies et les contrats | CMA_0469 - Passer en revue la conformité du fournisseur de services cloud avec les stratégies et les contrats | Manuel, désactivé | 1.1.0 |
| Faire l’objet d’une révision de sécurité indépendante | CMA_0515 - Faire l’objet d’une révision de sécurité indépendante | Manuel, désactivé | 1.1.0 |
Exigence 02 : Appliquer des configurations sécurisées à tous les composants système
Des processus et mécanismes destinés à appliquer des configurations sécurisées à tous les composants système sont définis et compris
ID : PCI DSS v4.0 2.1.1 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Passer en revue et mettre à jour les stratégies et les procédures de gestion des configurations | CMA_C1175 - Passer en revue et mettre à jour les stratégies et les procédures de gestion des configurations | Manuel, désactivé | 1.1.0 |
Les composants système sont configurés et gérés de manière sécurisée
ID : PCI DSS v4.0 2.2.1 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Configurer des actions pour les appareils non conformes | CMA_0062 – Configurer des actions pour les appareils non conformes | Manuel, désactivé | 1.1.0 |
| Développer et tenir à jour les configurations de base | CMA_0153 – Développer et tenir à jour les configurations de base | Manuel, désactivé | 1.1.0 |
| Appliquer les paramètres de configuration de sécurité | CMA_0249 – Appliquer les paramètres de configuration de sécurité | Manuel, désactivé | 1.1.0 |
| Établir un panneau de configuration | CMA_0254 – Établir un panneau de configuration | Manuel, désactivé | 1.1.0 |
| Établir et documenter un plan de gestion de la configuration | CMA_0264 – Établir et documenter un plan de gestion de la configuration | Manuel, désactivé | 1.1.0 |
| Implémenter un outil de gestion de la configuration automatisée | CMA_0311 – Implémenter un outil de gestion de la configuration automatisée | Manuel, désactivé | 1.1.0 |
Les composants système sont configurés et gérés de manière sécurisée
ID : PCI DSS v4.0 2.2.2 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Gérer les authentificateurs | CMA_C1321 - Gérer les authentificateurs | Manuel, désactivé | 1.1.0 |
Les composants système sont configurés et gérés de manière sécurisée
ID : PCI DSS v4.0 2.2.5 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Appliquer les paramètres de configuration de sécurité | CMA_0249 – Appliquer les paramètres de configuration de sécurité | Manuel, désactivé | 1.1.0 |
| Corriger les défauts du système d’information | CMA_0427 – Corriger les défauts du système d’information | Manuel, désactivé | 1.1.0 |
Les composants système sont configurés et gérés de manière sécurisée
ID : PCI DSS v4.0 2.2.7 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Implémenter des mécanismes de chiffrement | CMA_C1419 – Implémenter des mécanismes de chiffrement | Manuel, désactivé | 1.1.0 |
Les environnements sans fil sont configurés et gérés de manière sécurisée
ID : PCI DSS v4.0 2.3.1 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Documenter et implémenter les instructions d’accès sans fil | CMA_0190 - Documenter et implémenter les instructions d’accès sans fil | Manuel, désactivé | 1.1.0 |
| Identifier et authentifier les périphériques réseau | CMA_0296 – Identifier et authentifier les périphériques réseau | Manuel, désactivé | 1.1.0 |
| Protéger l’accès sans fil | CMA_0411 - Protéger l’accès sans fil | Manuel, désactivé | 1.1.0 |
Les environnements sans fil sont configurés et gérés de manière sécurisée
ID : PCI DSS v4.0 2.3.2 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Documenter et implémenter les instructions d’accès sans fil | CMA_0190 - Documenter et implémenter les instructions d’accès sans fil | Manuel, désactivé | 1.1.0 |
| Identifier et authentifier les périphériques réseau | CMA_0296 – Identifier et authentifier les périphériques réseau | Manuel, désactivé | 1.1.0 |
| Protéger l’accès sans fil | CMA_0411 - Protéger l’accès sans fil | Manuel, désactivé | 1.1.0 |
Exigence 03 : Protéger les données de compte stockées
Des processus et mécanismes destinés à protéger les données de compte stockées sont définis et compris
ID : PCI DSS v4.0 3.1.1 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Établir un programme de confidentialité | CMA_0257 - Établir un programme de confidentialité | Manuel, désactivé | 1.1.0 |
| Examiner et mettre à jour les stratégies et procédures de protection du système et des communications | CMA_C1616 - Examiner et mettre à jour les stratégies et procédures de protection du système et des communications | Manuel, désactivé | 1.1.0 |
| Mettre à jour le plan, les stratégies et les procédures de confidentialité | CMA_C1807 - Mettre à jour le plan, les stratégies et les procédures de confidentialité | Manuel, désactivé | 1.1.0 |
Le stockage de données de compte est maintenu à un minimum
ID : PCI DSS v4.0 3.2.1 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Respecter les périodes de rétention définies | CMA_0004 – Respecter les périodes de rétention définies | Manuel, désactivé | 1.1.0 |
| Contrôler l’accès physique | CMA_0081 – Contrôler l’accès physique | Manuel, désactivé | 1.1.0 |
| Documenter la base légale pour le traitement des informations personnelles | CMA_0206 - Documenter la base légale pour le traitement des données personnelles | Manuel, désactivé | 1.1.0 |
| Gérer l’entrée, la sortie, le traitement et le stockage des données | CMA_0369 – Gérer l’entrée, la sortie, le traitement et le stockage des données | Manuel, désactivé | 1.1.0 |
| Obtenir le consentement avant la collecte ou le traitement des données personnelles | CMA_0385 - Obtenir le consentement avant la collecte ou le traitement des données personnelles | Manuel, désactivé | 1.1.0 |
| Effectuer une révision avant destruction | CMA_0391 - Effectuer une révision avant destruction | Manuel, désactivé | 1.1.0 |
| Examiner l’activité et l’analytique de l’étiquette | CMA_0474 – Examiner l’activité et l’analytique de l’étiquette | Manuel, désactivé | 1.1.0 |
| Vérifier que les données personnelles sont supprimées à la fin du traitement | CMA_0540 - Vérifier que les informations personnelles sont supprimées à la fin du traitement | Manuel, désactivé | 1.1.0 |
Les données d’authentification sensibles (SAD) ne sont pas stockées après l’autorisation
ID : PCI DSS v4.0 3.3.1 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Respecter les périodes de rétention définies | CMA_0004 – Respecter les périodes de rétention définies | Manuel, désactivé | 1.1.0 |
| Documenter la base légale pour le traitement des informations personnelles | CMA_0206 - Documenter la base légale pour le traitement des données personnelles | Manuel, désactivé | 1.1.0 |
| Implémenter des méthodes de remise de déclaration de confidentialité | CMA_0324 - Implémenter des méthodes de remise de déclaration de confidentialité | Manuel, désactivé | 1.1.0 |
| Obtenir le consentement avant la collecte ou le traitement des données personnelles | CMA_0385 - Obtenir le consentement avant la collecte ou le traitement des données personnelles | Manuel, désactivé | 1.1.0 |
| Effectuer une révision avant destruction | CMA_0391 - Effectuer une révision avant destruction | Manuel, désactivé | 1.1.0 |
| Fournir une déclaration de confidentialité | CMA_0414 - Fournir une déclaration de confidentialité | Manuel, désactivé | 1.1.0 |
| Restreindre les communications | CMA_0449 - Restreindre les communications | Manuel, désactivé | 1.1.0 |
| Vérifier que les données personnelles sont supprimées à la fin du traitement | CMA_0540 - Vérifier que les informations personnelles sont supprimées à la fin du traitement | Manuel, désactivé | 1.1.0 |
Les données d’authentification sensibles (SAD) ne sont pas stockées après l’autorisation
ID : PCI DSS v4.0 3.3.1.1 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Respecter les périodes de rétention définies | CMA_0004 – Respecter les périodes de rétention définies | Manuel, désactivé | 1.1.0 |
| Documenter la base légale pour le traitement des informations personnelles | CMA_0206 - Documenter la base légale pour le traitement des données personnelles | Manuel, désactivé | 1.1.0 |
| Implémenter des méthodes de remise de déclaration de confidentialité | CMA_0324 - Implémenter des méthodes de remise de déclaration de confidentialité | Manuel, désactivé | 1.1.0 |
| Obtenir le consentement avant la collecte ou le traitement des données personnelles | CMA_0385 - Obtenir le consentement avant la collecte ou le traitement des données personnelles | Manuel, désactivé | 1.1.0 |
| Effectuer une révision avant destruction | CMA_0391 - Effectuer une révision avant destruction | Manuel, désactivé | 1.1.0 |
| Fournir une déclaration de confidentialité | CMA_0414 - Fournir une déclaration de confidentialité | Manuel, désactivé | 1.1.0 |
| Restreindre les communications | CMA_0449 - Restreindre les communications | Manuel, désactivé | 1.1.0 |
| Vérifier que les données personnelles sont supprimées à la fin du traitement | CMA_0540 - Vérifier que les informations personnelles sont supprimées à la fin du traitement | Manuel, désactivé | 1.1.0 |
Les données d’authentification sensibles (SAD) ne sont pas stockées après l’autorisation
ID : PCI DSS v4.0 3.3.1.2 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Documenter la base légale pour le traitement des informations personnelles | CMA_0206 - Documenter la base légale pour le traitement des données personnelles | Manuel, désactivé | 1.1.0 |
| Implémenter des méthodes de remise de déclaration de confidentialité | CMA_0324 - Implémenter des méthodes de remise de déclaration de confidentialité | Manuel, désactivé | 1.1.0 |
| Obtenir le consentement avant la collecte ou le traitement des données personnelles | CMA_0385 - Obtenir le consentement avant la collecte ou le traitement des données personnelles | Manuel, désactivé | 1.1.0 |
| Fournir une déclaration de confidentialité | CMA_0414 - Fournir une déclaration de confidentialité | Manuel, désactivé | 1.1.0 |
| Restreindre les communications | CMA_0449 - Restreindre les communications | Manuel, désactivé | 1.1.0 |
Les données d’authentification sensibles (SAD) ne sont pas stockées après l’autorisation
ID : PCI DSS v4.0 3.3.1.3 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Respecter les périodes de rétention définies | CMA_0004 – Respecter les périodes de rétention définies | Manuel, désactivé | 1.1.0 |
| Documenter la base légale pour le traitement des informations personnelles | CMA_0206 - Documenter la base légale pour le traitement des données personnelles | Manuel, désactivé | 1.1.0 |
| Implémenter des méthodes de remise de déclaration de confidentialité | CMA_0324 - Implémenter des méthodes de remise de déclaration de confidentialité | Manuel, désactivé | 1.1.0 |
| Obtenir le consentement avant la collecte ou le traitement des données personnelles | CMA_0385 - Obtenir le consentement avant la collecte ou le traitement des données personnelles | Manuel, désactivé | 1.1.0 |
| Effectuer une révision avant destruction | CMA_0391 - Effectuer une révision avant destruction | Manuel, désactivé | 1.1.0 |
| Fournir une déclaration de confidentialité | CMA_0414 - Fournir une déclaration de confidentialité | Manuel, désactivé | 1.1.0 |
| Restreindre les communications | CMA_0449 - Restreindre les communications | Manuel, désactivé | 1.1.0 |
| Vérifier que les données personnelles sont supprimées à la fin du traitement | CMA_0540 - Vérifier que les informations personnelles sont supprimées à la fin du traitement | Manuel, désactivé | 1.1.0 |
Les données d’authentification sensibles (SAD) ne sont pas stockées après l’autorisation
ID : PCI DSS v4.0 3.3.2 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| S’authentifier auprès du module de chiffrement | CMA_0021 – S’authentifier auprès du module de chiffrement | Manuel, désactivé | 1.1.0 |
Les données d’authentification sensibles (SAD) ne sont pas stockées après l’autorisation
ID : PCI DSS v4.0 3.3.3 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Les comptes disposant d’autorisations de propriétaire sur les ressources Azure doivent être compatibles avec l’authentification multifacteur | MFA (Multi-Factor Authentication) doit être activé pour tous les comptes de l'abonnement disposant d'autorisations de propriétaire afin d'éviter une violation des comptes ou des ressources. | AuditIfNotExists, Désactivé | 1.0.0 |
| Les comptes disposant d’autorisations en écriture sur les ressources Azure doivent être compatibles avec l’authentification multifacteur | MFA (Multi-Factor Authentication) doit être activé pour tous les comptes de l'abonnement disposant de privilèges d'accès en écriture pour éviter une violation des comptes ou des ressources. | AuditIfNotExists, Désactivé | 1.0.0 |
| Un administrateur Azure Active Directory doit être approvisionné pour les serveurs SQL | Auditer l’approvisionnement d’un administrateur Azure Active Directory pour votre serveur SQL afin d’activer l’authentification Azure AD. L’authentification Azure AD permet une gestion simplifiée des autorisations et une gestion centralisée des utilisateurs de bases de données et d’autres services Microsoft | AuditIfNotExists, Désactivé | 1.0.0 |
| Auditer l’utilisation des rôles RBAC personnalisés | Auditer des rôles intégrés tels que « Propriétaire, contributeur, lecteur » au lieu des rôles RBAC personnalisés, qui sont susceptibles d’engendrer des erreurs. L’utilisation de rôles personnalisés est traitée comme une exception et nécessite un contrôle rigoureux et la modélisation des menaces | Audit, Désactivé | 1.0.1 |
| S’authentifier auprès du module de chiffrement | CMA_0021 – S’authentifier auprès du module de chiffrement | Manuel, désactivé | 1.1.0 |
| Documenter la base légale pour le traitement des informations personnelles | CMA_0206 - Documenter la base légale pour le traitement des données personnelles | Manuel, désactivé | 1.1.0 |
| Les comptes invités disposant d’autorisations de propriétaire sur les ressources Azure doivent être supprimés | Les comptes externes avec des autorisations de type propriétaire doivent être supprimés de votre abonnement pour empêcher un accès non contrôlé. | AuditIfNotExists, Désactivé | 1.0.0 |
| Les comptes invités disposant d’autorisations en lecture sur les ressources Azure doivent être supprimés | Les comptes externes avec des privilèges d'accès en lecture doivent être supprimés de votre abonnement afin d'empêcher un accès non contrôlé. | AuditIfNotExists, Désactivé | 1.0.0 |
| Les comptes invités disposant d’autorisations en écriture sur les ressources Azure doivent être supprimés | Les comptes externes avec des privilèges d'accès en écriture doivent être supprimés de votre abonnement afin d'empêcher un accès non contrôlé. | AuditIfNotExists, Désactivé | 1.0.0 |
| Implémenter des méthodes de remise de déclaration de confidentialité | CMA_0324 - Implémenter des méthodes de remise de déclaration de confidentialité | Manuel, désactivé | 1.1.0 |
| Obtenir le consentement avant la collecte ou le traitement des données personnelles | CMA_0385 - Obtenir le consentement avant la collecte ou le traitement des données personnelles | Manuel, désactivé | 1.1.0 |
| Fournir une déclaration de confidentialité | CMA_0414 - Fournir une déclaration de confidentialité | Manuel, désactivé | 1.1.0 |
| Restreindre les communications | CMA_0449 - Restreindre les communications | Manuel, désactivé | 1.1.0 |
L’accès aux affichages du numéro de compte principal (PAN) complet et la capacité à copier les données du titulaire de carte sont restreints
ID : PCI DSS v4.0 3.4.1 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Implémenter des méthodes de remise de déclaration de confidentialité | CMA_0324 - Implémenter des méthodes de remise de déclaration de confidentialité | Manuel, désactivé | 1.1.0 |
| Fournir une déclaration de confidentialité | CMA_0414 - Fournir une déclaration de confidentialité | Manuel, désactivé | 1.1.0 |
| Restreindre les communications | CMA_0449 - Restreindre les communications | Manuel, désactivé | 1.1.0 |
L’accès aux affichages du numéro de compte principal (PAN) complet et la capacité à copier les données du titulaire de carte sont restreints
ID : PCI DSS v4.0 3.4.2 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Implémenter des méthodes de remise de déclaration de confidentialité | CMA_0324 - Implémenter des méthodes de remise de déclaration de confidentialité | Manuel, désactivé | 1.1.0 |
| Fournir une déclaration de confidentialité | CMA_0414 - Fournir une déclaration de confidentialité | Manuel, désactivé | 1.1.0 |
| Restreindre les communications | CMA_0449 - Restreindre les communications | Manuel, désactivé | 1.1.0 |
Le numéro de compte principal (PAN) est sécurisé partout où il est stocké
ID : PCI DSS v4.0 3.5.1 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Les applications App Service doivent être accessibles uniquement via HTTPS | L'utilisation de HTTPS garantit l'authentification du serveur/service, et protège les données en transit contre les attaques par écoute clandestine de la couche réseau. | Audit, Désactivé, Refus | 4.0.0 |
| Les variables de compte Automation doivent être chiffrées | Il est important d’activer le chiffrement des ressources variables du compte Automation lors du stockage de données sensibles | Audit, Refuser, Désactivé | 1.1.0 |
| Établir une procédure de gestion des fuites de données | CMA_0255 – Établir une procédure de gestion des fuites de données | Manuel, désactivé | 1.1.0 |
| Les applications Function App ne doivent être accessibles que via HTTPS | L'utilisation de HTTPS garantit l'authentification du serveur/service, et protège les données en transit contre les attaques par écoute clandestine de la couche réseau. | Audit, Désactivé, Refus | 5.0.0 |
| Implémenter des contrôles pour sécuriser tous les supports | CMA_0314 – Implémenter des contrôles pour sécuriser tous les supports | Manuel, désactivé | 1.1.0 |
| Seules les connexions sécurisées à votre instance Azure Cache pour Redis doivent être activées | Auditer l’activation des connexions établies uniquement par le biais de SSL au cache Azure pour Redis. L'utilisation de connexions sécurisées garantit l'authentification entre le serveur et le service et protège les données en transit contre les attaques de la couche réseau (attaque de l'intercepteur ou « man-in-the-middle », écoute clandestine, détournement de session). | Audit, Refuser, Désactivé | 1.0.0 |
| Protéger les données en transit à l’aide du chiffrement | CMA_0403 – Protéger les données en transit à l’aide du chiffrement | Manuel, désactivé | 1.1.0 |
| Protéger des informations spéciales | CMA_0409 – Protéger des informations spéciales | Manuel, désactivé | 1.1.0 |
| La sécurisation du transfert vers des comptes de stockage doit être activée | Auditer l’exigence de transfert sécurisé dans votre compte de stockage. L’option de sécurisation du transfert oblige votre compte de stockage à accepter uniquement des requêtes provenant de connexions sécurisées (HTTPS). L’utilisation de HTTPS garantit l’authentification entre le serveur et le service et protège les données en transit contre les attaques de la couche réseau (attaque de l’intercepteur ou « man-in-the-middle », écoute clandestine, détournement de session) | Audit, Refuser, Désactivé | 2.0.0 |
| La propriété ClusterProtectionLevel doit être définie sur EncryptAndSign pour les clusters Service Fabric | Service Fabric fournit trois niveaux de protection (None, Sign et EncryptAndSign) pour la communication nœud à nœud à l’aide d’un certificat de cluster principal. Définissez le niveau de protection pour vous assurer que tous les messages de nœud à nœud sont chiffrés et signés numériquement | Audit, Refuser, Désactivé | 1.1.0 |
| Transparent Data Encryption sur les bases de données SQL doit être activé | Le chiffrement transparent des données doit être activé pour protéger les données au repos et respecter les conditions de conformité requises | AuditIfNotExists, Désactivé | 2.0.0 |
| Les machines virtuelles doivent chiffrer les disques temporaires, les caches et les flux de données entre les ressources de calcul et de stockage | Par défaut, le système d’exploitation et les disques de données d’une machine virtuelle sont chiffrés au repos à l’aide de clés gérées par la plateforme. Les disques temporaires, les caches de données et le flux de données entre le calcul et le stockage ne sont pas chiffrés. Ignorez cette recommandation dans les deux cas suivants : Vous utilisez le chiffrement sur l’hôte. Le chiffrement côté serveur des Disques managés répond à vos besoins en matière de sécurité. Pour en savoir plus, consultez : Chiffrement côté serveur de Stockage sur disque Azure : https://aka.ms/disksse, Différentes offres de chiffrement de disque : https://aka.ms/diskencryptioncomparison | AuditIfNotExists, Désactivé | 2.0.3 |
Le numéro de compte principal (PAN) est sécurisé partout où il est stocké
ID : PCI DSS v4.0 3.5.1.1 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Établir une procédure de gestion des fuites de données | CMA_0255 – Établir une procédure de gestion des fuites de données | Manuel, désactivé | 1.1.0 |
| Implémenter des contrôles pour sécuriser tous les supports | CMA_0314 – Implémenter des contrôles pour sécuriser tous les supports | Manuel, désactivé | 1.1.0 |
| Protéger les données en transit à l’aide du chiffrement | CMA_0403 – Protéger les données en transit à l’aide du chiffrement | Manuel, désactivé | 1.1.0 |
| Protéger des informations spéciales | CMA_0409 – Protéger des informations spéciales | Manuel, désactivé | 1.1.0 |
Le numéro de compte principal (PAN) est sécurisé partout où il est stocké
ID : PCI DSS v4.0 3.5.1.2 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Établir une procédure de gestion des fuites de données | CMA_0255 – Établir une procédure de gestion des fuites de données | Manuel, désactivé | 1.1.0 |
| Implémenter des contrôles pour sécuriser tous les supports | CMA_0314 – Implémenter des contrôles pour sécuriser tous les supports | Manuel, désactivé | 1.1.0 |
| Protéger les données en transit à l’aide du chiffrement | CMA_0403 – Protéger les données en transit à l’aide du chiffrement | Manuel, désactivé | 1.1.0 |
| Protéger des informations spéciales | CMA_0409 – Protéger des informations spéciales | Manuel, désactivé | 1.1.0 |
Le numéro de compte principal (PAN) est sécurisé partout où il est stocké
ID : PCI DSS v4.0 3.5.1.3 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Établir une procédure de gestion des fuites de données | CMA_0255 – Établir une procédure de gestion des fuites de données | Manuel, désactivé | 1.1.0 |
| Implémenter des contrôles pour sécuriser tous les supports | CMA_0314 – Implémenter des contrôles pour sécuriser tous les supports | Manuel, désactivé | 1.1.0 |
| Protéger les données en transit à l’aide du chiffrement | CMA_0403 – Protéger les données en transit à l’aide du chiffrement | Manuel, désactivé | 1.1.0 |
| Protéger des informations spéciales | CMA_0409 – Protéger des informations spéciales | Manuel, désactivé | 1.1.0 |
Les clés de chiffrement utilisées pour protéger les données de compte stockées sont sécurisées
ID : PCI DSS v4.0 3.6.1 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Définir un processus de gestion des clés physiques | CMA_0115 – Définir un processus de gestion des clés physiques | Manuel, désactivé | 1.1.0 |
| Définir l’utilisation du chiffrement | CMA_0120 – Définir l’utilisation du chiffrement | Manuel, désactivé | 1.1.0 |
| Définir les exigences organisationnelles pour la gestion des clés de chiffrement | CMA_0123 – Définir les exigences organisationnelles pour la gestion des clés de chiffrement | Manuel, désactivé | 1.1.0 |
| Déterminer les exigences d’assertion | CMA_0136 – Déterminer les exigences d’assertion | Manuel, désactivé | 1.1.0 |
| Émettre des certificats de clé publique | CMA_0347 – Émettre des certificats de clé publique | Manuel, désactivé | 1.1.0 |
| Gérer les clés de chiffrement symétriques | CMA_0367 – Gérer les clés de chiffrement symétriques | Manuel, désactivé | 1.1.0 |
| Restreindre l’accès aux clés privées | CMA_0445 – Restreindre l’accès aux clés privées | Manuel, désactivé | 1.1.0 |
Les clés de chiffrement utilisées pour protéger les données de compte stockées sont sécurisées
ID : PCI DSS v4.0 3.6.1.1 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Définir un processus de gestion des clés physiques | CMA_0115 – Définir un processus de gestion des clés physiques | Manuel, désactivé | 1.1.0 |
| Définir l’utilisation du chiffrement | CMA_0120 – Définir l’utilisation du chiffrement | Manuel, désactivé | 1.1.0 |
| Définir les exigences organisationnelles pour la gestion des clés de chiffrement | CMA_0123 – Définir les exigences organisationnelles pour la gestion des clés de chiffrement | Manuel, désactivé | 1.1.0 |
| Déterminer les exigences d’assertion | CMA_0136 – Déterminer les exigences d’assertion | Manuel, désactivé | 1.1.0 |
| Émettre des certificats de clé publique | CMA_0347 – Émettre des certificats de clé publique | Manuel, désactivé | 1.1.0 |
| Gérer les clés de chiffrement symétriques | CMA_0367 – Gérer les clés de chiffrement symétriques | Manuel, désactivé | 1.1.0 |
| Restreindre l’accès aux clés privées | CMA_0445 – Restreindre l’accès aux clés privées | Manuel, désactivé | 1.1.0 |
Les clés de chiffrement utilisées pour protéger les données de compte stockées sont sécurisées
ID : PCI DSS v4.0 3.6.1.2 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Définir un processus de gestion des clés physiques | CMA_0115 – Définir un processus de gestion des clés physiques | Manuel, désactivé | 1.1.0 |
| Définir l’utilisation du chiffrement | CMA_0120 – Définir l’utilisation du chiffrement | Manuel, désactivé | 1.1.0 |
| Définir les exigences organisationnelles pour la gestion des clés de chiffrement | CMA_0123 – Définir les exigences organisationnelles pour la gestion des clés de chiffrement | Manuel, désactivé | 1.1.0 |
| Déterminer les exigences d’assertion | CMA_0136 – Déterminer les exigences d’assertion | Manuel, désactivé | 1.1.0 |
| Émettre des certificats de clé publique | CMA_0347 – Émettre des certificats de clé publique | Manuel, désactivé | 1.1.0 |
| Gérer les clés de chiffrement symétriques | CMA_0367 – Gérer les clés de chiffrement symétriques | Manuel, désactivé | 1.1.0 |
| Produire, contrôler et distribuer des clés de chiffrement symétriques | CMA_C1645 – Produire, contrôler et distribuer des clés de chiffrement symétriques | Manuel, désactivé | 1.1.0 |
| Restreindre l’accès aux clés privées | CMA_0445 – Restreindre l’accès aux clés privées | Manuel, désactivé | 1.1.0 |
Les clés de chiffrement utilisées pour protéger les données de compte stockées sont sécurisées
ID : PCI DSS v4.0 3.6.1.3 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Définir un processus de gestion des clés physiques | CMA_0115 – Définir un processus de gestion des clés physiques | Manuel, désactivé | 1.1.0 |
| Définir l’utilisation du chiffrement | CMA_0120 – Définir l’utilisation du chiffrement | Manuel, désactivé | 1.1.0 |
| Définir les exigences organisationnelles pour la gestion des clés de chiffrement | CMA_0123 – Définir les exigences organisationnelles pour la gestion des clés de chiffrement | Manuel, désactivé | 1.1.0 |
| Déterminer les exigences d’assertion | CMA_0136 – Déterminer les exigences d’assertion | Manuel, désactivé | 1.1.0 |
| Émettre des certificats de clé publique | CMA_0347 – Émettre des certificats de clé publique | Manuel, désactivé | 1.1.0 |
| Gérer les clés de chiffrement symétriques | CMA_0367 – Gérer les clés de chiffrement symétriques | Manuel, désactivé | 1.1.0 |
| Restreindre l’accès aux clés privées | CMA_0445 – Restreindre l’accès aux clés privées | Manuel, désactivé | 1.1.0 |
Les clés de chiffrement utilisées pour protéger les données de compte stockées sont sécurisées
ID : PCI DSS v4.0 3.6.1.4 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Définir un processus de gestion des clés physiques | CMA_0115 – Définir un processus de gestion des clés physiques | Manuel, désactivé | 1.1.0 |
| Définir l’utilisation du chiffrement | CMA_0120 – Définir l’utilisation du chiffrement | Manuel, désactivé | 1.1.0 |
| Définir les exigences organisationnelles pour la gestion des clés de chiffrement | CMA_0123 – Définir les exigences organisationnelles pour la gestion des clés de chiffrement | Manuel, désactivé | 1.1.0 |
| Déterminer les exigences d’assertion | CMA_0136 – Déterminer les exigences d’assertion | Manuel, désactivé | 1.1.0 |
| Émettre des certificats de clé publique | CMA_0347 – Émettre des certificats de clé publique | Manuel, désactivé | 1.1.0 |
| Gérer les clés de chiffrement symétriques | CMA_0367 – Gérer les clés de chiffrement symétriques | Manuel, désactivé | 1.1.0 |
| Restreindre l’accès aux clés privées | CMA_0445 – Restreindre l’accès aux clés privées | Manuel, désactivé | 1.1.0 |
Lorsque le chiffrement est utilisé pour protéger les données de compte stockées, des processus et des procédures de gestion de clés couvrant tous les aspects du cycle de vie des clés sont définis et implémentés
ID : PCI DSS v4.0 3.7.1 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Définir un processus de gestion des clés physiques | CMA_0115 – Définir un processus de gestion des clés physiques | Manuel, désactivé | 1.1.0 |
| Définir l’utilisation du chiffrement | CMA_0120 – Définir l’utilisation du chiffrement | Manuel, désactivé | 1.1.0 |
| Définir les exigences organisationnelles pour la gestion des clés de chiffrement | CMA_0123 – Définir les exigences organisationnelles pour la gestion des clés de chiffrement | Manuel, désactivé | 1.1.0 |
| Déterminer les exigences d’assertion | CMA_0136 – Déterminer les exigences d’assertion | Manuel, désactivé | 1.1.0 |
| Émettre des certificats de clé publique | CMA_0347 – Émettre des certificats de clé publique | Manuel, désactivé | 1.1.0 |
| Gérer les clés de chiffrement symétriques | CMA_0367 – Gérer les clés de chiffrement symétriques | Manuel, désactivé | 1.1.0 |
| Restreindre l’accès aux clés privées | CMA_0445 – Restreindre l’accès aux clés privées | Manuel, désactivé | 1.1.0 |
Lorsque le chiffrement est utilisé pour protéger les données de compte stockées, des processus et des procédures de gestion de clés couvrant tous les aspects du cycle de vie des clés sont définis et implémentés
ID : PCI DSS v4.0 3.7.2 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Définir un processus de gestion des clés physiques | CMA_0115 – Définir un processus de gestion des clés physiques | Manuel, désactivé | 1.1.0 |
| Définir l’utilisation du chiffrement | CMA_0120 – Définir l’utilisation du chiffrement | Manuel, désactivé | 1.1.0 |
| Définir les exigences organisationnelles pour la gestion des clés de chiffrement | CMA_0123 – Définir les exigences organisationnelles pour la gestion des clés de chiffrement | Manuel, désactivé | 1.1.0 |
| Déterminer les exigences d’assertion | CMA_0136 – Déterminer les exigences d’assertion | Manuel, désactivé | 1.1.0 |
| Émettre des certificats de clé publique | CMA_0347 – Émettre des certificats de clé publique | Manuel, désactivé | 1.1.0 |
| Gérer les clés de chiffrement symétriques | CMA_0367 – Gérer les clés de chiffrement symétriques | Manuel, désactivé | 1.1.0 |
| Produire, contrôler et distribuer des clés de chiffrement symétriques | CMA_C1645 – Produire, contrôler et distribuer des clés de chiffrement symétriques | Manuel, désactivé | 1.1.0 |
| Restreindre l’accès aux clés privées | CMA_0445 – Restreindre l’accès aux clés privées | Manuel, désactivé | 1.1.0 |
Lorsque le chiffrement est utilisé pour protéger les données de compte stockées, des processus et des procédures de gestion de clés couvrant tous les aspects du cycle de vie des clés sont définis et implémentés
ID : PCI DSS v4.0 3.7.3 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Définir un processus de gestion des clés physiques | CMA_0115 – Définir un processus de gestion des clés physiques | Manuel, désactivé | 1.1.0 |
| Définir l’utilisation du chiffrement | CMA_0120 – Définir l’utilisation du chiffrement | Manuel, désactivé | 1.1.0 |
| Définir les exigences organisationnelles pour la gestion des clés de chiffrement | CMA_0123 – Définir les exigences organisationnelles pour la gestion des clés de chiffrement | Manuel, désactivé | 1.1.0 |
| Déterminer les exigences d’assertion | CMA_0136 – Déterminer les exigences d’assertion | Manuel, désactivé | 1.1.0 |
| Émettre des certificats de clé publique | CMA_0347 – Émettre des certificats de clé publique | Manuel, désactivé | 1.1.0 |
| Maintenir la disponibilité des informations | CMA_C1644 – Maintenir la disponibilité des informations | Manuel, désactivé | 1.1.0 |
| Gérer les clés de chiffrement symétriques | CMA_0367 – Gérer les clés de chiffrement symétriques | Manuel, désactivé | 1.1.0 |
| Produire, contrôler et distribuer des clés de chiffrement symétriques | CMA_C1645 – Produire, contrôler et distribuer des clés de chiffrement symétriques | Manuel, désactivé | 1.1.0 |
| Restreindre l’accès aux clés privées | CMA_0445 – Restreindre l’accès aux clés privées | Manuel, désactivé | 1.1.0 |
Lorsque le chiffrement est utilisé pour protéger les données de compte stockées, des processus et des procédures de gestion de clés couvrant tous les aspects du cycle de vie des clés sont définis et implémentés
ID : PCI DSS v4.0 3.7.4 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Définir un processus de gestion des clés physiques | CMA_0115 – Définir un processus de gestion des clés physiques | Manuel, désactivé | 1.1.0 |
| Définir l’utilisation du chiffrement | CMA_0120 – Définir l’utilisation du chiffrement | Manuel, désactivé | 1.1.0 |
| Définir les exigences organisationnelles pour la gestion des clés de chiffrement | CMA_0123 – Définir les exigences organisationnelles pour la gestion des clés de chiffrement | Manuel, désactivé | 1.1.0 |
| Déterminer les exigences d’assertion | CMA_0136 – Déterminer les exigences d’assertion | Manuel, désactivé | 1.1.0 |
| Émettre des certificats de clé publique | CMA_0347 – Émettre des certificats de clé publique | Manuel, désactivé | 1.1.0 |
| Gérer les clés de chiffrement symétriques | CMA_0367 – Gérer les clés de chiffrement symétriques | Manuel, désactivé | 1.1.0 |
| Restreindre l’accès aux clés privées | CMA_0445 – Restreindre l’accès aux clés privées | Manuel, désactivé | 1.1.0 |
Lorsque le chiffrement est utilisé pour protéger les données de compte stockées, des processus et des procédures de gestion de clés couvrant tous les aspects du cycle de vie des clés sont définis et implémentés
ID : PCI DSS v4.0 3.7.5 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Définir un processus de gestion des clés physiques | CMA_0115 – Définir un processus de gestion des clés physiques | Manuel, désactivé | 1.1.0 |
| Définir l’utilisation du chiffrement | CMA_0120 – Définir l’utilisation du chiffrement | Manuel, désactivé | 1.1.0 |
| Définir les exigences organisationnelles pour la gestion des clés de chiffrement | CMA_0123 – Définir les exigences organisationnelles pour la gestion des clés de chiffrement | Manuel, désactivé | 1.1.0 |
| Déterminer les exigences d’assertion | CMA_0136 – Déterminer les exigences d’assertion | Manuel, désactivé | 1.1.0 |
| Émettre des certificats de clé publique | CMA_0347 – Émettre des certificats de clé publique | Manuel, désactivé | 1.1.0 |
| Gérer les clés de chiffrement symétriques | CMA_0367 – Gérer les clés de chiffrement symétriques | Manuel, désactivé | 1.1.0 |
| Restreindre l’accès aux clés privées | CMA_0445 – Restreindre l’accès aux clés privées | Manuel, désactivé | 1.1.0 |
Lorsque le chiffrement est utilisé pour protéger les données de compte stockées, des processus et des procédures de gestion de clés couvrant tous les aspects du cycle de vie des clés sont définis et implémentés
ID : PCI DSS v4.0 3.7.6 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Définir un processus de gestion des clés physiques | CMA_0115 – Définir un processus de gestion des clés physiques | Manuel, désactivé | 1.1.0 |
| Définir l’utilisation du chiffrement | CMA_0120 – Définir l’utilisation du chiffrement | Manuel, désactivé | 1.1.0 |
| Définir les exigences organisationnelles pour la gestion des clés de chiffrement | CMA_0123 – Définir les exigences organisationnelles pour la gestion des clés de chiffrement | Manuel, désactivé | 1.1.0 |
| Déterminer les exigences d’assertion | CMA_0136 – Déterminer les exigences d’assertion | Manuel, désactivé | 1.1.0 |
| Émettre des certificats de clé publique | CMA_0347 – Émettre des certificats de clé publique | Manuel, désactivé | 1.1.0 |
| Gérer les clés de chiffrement symétriques | CMA_0367 – Gérer les clés de chiffrement symétriques | Manuel, désactivé | 1.1.0 |
| Restreindre l’accès aux clés privées | CMA_0445 – Restreindre l’accès aux clés privées | Manuel, désactivé | 1.1.0 |
Lorsque le chiffrement est utilisé pour protéger les données de compte stockées, des processus et des procédures de gestion de clés couvrant tous les aspects du cycle de vie des clés sont définis et implémentés
ID : PCI DSS v4.0 3.7.7 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Définir un processus de gestion des clés physiques | CMA_0115 – Définir un processus de gestion des clés physiques | Manuel, désactivé | 1.1.0 |
| Définir l’utilisation du chiffrement | CMA_0120 – Définir l’utilisation du chiffrement | Manuel, désactivé | 1.1.0 |
| Définir les exigences organisationnelles pour la gestion des clés de chiffrement | CMA_0123 – Définir les exigences organisationnelles pour la gestion des clés de chiffrement | Manuel, désactivé | 1.1.0 |
| Déterminer les exigences d’assertion | CMA_0136 – Déterminer les exigences d’assertion | Manuel, désactivé | 1.1.0 |
| Émettre des certificats de clé publique | CMA_0347 – Émettre des certificats de clé publique | Manuel, désactivé | 1.1.0 |
| Gérer les clés de chiffrement symétriques | CMA_0367 – Gérer les clés de chiffrement symétriques | Manuel, désactivé | 1.1.0 |
| Restreindre l’accès aux clés privées | CMA_0445 – Restreindre l’accès aux clés privées | Manuel, désactivé | 1.1.0 |
Lorsque le chiffrement est utilisé pour protéger les données de compte stockées, des processus et des procédures de gestion de clés couvrant tous les aspects du cycle de vie des clés sont définis et implémentés
ID : PCI DSS v4.0 3.7.8 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Définir un processus de gestion des clés physiques | CMA_0115 – Définir un processus de gestion des clés physiques | Manuel, désactivé | 1.1.0 |
| Définir l’utilisation du chiffrement | CMA_0120 – Définir l’utilisation du chiffrement | Manuel, désactivé | 1.1.0 |
| Définir les exigences organisationnelles pour la gestion des clés de chiffrement | CMA_0123 – Définir les exigences organisationnelles pour la gestion des clés de chiffrement | Manuel, désactivé | 1.1.0 |
| Déterminer les exigences d’assertion | CMA_0136 – Déterminer les exigences d’assertion | Manuel, désactivé | 1.1.0 |
| Émettre des certificats de clé publique | CMA_0347 – Émettre des certificats de clé publique | Manuel, désactivé | 1.1.0 |
| Gérer les clés de chiffrement symétriques | CMA_0367 – Gérer les clés de chiffrement symétriques | Manuel, désactivé | 1.1.0 |
| Restreindre l’accès aux clés privées | CMA_0445 – Restreindre l’accès aux clés privées | Manuel, désactivé | 1.1.0 |
Lorsque le chiffrement est utilisé pour protéger les données de compte stockées, des processus et des procédures de gestion de clés couvrant tous les aspects du cycle de vie des clés sont définis et implémentés
ID : PCI DSS v4.0 3.7.9 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Définir un processus de gestion des clés physiques | CMA_0115 – Définir un processus de gestion des clés physiques | Manuel, désactivé | 1.1.0 |
| Définir l’utilisation du chiffrement | CMA_0120 – Définir l’utilisation du chiffrement | Manuel, désactivé | 1.1.0 |
| Définir les exigences organisationnelles pour la gestion des clés de chiffrement | CMA_0123 – Définir les exigences organisationnelles pour la gestion des clés de chiffrement | Manuel, désactivé | 1.1.0 |
| Déterminer les exigences d’assertion | CMA_0136 – Déterminer les exigences d’assertion | Manuel, désactivé | 1.1.0 |
| Émettre des certificats de clé publique | CMA_0347 – Émettre des certificats de clé publique | Manuel, désactivé | 1.1.0 |
| Gérer les clés de chiffrement symétriques | CMA_0367 – Gérer les clés de chiffrement symétriques | Manuel, désactivé | 1.1.0 |
| Restreindre l’accès aux clés privées | CMA_0445 – Restreindre l’accès aux clés privées | Manuel, désactivé | 1.1.0 |
Exigence 04 : Protéger les données de titulaires de carte avec un chiffrement fort lors de la transmission sur des réseaux publics ouverts
Des processus et mécanismes destinés à protéger les données de titulaires de cartes avec chiffrement fort lors de la transmission sur des réseaux publics ouverts sont définis et documentés
ID : PCI DSS v4.0 4.1.1 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Examiner et mettre à jour les stratégies et procédures de protection du système et des communications | CMA_C1616 - Examiner et mettre à jour les stratégies et procédures de protection du système et des communications | Manuel, désactivé | 1.1.0 |
Le numéro de compte principal (PAN) est protégé par un chiffrement fort pendant la transmission
ID : PCI DSS v4.0 4.2.1 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Configurer des stations de travail pour rechercher des certificats numériques | CMA_0073 – Configurer des stations de travail pour rechercher des certificats numériques | Manuel, désactivé | 1.1.0 |
| Définir un processus de gestion des clés physiques | CMA_0115 – Définir un processus de gestion des clés physiques | Manuel, désactivé | 1.1.0 |
| Définir l’utilisation du chiffrement | CMA_0120 – Définir l’utilisation du chiffrement | Manuel, désactivé | 1.1.0 |
| Définir les exigences organisationnelles pour la gestion des clés de chiffrement | CMA_0123 – Définir les exigences organisationnelles pour la gestion des clés de chiffrement | Manuel, désactivé | 1.1.0 |
| Déterminer les exigences d’assertion | CMA_0136 – Déterminer les exigences d’assertion | Manuel, désactivé | 1.1.0 |
| Émettre des certificats de clé publique | CMA_0347 – Émettre des certificats de clé publique | Manuel, désactivé | 1.1.0 |
| Gérer les clés de chiffrement symétriques | CMA_0367 – Gérer les clés de chiffrement symétriques | Manuel, désactivé | 1.1.0 |
| Produire, contrôler et distribuer des clés de chiffrement asymétriques | CMA_C1646 - Produire, contrôler et distribuer des clés de chiffrement asymétriques | Manuel, désactivé | 1.1.0 |
| Produire, contrôler et distribuer des clés de chiffrement symétriques | CMA_C1645 – Produire, contrôler et distribuer des clés de chiffrement symétriques | Manuel, désactivé | 1.1.0 |
| Protéger les données en transit à l’aide du chiffrement | CMA_0403 – Protéger les données en transit à l’aide du chiffrement | Manuel, désactivé | 1.1.0 |
| Protéger les mots de passe avec le chiffrement | CMA_0408 – Protéger les mots de passe avec le chiffrement | Manuel, désactivé | 1.1.0 |
| Restreindre l’accès aux clés privées | CMA_0445 – Restreindre l’accès aux clés privées | Manuel, désactivé | 1.1.0 |
Le numéro de compte principal (PAN) est protégé par un chiffrement fort pendant la transmission
ID : PCI DSS v4.0 4.2.1.1 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Définir un processus de gestion des clés physiques | CMA_0115 – Définir un processus de gestion des clés physiques | Manuel, désactivé | 1.1.0 |
| Définir l’utilisation du chiffrement | CMA_0120 – Définir l’utilisation du chiffrement | Manuel, désactivé | 1.1.0 |
| Définir les exigences organisationnelles pour la gestion des clés de chiffrement | CMA_0123 – Définir les exigences organisationnelles pour la gestion des clés de chiffrement | Manuel, désactivé | 1.1.0 |
| Déterminer les exigences d’assertion | CMA_0136 – Déterminer les exigences d’assertion | Manuel, désactivé | 1.1.0 |
| Émettre des certificats de clé publique | CMA_0347 – Émettre des certificats de clé publique | Manuel, désactivé | 1.1.0 |
| Maintenir la disponibilité des informations | CMA_C1644 – Maintenir la disponibilité des informations | Manuel, désactivé | 1.1.0 |
| Gérer les clés de chiffrement symétriques | CMA_0367 – Gérer les clés de chiffrement symétriques | Manuel, désactivé | 1.1.0 |
| Restreindre l’accès aux clés privées | CMA_0445 – Restreindre l’accès aux clés privées | Manuel, désactivé | 1.1.0 |
Le numéro de compte principal (PAN) est protégé par un chiffrement fort pendant la transmission
ID : PCI DSS v4.0 4.2.1.2 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Documenter et implémenter les instructions d’accès sans fil | CMA_0190 - Documenter et implémenter les instructions d’accès sans fil | Manuel, désactivé | 1.1.0 |
| Identifier et authentifier les périphériques réseau | CMA_0296 – Identifier et authentifier les périphériques réseau | Manuel, désactivé | 1.1.0 |
| Protéger l’accès sans fil | CMA_0411 - Protéger l’accès sans fil | Manuel, désactivé | 1.1.0 |
Le numéro de compte principal (PAN) est protégé par un chiffrement fort pendant la transmission
ID : PCI DSS v4.0 4.2.2 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Configurer des stations de travail pour rechercher des certificats numériques | CMA_0073 – Configurer des stations de travail pour rechercher des certificats numériques | Manuel, désactivé | 1.1.0 |
| Protéger les données en transit à l’aide du chiffrement | CMA_0403 – Protéger les données en transit à l’aide du chiffrement | Manuel, désactivé | 1.1.0 |
| Protéger les mots de passe avec le chiffrement | CMA_0408 – Protéger les mots de passe avec le chiffrement | Manuel, désactivé | 1.1.0 |
Exigence 05 : Protéger tous les systèmes et réseaux contre les logiciels malveillants
Des processus et mécanismes destinés à protéger tous les systèmes et réseaux contre les logiciels malveillants sont définis et compris
ID : PCI DSS v4.0 5.1.1 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Passer en revue et mettre à jour les stratégies et les procédures d’intégrité des informations | CMA_C1667 - Passer en revue et mettre à jour les stratégies et les procédures d’intégrité des informations | Manuel, désactivé | 1.1.0 |
Les logiciels malveillants sont endigués ou détectés et traités
ID : PCI DSS v4.0 5.2.1 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Une solution d’évaluation des vulnérabilités doit être activée sur vos machines virtuelles | Audite les machines virtuelles pour détecter si elles exécutent une solution d’évaluation des vulnérabilités prise en charge. L’identification et l’analyse des vulnérabilités constituent un composant fondamental de chaque programme de sécurité et d’évaluation des cyber-risques. Le niveau tarifaire Standard d’Azure Security Center comprend l’analyse des vulnérabilités de vos machines virtuelles sans coût supplémentaire. De plus, Security Center peut déployer cet outil automatiquement pour vous. | AuditIfNotExists, Désactivé | 3.0.0 |
| Bloque les processus non approuvés et non signés qui s’exécutent par USB | CMA_0050 – Bloquer les processus non signés et non approuvés qui s'exécutent à partir d'un lecteur USB | Manuel, désactivé | 1.1.0 |
| Gérer les passerelles | CMA_0363 – Gérer les passerelles | Manuel, désactivé | 1.1.0 |
| Superviser les agents Endpoint Protection manquants dans Azure Security Center | Les serveurs sans agent Endpoint Protection installé seront supervisés par Azure Security Center en tant que recommandation | AuditIfNotExists, Désactivé | 3.0.0 |
| Effectuer une analyse des tendances sur les menaces | CMA_0389 – Effectuer une analyse des tendances sur les menaces | Manuel, désactivé | 1.1.0 |
| Effectuer des analyses de vulnérabilité | CMA_0393 – Effectuer des analyses de vulnérabilité | Manuel, désactivé | 1.1.0 |
| Examiner le rapport hebdomadaire sur les détections de programmes malveillants | CMA_0475 – Examiner le rapport hebdomadaire sur les détections de programmes malveillants | Manuel, désactivé | 1.1.0 |
| Passer en revue l’état de la protection contre les menaces chaque semaine | CMA_0479 – Passer en revue l’état de la protection contre les menaces chaque semaine | Manuel, désactivé | 1.1.0 |
| Les résultats des vulnérabilités des bases de données SQL doivent être résolus | Supervisez les résultats de l’analyse des vulnérabilités et les recommandations sur la correction des vulnérabilités liées aux bases de données. | AuditIfNotExists, Désactivé | 4.1.0 |
| Les mises à jour système doivent être installées sur vos machines | Les mises à jour système de sécurité manquantes sur vos serveurs seront supervisées par Azure Security Center en tant que recommandation | AuditIfNotExists, Désactivé | 4.0.0 |
| Mettre à jour les définitions de l’antivirus | CMA_0517 – Mettre à jour les définitions de l’antivirus | Manuel, désactivé | 1.1.0 |
| Les vulnérabilités dans la configuration de la sécurité sur vos machines doivent être corrigées | Les serveurs qui ne respectent pas la base de référence configurée seront supervisés par Azure Security Center en tant que recommandation | AuditIfNotExists, Désactivé | 3.1.0 |
Les logiciels malveillants sont endigués ou détectés et traités
ID : PCI DSS v4.0 5.2.2 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Une solution d’évaluation des vulnérabilités doit être activée sur vos machines virtuelles | Audite les machines virtuelles pour détecter si elles exécutent une solution d’évaluation des vulnérabilités prise en charge. L’identification et l’analyse des vulnérabilités constituent un composant fondamental de chaque programme de sécurité et d’évaluation des cyber-risques. Le niveau tarifaire Standard d’Azure Security Center comprend l’analyse des vulnérabilités de vos machines virtuelles sans coût supplémentaire. De plus, Security Center peut déployer cet outil automatiquement pour vous. | AuditIfNotExists, Désactivé | 3.0.0 |
| Bloque les processus non approuvés et non signés qui s’exécutent par USB | CMA_0050 – Bloquer les processus non signés et non approuvés qui s'exécutent à partir d'un lecteur USB | Manuel, désactivé | 1.1.0 |
| Gérer les passerelles | CMA_0363 – Gérer les passerelles | Manuel, désactivé | 1.1.0 |
| Superviser les agents Endpoint Protection manquants dans Azure Security Center | Les serveurs sans agent Endpoint Protection installé seront supervisés par Azure Security Center en tant que recommandation | AuditIfNotExists, Désactivé | 3.0.0 |
| Effectuer une analyse des tendances sur les menaces | CMA_0389 – Effectuer une analyse des tendances sur les menaces | Manuel, désactivé | 1.1.0 |
| Effectuer des analyses de vulnérabilité | CMA_0393 – Effectuer des analyses de vulnérabilité | Manuel, désactivé | 1.1.0 |
| Examiner le rapport hebdomadaire sur les détections de programmes malveillants | CMA_0475 – Examiner le rapport hebdomadaire sur les détections de programmes malveillants | Manuel, désactivé | 1.1.0 |
| Passer en revue l’état de la protection contre les menaces chaque semaine | CMA_0479 – Passer en revue l’état de la protection contre les menaces chaque semaine | Manuel, désactivé | 1.1.0 |
| Les résultats des vulnérabilités des bases de données SQL doivent être résolus | Supervisez les résultats de l’analyse des vulnérabilités et les recommandations sur la correction des vulnérabilités liées aux bases de données. | AuditIfNotExists, Désactivé | 4.1.0 |
| Les mises à jour système doivent être installées sur vos machines | Les mises à jour système de sécurité manquantes sur vos serveurs seront supervisées par Azure Security Center en tant que recommandation | AuditIfNotExists, Désactivé | 4.0.0 |
| Mettre à jour les définitions de l’antivirus | CMA_0517 – Mettre à jour les définitions de l’antivirus | Manuel, désactivé | 1.1.0 |
| Les vulnérabilités dans la configuration de la sécurité sur vos machines doivent être corrigées | Les serveurs qui ne respectent pas la base de référence configurée seront supervisés par Azure Security Center en tant que recommandation | AuditIfNotExists, Désactivé | 3.1.0 |
Les logiciels malveillants sont endigués ou détectés et traités
ID : PCI DSS v4.0 5.2.3 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Une solution d’évaluation des vulnérabilités doit être activée sur vos machines virtuelles | Audite les machines virtuelles pour détecter si elles exécutent une solution d’évaluation des vulnérabilités prise en charge. L’identification et l’analyse des vulnérabilités constituent un composant fondamental de chaque programme de sécurité et d’évaluation des cyber-risques. Le niveau tarifaire Standard d’Azure Security Center comprend l’analyse des vulnérabilités de vos machines virtuelles sans coût supplémentaire. De plus, Security Center peut déployer cet outil automatiquement pour vous. | AuditIfNotExists, Désactivé | 3.0.0 |
| Bloque les processus non approuvés et non signés qui s’exécutent par USB | CMA_0050 – Bloquer les processus non signés et non approuvés qui s'exécutent à partir d'un lecteur USB | Manuel, désactivé | 1.1.0 |
| Gérer les passerelles | CMA_0363 – Gérer les passerelles | Manuel, désactivé | 1.1.0 |
| Superviser les agents Endpoint Protection manquants dans Azure Security Center | Les serveurs sans agent Endpoint Protection installé seront supervisés par Azure Security Center en tant que recommandation | AuditIfNotExists, Désactivé | 3.0.0 |
| Effectuer une analyse des tendances sur les menaces | CMA_0389 – Effectuer une analyse des tendances sur les menaces | Manuel, désactivé | 1.1.0 |
| Effectuer des analyses de vulnérabilité | CMA_0393 – Effectuer des analyses de vulnérabilité | Manuel, désactivé | 1.1.0 |
| Examiner le rapport hebdomadaire sur les détections de programmes malveillants | CMA_0475 – Examiner le rapport hebdomadaire sur les détections de programmes malveillants | Manuel, désactivé | 1.1.0 |
| Passer en revue l’état de la protection contre les menaces chaque semaine | CMA_0479 – Passer en revue l’état de la protection contre les menaces chaque semaine | Manuel, désactivé | 1.1.0 |
| Les résultats des vulnérabilités des bases de données SQL doivent être résolus | Supervisez les résultats de l’analyse des vulnérabilités et les recommandations sur la correction des vulnérabilités liées aux bases de données. | AuditIfNotExists, Désactivé | 4.1.0 |
| Les mises à jour système doivent être installées sur vos machines | Les mises à jour système de sécurité manquantes sur vos serveurs seront supervisées par Azure Security Center en tant que recommandation | AuditIfNotExists, Désactivé | 4.0.0 |
| Mettre à jour les définitions de l’antivirus | CMA_0517 – Mettre à jour les définitions de l’antivirus | Manuel, désactivé | 1.1.0 |
| Les vulnérabilités dans la configuration de la sécurité sur vos machines doivent être corrigées | Les serveurs qui ne respectent pas la base de référence configurée seront supervisés par Azure Security Center en tant que recommandation | AuditIfNotExists, Désactivé | 3.1.0 |
Les logiciels malveillants sont endigués ou détectés et traités
ID : PCI DSS v4.0 5.2.3.1 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Effectuer une évaluation des risques | CMA_C1543 - Effectuer une évaluation des risques | Manuel, désactivé | 1.1.0 |
| Effectuer l’évaluation des risques et documenter ses résultats | CMA_C1542 - Effectuer l’évaluation des risques et documenter ses résultats | Manuel, désactivé | 1.1.0 |
| Effectuer une évaluation des risques | CMA_0388 - Effectuer une évaluation des risques | Manuel, désactivé | 1.1.0 |
Des mécanismes et processus anti-programme malveillant sont actifs, gérés et surveillés
ID : PCI DSS v4.0 5.3.1 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Bloque les processus non approuvés et non signés qui s’exécutent par USB | CMA_0050 – Bloquer les processus non signés et non approuvés qui s'exécutent à partir d'un lecteur USB | Manuel, désactivé | 1.1.0 |
| Gérer les passerelles | CMA_0363 – Gérer les passerelles | Manuel, désactivé | 1.1.0 |
| Effectuer une analyse des tendances sur les menaces | CMA_0389 – Effectuer une analyse des tendances sur les menaces | Manuel, désactivé | 1.1.0 |
| Effectuer des analyses de vulnérabilité | CMA_0393 – Effectuer des analyses de vulnérabilité | Manuel, désactivé | 1.1.0 |
| Examiner le rapport hebdomadaire sur les détections de programmes malveillants | CMA_0475 – Examiner le rapport hebdomadaire sur les détections de programmes malveillants | Manuel, désactivé | 1.1.0 |
| Mettre à jour les définitions de l’antivirus | CMA_0517 – Mettre à jour les définitions de l’antivirus | Manuel, désactivé | 1.1.0 |
Des mécanismes et processus anti-programme malveillant sont actifs, gérés et surveillés
ID : PCI DSS v4.0 5.3.3 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Bloque les processus non approuvés et non signés qui s’exécutent par USB | CMA_0050 – Bloquer les processus non signés et non approuvés qui s'exécutent à partir d'un lecteur USB | Manuel, désactivé | 1.1.0 |
| Gérer les passerelles | CMA_0363 – Gérer les passerelles | Manuel, désactivé | 1.1.0 |
| Effectuer une analyse des tendances sur les menaces | CMA_0389 – Effectuer une analyse des tendances sur les menaces | Manuel, désactivé | 1.1.0 |
| Effectuer des analyses de vulnérabilité | CMA_0393 – Effectuer des analyses de vulnérabilité | Manuel, désactivé | 1.1.0 |
| Examiner le rapport hebdomadaire sur les détections de programmes malveillants | CMA_0475 – Examiner le rapport hebdomadaire sur les détections de programmes malveillants | Manuel, désactivé | 1.1.0 |
| Passer en revue l’état de la protection contre les menaces chaque semaine | CMA_0479 – Passer en revue l’état de la protection contre les menaces chaque semaine | Manuel, désactivé | 1.1.0 |
| Mettre à jour les définitions de l’antivirus | CMA_0517 – Mettre à jour les définitions de l’antivirus | Manuel, désactivé | 1.1.0 |
Des mécanismes et processus anti-programme malveillant sont actifs, gérés et surveillés
ID : PCI DSS v4.0 5.3.4 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Respecter les périodes de rétention définies | CMA_0004 – Respecter les périodes de rétention définies | Manuel, désactivé | 1.1.0 |
| Déterminer les événements auditables | CMA_0137 – Déterminer les événements auditables | Manuel, désactivé | 1.1.0 |
| Conserver les stratégies et procédures de sécurité | CMA_0454 – Conserver les stratégies et procédures de sécurité | Manuel, désactivé | 1.1.0 |
| Conserver les données utilisateur terminées | CMA_0455 – Conserver les données utilisateur terminées | Manuel, désactivé | 1.1.0 |
Des mécanismes et processus anti-programme malveillant sont actifs, gérés et surveillés
ID : PCI DSS v4.0 5.3.5 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Effectuer une analyse d’impact sur la sécurité | CMA_0057 - Effectuer une analyse d’impact sur la sécurité | Manuel, désactivé | 1.1.0 |
| Développer et gérer un standard de gestion des vulnérabilités | CMA_0152 - Développer et gérer un standard de gestion des vulnérabilités | Manuel, désactivé | 1.1.0 |
| Établir une stratégie de gestion des risques | CMA_0258 - Établir une stratégie de gestion des risques | Manuel, désactivé | 1.1.0 |
| Établir et documenter les processus de contrôle des modifications | CMA_0265 – Établir et documenter les processus de contrôle des modifications | Manuel, désactivé | 1.1.0 |
| Établir des exigences de gestion de configuration pour les développeurs | CMA_0270 - Établir des exigences de gestion de configuration pour les développeurs | Manuel, désactivé | 1.1.0 |
| Effectuer une évaluation de l’impact sur la confidentialité | CMA_0387 - Effectuer une évaluation de l’impact sur la confidentialité | Manuel, désactivé | 1.1.0 |
| Effectuer une évaluation des risques | CMA_0388 - Effectuer une évaluation des risques | Manuel, désactivé | 1.1.0 |
| Effectuer un audit pour le contrôle des modifications de configuration | CMA_0390 - Effectuer un audit pour le contrôle des modifications de configuration | Manuel, désactivé | 1.1.0 |
Des mécanismes anti-hameçonnage protègent les utilisateurs contre les attaques par hameçonnage
ID : PCI DSS v4.0 5.4.1 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Bloque les processus non approuvés et non signés qui s’exécutent par USB | CMA_0050 – Bloquer les processus non signés et non approuvés qui s'exécutent à partir d'un lecteur USB | Manuel, désactivé | 1.1.0 |
| Gérer les passerelles | CMA_0363 – Gérer les passerelles | Manuel, désactivé | 1.1.0 |
| Effectuer une analyse des tendances sur les menaces | CMA_0389 – Effectuer une analyse des tendances sur les menaces | Manuel, désactivé | 1.1.0 |
| Effectuer des analyses de vulnérabilité | CMA_0393 – Effectuer des analyses de vulnérabilité | Manuel, désactivé | 1.1.0 |
| Examiner le rapport hebdomadaire sur les détections de programmes malveillants | CMA_0475 – Examiner le rapport hebdomadaire sur les détections de programmes malveillants | Manuel, désactivé | 1.1.0 |
| Passer en revue l’état de la protection contre les menaces chaque semaine | CMA_0479 – Passer en revue l’état de la protection contre les menaces chaque semaine | Manuel, désactivé | 1.1.0 |
| Mettre à jour les définitions de l’antivirus | CMA_0517 – Mettre à jour les définitions de l’antivirus | Manuel, désactivé | 1.1.0 |
Exigence 06 : Développer et gérer des systèmes et logiciels sécurisés
Des processus et mécanismes destinés à développer et gérer des systèmes et des logiciels sécurisés sont définis et compris
ID : PCI DSS v4.0 6.1.1 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Passer en revue et mettre à jour les stratégies et les procédures de gestion des configurations | CMA_C1175 - Passer en revue et mettre à jour les stratégies et les procédures de gestion des configurations | Manuel, désactivé | 1.1.0 |
| Passer en revue et mettre à jour les procédures et les stratégies d’acquisition de systèmes et de services | CMA_C1560 - Passer en revue et mettre à jour les procédures et les stratégies d’acquisition de systèmes et de services | Manuel, désactivé | 1.1.0 |
Des logiciels personnalisés et sur mesure sont développés de manière sécurisée
ID : PCI DSS v4.0 6.2.2 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Fournir une formation périodique sur la sécurité basée sur les rôles | CMA_C1095 - Fournir une formation périodique sur la sécurité basée sur les rôles | Manuel, désactivé | 1.1.0 |
| Fournir une formation sur la sécurité avant de fournir l’accès | CMA_0418 - Fournir une formation sur la sécurité avant de fournir l’accès | Manuel, désactivé | 1.1.0 |
Des logiciels personnalisés et sur mesure sont développés de manière sécurisée
ID : PCI DSS v4.0 6.2.3.1 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Séparer les tâches des personnes | CMA_0492 - Séparer les tâches des personnes | Manuel, désactivé | 1.1.0 |
Des logiciels personnalisés et sur mesure sont développés de manière sécurisée
ID : PCI DSS v4.0 6.2.4 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Les applications App Service doivent être accessibles uniquement via HTTPS | L'utilisation de HTTPS garantit l'authentification du serveur/service, et protège les données en transit contre les attaques par écoute clandestine de la couche réseau. | Audit, Désactivé, Refus | 4.0.0 |
| Les variables de compte Automation doivent être chiffrées | Il est important d’activer le chiffrement des ressources variables du compte Automation lors du stockage de données sensibles | Audit, Refuser, Désactivé | 1.1.0 |
| Les applications Function App ne doivent être accessibles que via HTTPS | L'utilisation de HTTPS garantit l'authentification du serveur/service, et protège les données en transit contre les attaques par écoute clandestine de la couche réseau. | Audit, Désactivé, Refus | 5.0.0 |
| Seules les connexions sécurisées à votre instance Azure Cache pour Redis doivent être activées | Auditer l’activation des connexions établies uniquement par le biais de SSL au cache Azure pour Redis. L'utilisation de connexions sécurisées garantit l'authentification entre le serveur et le service et protège les données en transit contre les attaques de la couche réseau (attaque de l'intercepteur ou « man-in-the-middle », écoute clandestine, détournement de session). | Audit, Refuser, Désactivé | 1.0.0 |
| La sécurisation du transfert vers des comptes de stockage doit être activée | Auditer l’exigence de transfert sécurisé dans votre compte de stockage. L’option de sécurisation du transfert oblige votre compte de stockage à accepter uniquement des requêtes provenant de connexions sécurisées (HTTPS). L’utilisation de HTTPS garantit l’authentification entre le serveur et le service et protège les données en transit contre les attaques de la couche réseau (attaque de l’intercepteur ou « man-in-the-middle », écoute clandestine, détournement de session) | Audit, Refuser, Désactivé | 2.0.0 |
| La propriété ClusterProtectionLevel doit être définie sur EncryptAndSign pour les clusters Service Fabric | Service Fabric fournit trois niveaux de protection (None, Sign et EncryptAndSign) pour la communication nœud à nœud à l’aide d’un certificat de cluster principal. Définissez le niveau de protection pour vous assurer que tous les messages de nœud à nœud sont chiffrés et signés numériquement | Audit, Refuser, Désactivé | 1.1.0 |
| Transparent Data Encryption sur les bases de données SQL doit être activé | Le chiffrement transparent des données doit être activé pour protéger les données au repos et respecter les conditions de conformité requises | AuditIfNotExists, Désactivé | 2.0.0 |
| Les machines virtuelles doivent chiffrer les disques temporaires, les caches et les flux de données entre les ressources de calcul et de stockage | Par défaut, le système d’exploitation et les disques de données d’une machine virtuelle sont chiffrés au repos à l’aide de clés gérées par la plateforme. Les disques temporaires, les caches de données et le flux de données entre le calcul et le stockage ne sont pas chiffrés. Ignorez cette recommandation dans les deux cas suivants : Vous utilisez le chiffrement sur l’hôte. Le chiffrement côté serveur des Disques managés répond à vos besoins en matière de sécurité. Pour en savoir plus, consultez : Chiffrement côté serveur de Stockage sur disque Azure : https://aka.ms/disksse, Différentes offres de chiffrement de disque : https://aka.ms/diskencryptioncomparison | AuditIfNotExists, Désactivé | 2.0.3 |
Les vulnérabilités de sécurité sont identifiées et corrigées
ID : PCI DSS v4.0 6.3.1 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Diffuser les alertes de sécurité au personnel | CMA_C1705 - Diffuser les alertes de sécurité au personnel | Manuel, désactivé | 1.1.0 |
| Établir un programme de renouvellement sur les menaces | CMA_0260 - Établir un programme de renseignement sur les menaces | Manuel, désactivé | 1.1.0 |
| Implémenter des directives de sécurité | CMA_C1706 - Implémenter des directives de sécurité | Manuel, désactivé | 1.1.0 |
| Corriger les défauts du système d’information | CMA_0427 – Corriger les défauts du système d’information | Manuel, désactivé | 1.1.0 |
Les vulnérabilités de sécurité sont identifiées et corrigées
ID : PCI DSS v4.0 6.3.2 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Obtenir la documentation sur l’administration | CMA_C1580 - Obtenir la documentation sur l’administration | Manuel, désactivé | 1.1.0 |
Les vulnérabilités de sécurité sont identifiées et corrigées
ID : PCI DSS v4.0 6.3.3 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Une solution d’évaluation des vulnérabilités doit être activée sur vos machines virtuelles | Audite les machines virtuelles pour détecter si elles exécutent une solution d’évaluation des vulnérabilités prise en charge. L’identification et l’analyse des vulnérabilités constituent un composant fondamental de chaque programme de sécurité et d’évaluation des cyber-risques. Le niveau tarifaire Standard d’Azure Security Center comprend l’analyse des vulnérabilités de vos machines virtuelles sans coût supplémentaire. De plus, Security Center peut déployer cet outil automatiquement pour vous. | AuditIfNotExists, Désactivé | 3.0.0 |
| Superviser les agents Endpoint Protection manquants dans Azure Security Center | Les serveurs sans agent Endpoint Protection installé seront supervisés par Azure Security Center en tant que recommandation | AuditIfNotExists, Désactivé | 3.0.0 |
| Les résultats des vulnérabilités des bases de données SQL doivent être résolus | Supervisez les résultats de l’analyse des vulnérabilités et les recommandations sur la correction des vulnérabilités liées aux bases de données. | AuditIfNotExists, Désactivé | 4.1.0 |
| Les mises à jour système doivent être installées sur vos machines | Les mises à jour système de sécurité manquantes sur vos serveurs seront supervisées par Azure Security Center en tant que recommandation | AuditIfNotExists, Désactivé | 4.0.0 |
| Les vulnérabilités dans la configuration de la sécurité sur vos machines doivent être corrigées | Les serveurs qui ne respectent pas la base de référence configurée seront supervisés par Azure Security Center en tant que recommandation | AuditIfNotExists, Désactivé | 3.1.0 |
Les applications web publiques sont protégées contre les attaques
ID : PCI DSS v4.0 6.4.1 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Une solution d’évaluation des vulnérabilités doit être activée sur vos machines virtuelles | Audite les machines virtuelles pour détecter si elles exécutent une solution d’évaluation des vulnérabilités prise en charge. L’identification et l’analyse des vulnérabilités constituent un composant fondamental de chaque programme de sécurité et d’évaluation des cyber-risques. Le niveau tarifaire Standard d’Azure Security Center comprend l’analyse des vulnérabilités de vos machines virtuelles sans coût supplémentaire. De plus, Security Center peut déployer cet outil automatiquement pour vous. | AuditIfNotExists, Désactivé | 3.0.0 |
| Superviser les agents Endpoint Protection manquants dans Azure Security Center | Les serveurs sans agent Endpoint Protection installé seront supervisés par Azure Security Center en tant que recommandation | AuditIfNotExists, Désactivé | 3.0.0 |
| Effectuer des analyses de vulnérabilité | CMA_0393 – Effectuer des analyses de vulnérabilité | Manuel, désactivé | 1.1.0 |
| Corriger les défauts du système d’information | CMA_0427 – Corriger les défauts du système d’information | Manuel, désactivé | 1.1.0 |
| Les résultats des vulnérabilités des bases de données SQL doivent être résolus | Supervisez les résultats de l’analyse des vulnérabilités et les recommandations sur la correction des vulnérabilités liées aux bases de données. | AuditIfNotExists, Désactivé | 4.1.0 |
| Les mises à jour système doivent être installées sur vos machines | Les mises à jour système de sécurité manquantes sur vos serveurs seront supervisées par Azure Security Center en tant que recommandation | AuditIfNotExists, Désactivé | 4.0.0 |
| Les vulnérabilités dans la configuration de la sécurité sur vos machines doivent être corrigées | Les serveurs qui ne respectent pas la base de référence configurée seront supervisés par Azure Security Center en tant que recommandation | AuditIfNotExists, Désactivé | 3.1.0 |
Les applications web publiques sont protégées contre les attaques
ID : PCI DSS v4.0 6.4.3 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Vérifier l’intégrité des logiciels, des microprogrammes et des informations | CMA_0542 – Vérifier l’intégrité des logiciels, des microprogrammes et des informations | Manuel, désactivé | 1.1.0 |
| Visualiser et configurer les données de diagnostic système | CMA_0544 - Visualiser et configurer les données de diagnostic système | Manuel, désactivé | 1.1.0 |
Les modifications apportées à tous les composants système sont gérées de manière sécurisée
ID : PCI DSS v4.0 6.5.1 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Effectuer une analyse d’impact sur la sécurité | CMA_0057 - Effectuer une analyse d’impact sur la sécurité | Manuel, désactivé | 1.1.0 |
| Développer et gérer un standard de gestion des vulnérabilités | CMA_0152 - Développer et gérer un standard de gestion des vulnérabilités | Manuel, désactivé | 1.1.0 |
| Établir une stratégie de gestion des risques | CMA_0258 - Établir une stratégie de gestion des risques | Manuel, désactivé | 1.1.0 |
| Établir et documenter les processus de contrôle des modifications | CMA_0265 – Établir et documenter les processus de contrôle des modifications | Manuel, désactivé | 1.1.0 |
| Établir des exigences de gestion de configuration pour les développeurs | CMA_0270 - Établir des exigences de gestion de configuration pour les développeurs | Manuel, désactivé | 1.1.0 |
| Effectuer une évaluation de l’impact sur la confidentialité | CMA_0387 - Effectuer une évaluation de l’impact sur la confidentialité | Manuel, désactivé | 1.1.0 |
| Effectuer une évaluation des risques | CMA_0388 - Effectuer une évaluation des risques | Manuel, désactivé | 1.1.0 |
| Effectuer un audit pour le contrôle des modifications de configuration | CMA_0390 - Effectuer un audit pour le contrôle des modifications de configuration | Manuel, désactivé | 1.1.0 |
Les modifications apportées à tous les composants système sont gérées de manière sécurisée
ID : PCI DSS v4.0 6.5.2 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Exiger des développeurs qu’ils gèrent l’intégrité des modifications | CMA_C1595 - Exiger des développeurs qu’ils gèrent l’intégrité des modifications | Manuel, désactivé | 1.1.0 |
Les modifications apportées à tous les composants système sont gérées de manière sécurisée
ID : PCI DSS v4.0 6.5.3 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Effectuer une analyse d’impact sur la sécurité | CMA_0057 - Effectuer une analyse d’impact sur la sécurité | Manuel, désactivé | 1.1.0 |
| Établir et documenter les processus de contrôle des modifications | CMA_0265 – Établir et documenter les processus de contrôle des modifications | Manuel, désactivé | 1.1.0 |
| Établir des exigences de gestion de configuration pour les développeurs | CMA_0270 - Établir des exigences de gestion de configuration pour les développeurs | Manuel, désactivé | 1.1.0 |
| Limiter les privilèges pour apporter des modifications dans l’environnement de production | CMA_C1206 - Limiter les privilèges pour apporter des modifications dans l’environnement de production | Manuel, désactivé | 1.1.0 |
| Effectuer une évaluation de l’impact sur la confidentialité | CMA_0387 - Effectuer une évaluation de l’impact sur la confidentialité | Manuel, désactivé | 1.1.0 |
| Effectuer un audit pour le contrôle des modifications de configuration | CMA_0390 - Effectuer un audit pour le contrôle des modifications de configuration | Manuel, désactivé | 1.1.0 |
Les modifications apportées à tous les composants système sont gérées de manière sécurisée
ID : PCI DSS v4.0 6.5.4 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Effectuer une analyse d’impact sur la sécurité | CMA_0057 - Effectuer une analyse d’impact sur la sécurité | Manuel, désactivé | 1.1.0 |
| Établir et documenter les processus de contrôle des modifications | CMA_0265 – Établir et documenter les processus de contrôle des modifications | Manuel, désactivé | 1.1.0 |
| Établir des exigences de gestion de configuration pour les développeurs | CMA_0270 - Établir des exigences de gestion de configuration pour les développeurs | Manuel, désactivé | 1.1.0 |
| Limiter les privilèges pour apporter des modifications dans l’environnement de production | CMA_C1206 - Limiter les privilèges pour apporter des modifications dans l’environnement de production | Manuel, désactivé | 1.1.0 |
| Effectuer une évaluation de l’impact sur la confidentialité | CMA_0387 - Effectuer une évaluation de l’impact sur la confidentialité | Manuel, désactivé | 1.1.0 |
| Effectuer un audit pour le contrôle des modifications de configuration | CMA_0390 - Effectuer un audit pour le contrôle des modifications de configuration | Manuel, désactivé | 1.1.0 |
Les modifications apportées à tous les composants système sont gérées de manière sécurisée
ID : PCI DSS v4.0 6.5.5 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Incorporer des pratiques de sécurité et de confidentialité des données dans le traitement des recherches | CMA_0331 - Incorporer des pratiques de sécurité et de confidentialité des données dans le traitement des recherches | Manuel, désactivé | 1.1.0 |
Les modifications apportées à tous les composants système sont gérées de manière sécurisée
ID : PCI DSS v4.0 6.5.6 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Effectuer une analyse d’impact sur la sécurité | CMA_0057 - Effectuer une analyse d’impact sur la sécurité | Manuel, désactivé | 1.1.0 |
| Établir et documenter les processus de contrôle des modifications | CMA_0265 – Établir et documenter les processus de contrôle des modifications | Manuel, désactivé | 1.1.0 |
| Établir des exigences de gestion de configuration pour les développeurs | CMA_0270 - Établir des exigences de gestion de configuration pour les développeurs | Manuel, désactivé | 1.1.0 |
| Effectuer une évaluation de l’impact sur la confidentialité | CMA_0387 - Effectuer une évaluation de l’impact sur la confidentialité | Manuel, désactivé | 1.1.0 |
| Effectuer un audit pour le contrôle des modifications de configuration | CMA_0390 - Effectuer un audit pour le contrôle des modifications de configuration | Manuel, désactivé | 1.1.0 |
Exigence 07 : Restreindre l’accès aux composants système et aux données de titulaires de carte aux seuls individus qui doivent les connaître
Des processus et mécanismes destinés à restreindre l’accès aux composants système et aux données de titulaires de cartes aux seuls individus qui doivent les connaître sont définis et compris
ID : PCI DSS v4.0 7.1.1 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Développer des stratégies et des procédures de contrôle d’accès | CMA_0144 - Développer des stratégies et des procédures de contrôle d’accès | Manuel, désactivé | 1.1.0 |
| Appliquer des stratégies de contrôle d’accès obligatoires et discrétionnaires | CMA_0246 – Appliquer des stratégies de contrôle d’accès obligatoires et discrétionnaires | Manuel, désactivé | 1.1.0 |
| Gouverner les stratégies et les procédures | CMA_0292 - Gouverner les stratégies et les procédures | Manuel, désactivé | 1.1.0 |
| Passer en revue les stratégies et les procédures de contrôle d’accès | CMA_0457 - Passer en revue les stratégies et les procédures de contrôle d’accès | Manuel, désactivé | 1.1.0 |
Des processus et mécanismes destinés à restreindre l’accès aux composants système et aux données de titulaires de cartes aux seuls individus qui doivent les connaître sont définis et compris
ID : PCI DSS v4.0 7.1.2 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Développer des stratégies et des procédures de contrôle d’accès | CMA_0144 - Développer des stratégies et des procédures de contrôle d’accès | Manuel, désactivé | 1.1.0 |
| Appliquer des stratégies de contrôle d’accès obligatoires et discrétionnaires | CMA_0246 – Appliquer des stratégies de contrôle d’accès obligatoires et discrétionnaires | Manuel, désactivé | 1.1.0 |
| Gouverner les stratégies et les procédures | CMA_0292 - Gouverner les stratégies et les procédures | Manuel, désactivé | 1.1.0 |
L’accès aux données et composants système est correctement défini et attribué
ID : PCI DSS v4.0 7.2.1 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| 3 propriétaires maximum doivent être désignés pour votre abonnement | Il est recommandé de désigner jusqu'à 3 propriétaires d'abonnement pour réduire le risque de violation par un propriétaire compromis. | AuditIfNotExists, Désactivé | 3.0.0 |
| Autoriser l’accès aux fonctions et informations de sécurité | CMA_0022 – Autoriser l’accès aux fonctions et informations de sécurité | Manuel, désactivé | 1.1.0 |
| Autoriser et gérer l’accès | CMA_0023 – Autoriser et gérer l’accès | Manuel, désactivé | 1.1.0 |
| Concevoir un modèle de contrôle d’accès | CMA_0129 – Concevoir un modèle de contrôle d’accès | Manuel, désactivé | 1.1.0 |
| Utiliser l’accès aux privilèges minimum | CMA_0212 – Utiliser l’accès aux privilèges minimum | Manuel, désactivé | 1.1.0 |
| Appliquer l’accès logique | CMA_0245 – Appliquer l’accès logique | Manuel, désactivé | 1.1.0 |
| Appliquer des stratégies de contrôle d’accès obligatoires et discrétionnaires | CMA_0246 – Appliquer des stratégies de contrôle d’accès obligatoires et discrétionnaires | Manuel, désactivé | 1.1.0 |
| Exiger une approbation pour la création de compte | CMA_0431 – Exiger une approbation pour la création de compte | Manuel, désactivé | 1.1.0 |
| Examiner les groupes d’utilisateurs et les applications ayant accès à des données sensibles | CMA_0481 – Examiner les groupes d’utilisateurs et les applications ayant accès à des données sensibles | Manuel, désactivé | 1.1.0 |
| Plusieurs propriétaires doivent être attribués à votre abonnement | Il est recommandé de désigner plusieurs propriétaires d'abonnement pour disposer de la redondance de l'accès administrateur. | AuditIfNotExists, Désactivé | 3.0.0 |
L’accès aux données et composants système est correctement défini et attribué
ID : PCI DSS v4.0 7.2.2 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| 3 propriétaires maximum doivent être désignés pour votre abonnement | Il est recommandé de désigner jusqu'à 3 propriétaires d'abonnement pour réduire le risque de violation par un propriétaire compromis. | AuditIfNotExists, Désactivé | 3.0.0 |
| Autoriser l’accès aux fonctions et informations de sécurité | CMA_0022 – Autoriser l’accès aux fonctions et informations de sécurité | Manuel, désactivé | 1.1.0 |
| Autoriser et gérer l’accès | CMA_0023 – Autoriser et gérer l’accès | Manuel, désactivé | 1.1.0 |
| Concevoir un modèle de contrôle d’accès | CMA_0129 – Concevoir un modèle de contrôle d’accès | Manuel, désactivé | 1.1.0 |
| Utiliser l’accès aux privilèges minimum | CMA_0212 – Utiliser l’accès aux privilèges minimum | Manuel, désactivé | 1.1.0 |
| Appliquer des stratégies de contrôle d’accès obligatoires et discrétionnaires | CMA_0246 – Appliquer des stratégies de contrôle d’accès obligatoires et discrétionnaires | Manuel, désactivé | 1.1.0 |
| Plusieurs propriétaires doivent être attribués à votre abonnement | Il est recommandé de désigner plusieurs propriétaires d'abonnement pour disposer de la redondance de l'accès administrateur. | AuditIfNotExists, Désactivé | 3.0.0 |
L’accès aux données et composants système est correctement défini et attribué
ID : PCI DSS v4.0 7.2.3 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Autoriser l’accès aux fonctions et informations de sécurité | CMA_0022 – Autoriser l’accès aux fonctions et informations de sécurité | Manuel, désactivé | 1.1.0 |
| Autoriser et gérer l’accès | CMA_0023 – Autoriser et gérer l’accès | Manuel, désactivé | 1.1.0 |
| Concevoir un modèle de contrôle d’accès | CMA_0129 – Concevoir un modèle de contrôle d’accès | Manuel, désactivé | 1.1.0 |
| Utiliser l’accès aux privilèges minimum | CMA_0212 – Utiliser l’accès aux privilèges minimum | Manuel, désactivé | 1.1.0 |
| Appliquer l’accès logique | CMA_0245 – Appliquer l’accès logique | Manuel, désactivé | 1.1.0 |
| Appliquer des stratégies de contrôle d’accès obligatoires et discrétionnaires | CMA_0246 – Appliquer des stratégies de contrôle d’accès obligatoires et discrétionnaires | Manuel, désactivé | 1.1.0 |
| Exiger une approbation pour la création de compte | CMA_0431 – Exiger une approbation pour la création de compte | Manuel, désactivé | 1.1.0 |
| Examiner les groupes d’utilisateurs et les applications ayant accès à des données sensibles | CMA_0481 – Examiner les groupes d’utilisateurs et les applications ayant accès à des données sensibles | Manuel, désactivé | 1.1.0 |
L’accès aux données et composants système est correctement défini et attribué
ID : PCI DSS v4.0 7.2.4 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Auditer l’état du compte d’utilisateur | CMA_0020 – Auditer l’état du compte d’utilisateur | Manuel, désactivé | 1.1.0 |
| Examiner les journaux d’approvisionnement de compte | CMA_0460 – Examiner les journaux d’approvisionnement de compte | Manuel, désactivé | 1.1.0 |
| Réviser les comptes d’utilisateur | CMA_0480 – Passer en revue les comptes d’utilisateurs | Manuel, désactivé | 1.1.0 |
| Passer en revue les privilèges utilisateur | CMA_C1039 – Vérifier les privilèges utilisateur | Manuel, désactivé | 1.1.0 |
L’accès aux données et composants système est correctement défini et attribué
ID : PCI DSS v4.0 7.2.5 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Définir des types de comptes de système d’information | CMA_0121 - Définir des types de comptes de système d’information | Manuel, désactivé | 1.1.0 |
L’accès aux données et composants système est correctement défini et attribué
ID : PCI DSS v4.0 7.2.5.1 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Surveiller l’activité des comptes | CMA_0377 - Surveiller l’activité des comptes | Manuel, désactivé | 1.1.0 |
L’accès aux données et composants système est correctement défini et attribué
ID : PCI DSS v4.0 7.2.6 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Autoriser l’accès aux fonctions et informations de sécurité | CMA_0022 – Autoriser l’accès aux fonctions et informations de sécurité | Manuel, désactivé | 1.1.0 |
| Autoriser et gérer l’accès | CMA_0023 – Autoriser et gérer l’accès | Manuel, désactivé | 1.1.0 |
| Concevoir un modèle de contrôle d’accès | CMA_0129 – Concevoir un modèle de contrôle d’accès | Manuel, désactivé | 1.1.0 |
| Utiliser l’accès aux privilèges minimum | CMA_0212 – Utiliser l’accès aux privilèges minimum | Manuel, désactivé | 1.1.0 |
| Appliquer l’accès logique | CMA_0245 – Appliquer l’accès logique | Manuel, désactivé | 1.1.0 |
| Appliquer des stratégies de contrôle d’accès obligatoires et discrétionnaires | CMA_0246 – Appliquer des stratégies de contrôle d’accès obligatoires et discrétionnaires | Manuel, désactivé | 1.1.0 |
| Exiger une approbation pour la création de compte | CMA_0431 – Exiger une approbation pour la création de compte | Manuel, désactivé | 1.1.0 |
| Examiner les groupes d’utilisateurs et les applications ayant accès à des données sensibles | CMA_0481 – Examiner les groupes d’utilisateurs et les applications ayant accès à des données sensibles | Manuel, désactivé | 1.1.0 |
L’accès aux composants système et aux données est géré via un ou plusieurs systèmes de contrôle d’accès
ID : PCI DSS v4.0 7.3.1 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Les comptes disposant d’autorisations de propriétaire sur les ressources Azure doivent être compatibles avec l’authentification multifacteur | MFA (Multi-Factor Authentication) doit être activé pour tous les comptes de l'abonnement disposant d'autorisations de propriétaire afin d'éviter une violation des comptes ou des ressources. | AuditIfNotExists, Désactivé | 1.0.0 |
| Les comptes disposant d’autorisations en écriture sur les ressources Azure doivent être compatibles avec l’authentification multifacteur | MFA (Multi-Factor Authentication) doit être activé pour tous les comptes de l'abonnement disposant de privilèges d'accès en écriture pour éviter une violation des comptes ou des ressources. | AuditIfNotExists, Désactivé | 1.0.0 |
| Un administrateur Azure Active Directory doit être approvisionné pour les serveurs SQL | Auditer l’approvisionnement d’un administrateur Azure Active Directory pour votre serveur SQL afin d’activer l’authentification Azure AD. L’authentification Azure AD permet une gestion simplifiée des autorisations et une gestion centralisée des utilisateurs de bases de données et d’autres services Microsoft | AuditIfNotExists, Désactivé | 1.0.0 |
| Auditer l’utilisation des rôles RBAC personnalisés | Auditer des rôles intégrés tels que « Propriétaire, contributeur, lecteur » au lieu des rôles RBAC personnalisés, qui sont susceptibles d’engendrer des erreurs. L’utilisation de rôles personnalisés est traitée comme une exception et nécessite un contrôle rigoureux et la modélisation des menaces | Audit, Désactivé | 1.0.1 |
| Autoriser l’accès aux fonctions et informations de sécurité | CMA_0022 – Autoriser l’accès aux fonctions et informations de sécurité | Manuel, désactivé | 1.1.0 |
| Autoriser et gérer l’accès | CMA_0023 – Autoriser et gérer l’accès | Manuel, désactivé | 1.1.0 |
| Automatiser la gestion des comptes | CMA_0026 – Automatiser la gestion des comptes | Manuel, désactivé | 1.1.0 |
| Appliquer l’accès logique | CMA_0245 – Appliquer l’accès logique | Manuel, désactivé | 1.1.0 |
| Appliquer des stratégies de contrôle d’accès obligatoires et discrétionnaires | CMA_0246 – Appliquer des stratégies de contrôle d’accès obligatoires et discrétionnaires | Manuel, désactivé | 1.1.0 |
| Les comptes invités disposant d’autorisations de propriétaire sur les ressources Azure doivent être supprimés | Les comptes externes avec des autorisations de type propriétaire doivent être supprimés de votre abonnement pour empêcher un accès non contrôlé. | AuditIfNotExists, Désactivé | 1.0.0 |
| Les comptes invités disposant d’autorisations en lecture sur les ressources Azure doivent être supprimés | Les comptes externes avec des privilèges d'accès en lecture doivent être supprimés de votre abonnement afin d'empêcher un accès non contrôlé. | AuditIfNotExists, Désactivé | 1.0.0 |
| Les comptes invités disposant d’autorisations en écriture sur les ressources Azure doivent être supprimés | Les comptes externes avec des privilèges d'accès en écriture doivent être supprimés de votre abonnement afin d'empêcher un accès non contrôlé. | AuditIfNotExists, Désactivé | 1.0.0 |
| Gérer les comptes système et d’administration | CMA_0368 – Gérer les comptes système et d’administration | Manuel, désactivé | 1.1.0 |
| Surveiller l’accès au sein de l’organisation | CMA_0376 – Surveiller l’accès au sein de l’organisation | Manuel, désactivé | 1.1.0 |
| Avertir lorsque le compte n’est pas nécessaire | CMA_0383 – Avertir lorsque le compte n’est pas nécessaire | Manuel, désactivé | 1.1.0 |
| Exiger une approbation pour la création de compte | CMA_0431 – Exiger une approbation pour la création de compte | Manuel, désactivé | 1.1.0 |
| Examiner les groupes d’utilisateurs et les applications ayant accès à des données sensibles | CMA_0481 – Examiner les groupes d’utilisateurs et les applications ayant accès à des données sensibles | Manuel, désactivé | 1.1.0 |
L’accès aux composants système et aux données est géré via un ou plusieurs systèmes de contrôle d’accès
ID : PCI DSS v4.0 7.3.2 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Autoriser l’accès aux fonctions et informations de sécurité | CMA_0022 – Autoriser l’accès aux fonctions et informations de sécurité | Manuel, désactivé | 1.1.0 |
| Autoriser et gérer l’accès | CMA_0023 – Autoriser et gérer l’accès | Manuel, désactivé | 1.1.0 |
| Automatiser la gestion des comptes | CMA_0026 – Automatiser la gestion des comptes | Manuel, désactivé | 1.1.0 |
| Appliquer l’accès logique | CMA_0245 – Appliquer l’accès logique | Manuel, désactivé | 1.1.0 |
| Appliquer des stratégies de contrôle d’accès obligatoires et discrétionnaires | CMA_0246 – Appliquer des stratégies de contrôle d’accès obligatoires et discrétionnaires | Manuel, désactivé | 1.1.0 |
| Gérer les comptes système et d’administration | CMA_0368 – Gérer les comptes système et d’administration | Manuel, désactivé | 1.1.0 |
| Surveiller l’accès au sein de l’organisation | CMA_0376 – Surveiller l’accès au sein de l’organisation | Manuel, désactivé | 1.1.0 |
| Avertir lorsque le compte n’est pas nécessaire | CMA_0383 – Avertir lorsque le compte n’est pas nécessaire | Manuel, désactivé | 1.1.0 |
| Exiger une approbation pour la création de compte | CMA_0431 – Exiger une approbation pour la création de compte | Manuel, désactivé | 1.1.0 |
| Examiner les groupes d’utilisateurs et les applications ayant accès à des données sensibles | CMA_0481 – Examiner les groupes d’utilisateurs et les applications ayant accès à des données sensibles | Manuel, désactivé | 1.1.0 |
L’accès aux composants système et aux données est géré via un ou plusieurs systèmes de contrôle d’accès
ID : PCI DSS v4.0 7.3.3 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Autoriser l’accès aux fonctions et informations de sécurité | CMA_0022 – Autoriser l’accès aux fonctions et informations de sécurité | Manuel, désactivé | 1.1.0 |
| Autoriser et gérer l’accès | CMA_0023 – Autoriser et gérer l’accès | Manuel, désactivé | 1.1.0 |
| Appliquer l’accès logique | CMA_0245 – Appliquer l’accès logique | Manuel, désactivé | 1.1.0 |
| Appliquer des stratégies de contrôle d’accès obligatoires et discrétionnaires | CMA_0246 – Appliquer des stratégies de contrôle d’accès obligatoires et discrétionnaires | Manuel, désactivé | 1.1.0 |
| Exiger une approbation pour la création de compte | CMA_0431 – Exiger une approbation pour la création de compte | Manuel, désactivé | 1.1.0 |
| Examiner les groupes d’utilisateurs et les applications ayant accès à des données sensibles | CMA_0481 – Examiner les groupes d’utilisateurs et les applications ayant accès à des données sensibles | Manuel, désactivé | 1.1.0 |
Exigence 08 : Identifier les utilisateurs et authentifier l’accès aux composants système
Des processus et mécanismes destinés à identifier les utilisateurs et à authentifier l’accès aux composants système sont définis et compris
ID : PCI DSS v4.0 8.1.1 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Passer en revue et mettre à jour les stratégies et les procédures d’identification et d’authentification | CMA_C1299 - Passer en revue et mettre à jour les stratégies et les procédures d’identification et d’authentification | Manuel, désactivé | 1.1.0 |
L’identification des utilisateurs et les comptes associés pour les utilisateurs et les administrateurs sont gérés de manière stricte tout au long du cycle de vie d’un compte
ID : PCI DSS v4.0 8.2.1 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Attribuer des identificateurs système | CMA_0018 - Attribuer des identificateurs système | Manuel, désactivé | 1.1.0 |
| Appliquer l’unicité de l’utilisateur | CMA_0250 – Appliquer l’unicité de l’utilisateur | Manuel, désactivé | 1.1.0 |
| Prendre en charge les informations d’identification de vérification personnelle émises par les autorités juridiques | CMA_0507 – Prendre en charge les informations d’identification de vérification personnelle émises par les autorités juridiques | Manuel, désactivé | 1.1.0 |
L’identification des utilisateurs et les comptes associés pour les utilisateurs et les administrateurs sont gérés de manière stricte tout au long du cycle de vie d’un compte
ID : PCI DSS v4.0 8.2.2 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Définir et appliquer des conditions pour les comptes partagés et de groupe | CMA_0117 – Définir et appliquer des conditions pour les comptes partagés et de groupe | Manuel, désactivé | 1.1.0 |
| Réémettre les authentificateurs pour les groupes et les comptes modifiés | CMA_0426 - Réémettre les authentificateurs pour les groupes et les comptes modifiés | Manuel, désactivé | 1.1.0 |
| Exiger l’utilisation d’authentificateurs individuels | CMA_C1305 – Exiger l’utilisation d’authentificateurs individuels | Manuel, désactivé | 1.1.0 |
| Mettre fin aux informations d’identification de compte contrôlées par le client | CMA_C1022 - Mettre fin aux informations d’identification de compte contrôlées par le client | Manuel, désactivé | 1.1.0 |
L’identification des utilisateurs et les comptes associés pour les utilisateurs et les administrateurs sont gérés de manière stricte tout au long du cycle de vie d’un compte
ID : PCI DSS v4.0 8.2.3 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Adopter des mécanismes d’authentification biométrique | CMA_0005 – Adopter des mécanismes d’authentification biométrique | Manuel, désactivé | 1.1.0 |
| Identifier et authentifier les périphériques réseau | CMA_0296 – Identifier et authentifier les périphériques réseau | Manuel, désactivé | 1.1.0 |
| Répondre aux exigences de qualité des jetons | CMA_0487 – Répondre aux exigences de qualité des jetons | Manuel, désactivé | 1.1.0 |
L’identification des utilisateurs et les comptes associés pour les utilisateurs et les administrateurs sont gérés de manière stricte tout au long du cycle de vie d’un compte
ID : PCI DSS v4.0 8.2.4 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Attribuer des identificateurs système | CMA_0018 - Attribuer des identificateurs système | Manuel, désactivé | 1.1.0 |
| Les comptes bloqués disposant d’autorisations de propriétaire sur les ressources Azure doivent être supprimés | Les comptes déconseillés disposant d’autorisations de type propriétaire doivent être supprimés de votre abonnement. Les comptes déconseillés sont des comptes qui ont été empêchés de se connecter. | AuditIfNotExists, Désactivé | 1.0.0 |
| Les comptes bloqués disposant d’autorisations en lecture et en écriture sur les ressources Azure doivent être supprimés | Les comptes déconseillés doivent être supprimés de vos abonnements. Les comptes déconseillés sont des comptes qui ont été empêchés de se connecter. | AuditIfNotExists, Désactivé | 1.0.0 |
| Les comptes invités disposant d’autorisations de propriétaire sur les ressources Azure doivent être supprimés | Les comptes externes avec des autorisations de type propriétaire doivent être supprimés de votre abonnement pour empêcher un accès non contrôlé. | AuditIfNotExists, Désactivé | 1.0.0 |
| Les comptes invités disposant d’autorisations en lecture sur les ressources Azure doivent être supprimés | Les comptes externes avec des privilèges d'accès en lecture doivent être supprimés de votre abonnement afin d'empêcher un accès non contrôlé. | AuditIfNotExists, Désactivé | 1.0.0 |
| Les comptes invités disposant d’autorisations en écriture sur les ressources Azure doivent être supprimés | Les comptes externes avec des privilèges d'accès en écriture doivent être supprimés de votre abonnement afin d'empêcher un accès non contrôlé. | AuditIfNotExists, Désactivé | 1.0.0 |
| Exiger une approbation pour la création de compte | CMA_0431 – Exiger une approbation pour la création de compte | Manuel, désactivé | 1.1.0 |
L’identification des utilisateurs et les comptes associés pour les utilisateurs et les administrateurs sont gérés de manière stricte tout au long du cycle de vie d’un compte
ID : PCI DSS v4.0 8.2.5 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Les comptes bloqués disposant d’autorisations de propriétaire sur les ressources Azure doivent être supprimés | Les comptes déconseillés disposant d’autorisations de type propriétaire doivent être supprimés de votre abonnement. Les comptes déconseillés sont des comptes qui ont été empêchés de se connecter. | AuditIfNotExists, Désactivé | 1.0.0 |
| Les comptes bloqués disposant d’autorisations en lecture et en écriture sur les ressources Azure doivent être supprimés | Les comptes déconseillés doivent être supprimés de vos abonnements. Les comptes déconseillés sont des comptes qui ont été empêchés de se connecter. | AuditIfNotExists, Désactivé | 1.0.0 |
L’identification des utilisateurs et les comptes associés pour les utilisateurs et les administrateurs sont gérés de manière stricte tout au long du cycle de vie d’un compte
ID : PCI DSS v4.0 8.2.6 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Désactiver les authentificateurs lors de l’arrêt | CMA_0169 – Désactiver les authentificateurs lors de l’arrêt | Manuel, désactivé | 1.1.0 |
| Révoquer les rôles privilégiés selon les besoins | CMA_0483 – Révoquer les rôles privilégiés selon les besoins | Manuel, désactivé | 1.1.0 |
L’identification des utilisateurs et les comptes associés pour les utilisateurs et les administrateurs sont gérés de manière stricte tout au long du cycle de vie d’un compte
ID : PCI DSS v4.0 8.2.7 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Les comptes bloqués disposant d’autorisations de propriétaire sur les ressources Azure doivent être supprimés | Les comptes déconseillés disposant d’autorisations de type propriétaire doivent être supprimés de votre abonnement. Les comptes déconseillés sont des comptes qui ont été empêchés de se connecter. | AuditIfNotExists, Désactivé | 1.0.0 |
| Les comptes bloqués disposant d’autorisations en lecture et en écriture sur les ressources Azure doivent être supprimés | Les comptes déconseillés doivent être supprimés de vos abonnements. Les comptes déconseillés sont des comptes qui ont été empêchés de se connecter. | AuditIfNotExists, Désactivé | 1.0.0 |
| Les comptes invités disposant d’autorisations de propriétaire sur les ressources Azure doivent être supprimés | Les comptes externes avec des autorisations de type propriétaire doivent être supprimés de votre abonnement pour empêcher un accès non contrôlé. | AuditIfNotExists, Désactivé | 1.0.0 |
| Les comptes invités disposant d’autorisations en lecture sur les ressources Azure doivent être supprimés | Les comptes externes avec des privilèges d'accès en lecture doivent être supprimés de votre abonnement afin d'empêcher un accès non contrôlé. | AuditIfNotExists, Désactivé | 1.0.0 |
| Les comptes invités disposant d’autorisations en écriture sur les ressources Azure doivent être supprimés | Les comptes externes avec des privilèges d'accès en écriture doivent être supprimés de votre abonnement afin d'empêcher un accès non contrôlé. | AuditIfNotExists, Désactivé | 1.0.0 |
| Identifier et authentifier les utilisateurs qui ne font pas partie de l’organisation | CMA_C1346 - Identifier et authentifier les utilisateurs qui ne font pas partie de l’organisation | Manuel, désactivé | 1.1.0 |
L’identification des utilisateurs et les comptes associés pour les utilisateurs et les administrateurs sont gérés de manière stricte tout au long du cycle de vie d’un compte
ID : PCI DSS v4.0 8.2.8 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Définir et appliquer une stratégie de journal d’inactivité | CMA_C1017 – Définir et appliquer une stratégie de journal d’inactivité | Manuel, désactivé | 1.1.0 |
| Terminer automatiquement la session utilisateur | CMA_C1054 – Terminer automatiquement la session utilisateur | Manuel, désactivé | 1.1.0 |
L’authentification forte pour les utilisateurs et les administrateurs est établie et gérée
ID : PCI DSS v4.0 8.3.1 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Adopter des mécanismes d’authentification biométrique | CMA_0005 – Adopter des mécanismes d’authentification biométrique | Manuel, désactivé | 1.1.0 |
| Établir des types et des processus d’authentificateur | CMA_0267 - Établir des types et des processus d’authentificateur | Manuel, désactivé | 1.1.0 |
| Identifier et authentifier les périphériques réseau | CMA_0296 – Identifier et authentifier les périphériques réseau | Manuel, désactivé | 1.1.0 |
| Répondre aux exigences de qualité des jetons | CMA_0487 – Répondre aux exigences de qualité des jetons | Manuel, désactivé | 1.1.0 |
L’authentification forte pour les utilisateurs et les administrateurs est établie et gérée
ID : PCI DSS v4.0 8.3.10 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Gérer la durée de vie et la réutilisation de l’authentificateur | CMA_0355 - Gérer la durée de vie et la réutilisation de l’authentificateur | Manuel, désactivé | 1.1.0 |
| Actualiser les authentificateurs | CMA_0425 - Actualiser les authentificateurs | Manuel, désactivé | 1.1.0 |
L’authentification forte pour les utilisateurs et les administrateurs est établie et gérée
ID : PCI DSS v4.0 8.3.10.1 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Gérer la durée de vie et la réutilisation de l’authentificateur | CMA_0355 - Gérer la durée de vie et la réutilisation de l’authentificateur | Manuel, désactivé | 1.1.0 |
| Actualiser les authentificateurs | CMA_0425 - Actualiser les authentificateurs | Manuel, désactivé | 1.1.0 |
L’authentification forte pour les utilisateurs et les administrateurs est établie et gérée
ID : PCI DSS v4.0 8.3.11 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Adopter des mécanismes d’authentification biométrique | CMA_0005 – Adopter des mécanismes d’authentification biométrique | Manuel, désactivé | 1.1.0 |
| Distribuer des authentificateurs | CMA_0184 – Distribuer des authentificateurs | Manuel, désactivé | 1.1.0 |
| Établir des types et des processus d’authentificateur | CMA_0267 - Établir des types et des processus d’authentificateur | Manuel, désactivé | 1.1.0 |
| Identifier et authentifier les périphériques réseau | CMA_0296 – Identifier et authentifier les périphériques réseau | Manuel, désactivé | 1.1.0 |
| Répondre aux exigences de qualité des jetons | CMA_0487 – Répondre aux exigences de qualité des jetons | Manuel, désactivé | 1.1.0 |
| Vérifier l’identité avant de distribuer les authentificateurs | CMA_0538 - Vérifier l’identité avant de distribuer les authentificateurs | Manuel, désactivé | 1.1.0 |
L’authentification forte pour les utilisateurs et les administrateurs est établie et gérée
ID : PCI DSS v4.0 8.3.2 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Vérifier que les utilisateurs autorisés protègent les authentificateurs fournis | CMA_C1339 – S’assurer que les utilisateurs autorisés protègent les authentificateurs fournis | Manuel, désactivé | 1.1.0 |
| Protéger les mots de passe avec le chiffrement | CMA_0408 – Protéger les mots de passe avec le chiffrement | Manuel, désactivé | 1.1.0 |
L’authentification forte pour les utilisateurs et les administrateurs est établie et gérée
ID : PCI DSS v4.0 8.3.4 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Appliquer une limite du nombre de tentatives de connexion consécutives ayant échoué | CMA_C1044 - Appliquer une limite du nombre de tentatives de connexion consécutives ayant échoué | Manuel, désactivé | 1.1.0 |
L’authentification forte pour les utilisateurs et les administrateurs est établie et gérée
ID : PCI DSS v4.0 8.3.5 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Établir des types et des processus d’authentificateur | CMA_0267 - Établir des types et des processus d’authentificateur | Manuel, désactivé | 1.1.0 |
L’authentification forte pour les utilisateurs et les administrateurs est établie et gérée
ID : PCI DSS v4.0 8.3.6 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Ajouter une identité managée affectée par le système pour activer les attributions Guest Configuration sur les machines virtuelles sans identité | Cette stratégie ajoute une identité managée affectée par le système aux machines virtuelles hébergées dans Azure et qui sont prises en charge par Guest Configuration, mais qui n’ont pas d’identité managée. Une identité managée affectée par le système est un prérequis pour toutes les attributions Guest Configuration ; elle doit être ajoutée aux machines avant d’utiliser une définition de stratégie Guest Configuration. Pour plus d’informations sur Guest Configuration, consultez https://aka.ms/gcpol. | modify | 4.1.0 |
| Ajouter une identité managée affectée par le système pour activer les attributions Guest Configuration sur les machines virtuelles qui ont une identité affectée par l’utilisateur | Cette stratégie ajoute une identité managée affectée par le système aux machines virtuelles, hébergées dans Azure, qui sont prises en charge par Guest Configuration et ont au moins une identité affectée par l’utilisateur, mais pas d’identité managée affectée par le système. Une identité managée affectée par le système est un prérequis pour toutes les attributions Guest Configuration ; elle doit être ajoutée aux machines avant d’utiliser une définition de stratégie Guest Configuration. Pour plus d’informations sur Guest Configuration, consultez https://aka.ms/gcpol. | modify | 4.1.0 |
| Auditer les machines Windows qui autorisent la réutilisation des mots de passe après le nombre spécifié de mots de passe uniques | Nécessite le déploiement des prérequis dans l’étendue de l’attribution de stratégie. Pour plus d’informations, visitez https://aka.ms/gcpol. Les machines ne sont pas conformes si les machines Windows autorisent la réutilisation des mots de passe après le nombre spécifié de mots de passe uniques. La valeur par défaut pour les mots de passe uniques est 24 | AuditIfNotExists, Désactivé | 2.1.0 |
| Auditer les machines Windows dont la durée de vie maximale du mot de passe n’est pas définie sur le nombre de jours spécifié | Nécessite le déploiement des prérequis dans l’étendue de l’attribution de stratégie. Pour plus d’informations, visitez https://aka.ms/gcpol. Les machines Windows ne sont pas conformes si la durée de vie maximale de leur mot de passe n’est pas définie sur le nombre de jours spécifié. La valeur par défaut de la durée de vie maximale du mot de passe est de 70 jours | AuditIfNotExists, Désactivé | 2.1.0 |
| Auditer les machines Windows qui ne limitent pas la longueur minimale du mot de passe à un nombre de caractères spécifié | Nécessite le déploiement des prérequis dans l’étendue de l’attribution de stratégie. Pour plus d’informations, visitez https://aka.ms/gcpol. Les machines Windows ne sont pas conformes si elles ne limitent pas la longueur minimale du mot de passe à un nombre de caractères spécifié. La valeur par défaut pour la longueur minimale du mot de passe est de 14 caractères | AuditIfNotExists, Désactivé | 2.1.0 |
| Déployer l’extension Guest Configuration Windows pour activer les affectations Guest Configuration sur les machines virtuelles Windows | Cette stratégie déploie l’extension Guest Configuration Windows sur les machines virtuelles Windows hébergées dans Azure qui sont prises en charge par Guest Configuration. L’extension Guest Configuration Windows est un prérequis pour toutes les affectations Guest Configuration Windows. Vous devez la déployer sur vos machines avant d’utiliser une définition de stratégie Guest Configuration Windows. Pour plus d’informations sur Guest Configuration, consultez https://aka.ms/gcpol. | deployIfNotExists | 1.2.0 |
| Documenter les exigences de niveau de sécurité dans les contrats d’acquisition | CMA_0203 - Documenter les exigences de niveau de sécurité dans les contrats d’acquisition | Manuel, désactivé | 1.1.0 |
| Établir une stratégie de mot de passe | CMA_0256 - Établir une stratégie de mot de passe | Manuel, désactivé | 1.1.0 |
| Implémenter des paramètres pour les vérificateurs de secrets mémorisés | CMA_0321 - Implémenter des paramètres pour les vérificateurs de secrets mémorisés | Manuel, désactivé | 1.1.0 |
L’authentification forte pour les utilisateurs et les administrateurs est établie et gérée
ID : PCI DSS v4.0 8.3.8 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Implémenter une formation pour la protection des authentificateurs | CMA_0329 – Implémenter une formation pour la protection des authentificateurs | Manuel, désactivé | 1.1.0 |
L’authentification forte pour les utilisateurs et les administrateurs est établie et gérée
ID : PCI DSS v4.0 8.3.9 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Gérer la durée de vie et la réutilisation de l’authentificateur | CMA_0355 - Gérer la durée de vie et la réutilisation de l’authentificateur | Manuel, désactivé | 1.1.0 |
| Actualiser les authentificateurs | CMA_0425 - Actualiser les authentificateurs | Manuel, désactivé | 1.1.0 |
L’authentification multifacteur (MFA) est implémentée pour sécuriser l’accès au CDE
ID : PCI DSS v4.0 8.4.1 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Les comptes disposant d’autorisations de propriétaire sur les ressources Azure doivent être compatibles avec l’authentification multifacteur | MFA (Multi-Factor Authentication) doit être activé pour tous les comptes de l'abonnement disposant d'autorisations de propriétaire afin d'éviter une violation des comptes ou des ressources. | AuditIfNotExists, Désactivé | 1.0.0 |
| Les comptes disposant d’autorisations en écriture sur les ressources Azure doivent être compatibles avec l’authentification multifacteur | MFA (Multi-Factor Authentication) doit être activé pour tous les comptes de l'abonnement disposant de privilèges d'accès en écriture pour éviter une violation des comptes ou des ressources. | AuditIfNotExists, Désactivé | 1.0.0 |
| Adopter des mécanismes d’authentification biométrique | CMA_0005 – Adopter des mécanismes d’authentification biométrique | Manuel, désactivé | 1.1.0 |
| Un administrateur Azure Active Directory doit être approvisionné pour les serveurs SQL | Auditer l’approvisionnement d’un administrateur Azure Active Directory pour votre serveur SQL afin d’activer l’authentification Azure AD. L’authentification Azure AD permet une gestion simplifiée des autorisations et une gestion centralisée des utilisateurs de bases de données et d’autres services Microsoft | AuditIfNotExists, Désactivé | 1.0.0 |
| Auditer l’utilisation des rôles RBAC personnalisés | Auditer des rôles intégrés tels que « Propriétaire, contributeur, lecteur » au lieu des rôles RBAC personnalisés, qui sont susceptibles d’engendrer des erreurs. L’utilisation de rôles personnalisés est traitée comme une exception et nécessite un contrôle rigoureux et la modélisation des menaces | Audit, Désactivé | 1.0.1 |
| Les comptes invités disposant d’autorisations de propriétaire sur les ressources Azure doivent être supprimés | Les comptes externes avec des autorisations de type propriétaire doivent être supprimés de votre abonnement pour empêcher un accès non contrôlé. | AuditIfNotExists, Désactivé | 1.0.0 |
| Les comptes invités disposant d’autorisations en lecture sur les ressources Azure doivent être supprimés | Les comptes externes avec des privilèges d'accès en lecture doivent être supprimés de votre abonnement afin d'empêcher un accès non contrôlé. | AuditIfNotExists, Désactivé | 1.0.0 |
| Les comptes invités disposant d’autorisations en écriture sur les ressources Azure doivent être supprimés | Les comptes externes avec des privilèges d'accès en écriture doivent être supprimés de votre abonnement afin d'empêcher un accès non contrôlé. | AuditIfNotExists, Désactivé | 1.0.0 |
L’authentification multifacteur (MFA) est implémentée pour sécuriser l’accès au CDE
ID : PCI DSS v4.0 8.4.2 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Adopter des mécanismes d’authentification biométrique | CMA_0005 – Adopter des mécanismes d’authentification biométrique | Manuel, désactivé | 1.1.0 |
| Autoriser l’accès à distance | CMA_0024 – Autoriser l’accès à distance | Manuel, désactivé | 1.1.0 |
| Formation sur la mobilité des documents | CMA_0191 – Formation sur la mobilité des documents | Manuel, désactivé | 1.1.0 |
| Documentation des instructions d’accès à distance | CMA_0196 – Documentation des instructions d’accès à distance | Manuel, désactivé | 1.1.0 |
| Identifier et authentifier les périphériques réseau | CMA_0296 – Identifier et authentifier les périphériques réseau | Manuel, désactivé | 1.1.0 |
| Implémenter des contrôles pour sécuriser d’autres sites de travail | CMA_0315 – Implémenter des contrôles pour sécuriser d’autres sites de travail | Manuel, désactivé | 1.1.0 |
| Fournir une formation sur la confidentialité | CMA_0415 – Fournir une formation sur la confidentialité | Manuel, désactivé | 1.1.0 |
| Répondre aux exigences de qualité des jetons | CMA_0487 – Répondre aux exigences de qualité des jetons | Manuel, désactivé | 1.1.0 |
L’authentification multifacteur (MFA) est implémentée pour sécuriser l’accès au CDE
ID : PCI DSS v4.0 8.4.3 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Adopter des mécanismes d’authentification biométrique | CMA_0005 – Adopter des mécanismes d’authentification biométrique | Manuel, désactivé | 1.1.0 |
| Autoriser l’accès à distance | CMA_0024 – Autoriser l’accès à distance | Manuel, désactivé | 1.1.0 |
| Formation sur la mobilité des documents | CMA_0191 – Formation sur la mobilité des documents | Manuel, désactivé | 1.1.0 |
| Documentation des instructions d’accès à distance | CMA_0196 – Documentation des instructions d’accès à distance | Manuel, désactivé | 1.1.0 |
| Identifier et authentifier les périphériques réseau | CMA_0296 – Identifier et authentifier les périphériques réseau | Manuel, désactivé | 1.1.0 |
| Implémenter des contrôles pour sécuriser d’autres sites de travail | CMA_0315 – Implémenter des contrôles pour sécuriser d’autres sites de travail | Manuel, désactivé | 1.1.0 |
| Fournir une formation sur la confidentialité | CMA_0415 – Fournir une formation sur la confidentialité | Manuel, désactivé | 1.1.0 |
| Répondre aux exigences de qualité des jetons | CMA_0487 – Répondre aux exigences de qualité des jetons | Manuel, désactivé | 1.1.0 |
Des systèmes d’authentification multifacteur (MFA) sont configurés pour éviter toute utilisation incorrecte
ID : PCI DSS v4.0 8.5.1 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Adopter des mécanismes d’authentification biométrique | CMA_0005 – Adopter des mécanismes d’authentification biométrique | Manuel, désactivé | 1.1.0 |
| Autoriser l’accès à distance | CMA_0024 – Autoriser l’accès à distance | Manuel, désactivé | 1.1.0 |
| Formation sur la mobilité des documents | CMA_0191 – Formation sur la mobilité des documents | Manuel, désactivé | 1.1.0 |
| Documentation des instructions d’accès à distance | CMA_0196 – Documentation des instructions d’accès à distance | Manuel, désactivé | 1.1.0 |
| Identifier et authentifier les périphériques réseau | CMA_0296 – Identifier et authentifier les périphériques réseau | Manuel, désactivé | 1.1.0 |
| Implémenter des contrôles pour sécuriser d’autres sites de travail | CMA_0315 – Implémenter des contrôles pour sécuriser d’autres sites de travail | Manuel, désactivé | 1.1.0 |
| Fournir une formation sur la confidentialité | CMA_0415 – Fournir une formation sur la confidentialité | Manuel, désactivé | 1.1.0 |
| Répondre aux exigences de qualité des jetons | CMA_0487 – Répondre aux exigences de qualité des jetons | Manuel, désactivé | 1.1.0 |
L’utilisation des comptes d’application et système et des facteurs d’authentification associés est gérée de façon stricte
ID : PCI DSS v4.0 8.6.1 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Définir des types de comptes de système d’information | CMA_0121 - Définir des types de comptes de système d’information | Manuel, désactivé | 1.1.0 |
| Exiger une approbation pour la création de compte | CMA_0431 – Exiger une approbation pour la création de compte | Manuel, désactivé | 1.1.0 |
L’utilisation des comptes d’application et système et des facteurs d’authentification associés est gérée de façon stricte
ID : PCI DSS v4.0 8.6.2 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Implémenter une formation pour la protection des authentificateurs | CMA_0329 – Implémenter une formation pour la protection des authentificateurs | Manuel, désactivé | 1.1.0 |
L’utilisation des comptes d’application et système et des facteurs d’authentification associés est gérée de façon stricte
ID : PCI DSS v4.0 8.6.3 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Documenter les exigences de niveau de sécurité dans les contrats d’acquisition | CMA_0203 - Documenter les exigences de niveau de sécurité dans les contrats d’acquisition | Manuel, désactivé | 1.1.0 |
| Établir une stratégie de mot de passe | CMA_0256 - Établir une stratégie de mot de passe | Manuel, désactivé | 1.1.0 |
| Implémenter des paramètres pour les vérificateurs de secrets mémorisés | CMA_0321 - Implémenter des paramètres pour les vérificateurs de secrets mémorisés | Manuel, désactivé | 1.1.0 |
| Implémenter une formation pour la protection des authentificateurs | CMA_0329 – Implémenter une formation pour la protection des authentificateurs | Manuel, désactivé | 1.1.0 |
| Gérer la durée de vie et la réutilisation de l’authentificateur | CMA_0355 - Gérer la durée de vie et la réutilisation de l’authentificateur | Manuel, désactivé | 1.1.0 |
| Actualiser les authentificateurs | CMA_0425 - Actualiser les authentificateurs | Manuel, désactivé | 1.1.0 |
Exigence 09 : Restreindre l’accès physique aux données de titulaires de carte
Des processus et mécanismes destinés à restreindre l’accès physique aux données de titulaires de cartes sont définis et compris
ID : PCI DSS v4.0 9.1.1 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Passer en revue et mettre à jour les stratégies et les procédures de protection des médias | CMA_C1427 - Passer en revue et mettre à jour les stratégies et les procédures de protection des médias | Manuel, désactivé | 1.1.0 |
| Examiner et mettre à jour les stratégies et procédures physiques et environnementales | CMA_C1446 - Examiner et mettre à jour les stratégies et procédures physiques et environnementales | Manuel, désactivé | 1.1.0 |
Des contrôles d’accès physiques gèrent l’entrée dans les installations et les systèmes contenant des données de titulaires de cartes
ID : PCI DSS v4.0 9.2.2 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Contrôler l’accès physique | CMA_0081 – Contrôler l’accès physique | Manuel, désactivé | 1.1.0 |
Des contrôles d’accès physiques gèrent l’entrée dans les installations et les systèmes contenant des données de titulaires de cartes
ID : PCI DSS v4.0 9.2.3 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Contrôler l’accès physique | CMA_0081 – Contrôler l’accès physique | Manuel, désactivé | 1.1.0 |
| Implémenter la sécurité physique pour les bureaux, les zones de travail et les zones sécurisées | CMA_0323 - Implémenter la sécurité physique pour les bureaux, les zones de travail et les zones sécurisées | Manuel, désactivé | 1.1.0 |
Des contrôles d’accès physiques gèrent l’entrée dans les installations et les systèmes contenant des données de titulaires de cartes
ID : PCI DSS v4.0 9.2.4 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Contrôler l’accès physique | CMA_0081 – Contrôler l’accès physique | Manuel, désactivé | 1.1.0 |
| Implémenter la sécurité physique pour les bureaux, les zones de travail et les zones sécurisées | CMA_0323 - Implémenter la sécurité physique pour les bureaux, les zones de travail et les zones sécurisées | Manuel, désactivé | 1.1.0 |
L’accès physique pour le personnel et les visiteurs est autorisé et géré
ID : PCI DSS v4.0 9.3.1 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Contrôler l’accès physique | CMA_0081 – Contrôler l’accès physique | Manuel, désactivé | 1.1.0 |
L’accès physique pour le personnel et les visiteurs est autorisé et géré
ID : PCI DSS v4.0 9.3.1.1 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Contrôler l’accès physique | CMA_0081 – Contrôler l’accès physique | Manuel, désactivé | 1.1.0 |
L’accès physique pour le personnel et les visiteurs est autorisé et géré
ID : PCI DSS v4.0 9.3.2 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Contrôler l’accès physique | CMA_0081 – Contrôler l’accès physique | Manuel, désactivé | 1.1.0 |
| Implémenter la sécurité physique pour les bureaux, les zones de travail et les zones sécurisées | CMA_0323 - Implémenter la sécurité physique pour les bureaux, les zones de travail et les zones sécurisées | Manuel, désactivé | 1.1.0 |
L’accès physique pour le personnel et les visiteurs est autorisé et géré
ID : PCI DSS v4.0 9.3.3 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Contrôler l’accès physique | CMA_0081 – Contrôler l’accès physique | Manuel, désactivé | 1.1.0 |
| Implémenter la sécurité physique pour les bureaux, les zones de travail et les zones sécurisées | CMA_0323 - Implémenter la sécurité physique pour les bureaux, les zones de travail et les zones sécurisées | Manuel, désactivé | 1.1.0 |
L’accès physique pour le personnel et les visiteurs est autorisé et géré
ID : PCI DSS v4.0 9.3.4 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Contrôler l’accès physique | CMA_0081 – Contrôler l’accès physique | Manuel, désactivé | 1.1.0 |
| Implémenter la sécurité physique pour les bureaux, les zones de travail et les zones sécurisées | CMA_0323 - Implémenter la sécurité physique pour les bureaux, les zones de travail et les zones sécurisées | Manuel, désactivé | 1.1.0 |
Les médias contenant des données de titulaires de carte sont stockés, consultés, distribués et détruits de manière sécurisée
ID : PCI DSS v4.0 9.4.1 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Implémenter des contrôles pour sécuriser tous les supports | CMA_0314 – Implémenter des contrôles pour sécuriser tous les supports | Manuel, désactivé | 1.1.0 |
Les médias contenant des données de titulaires de carte sont stockés, consultés, distribués et détruits de manière sécurisée
ID : PCI DSS v4.0 9.4.1.1 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Implémenter des contrôles pour sécuriser tous les supports | CMA_0314 – Implémenter des contrôles pour sécuriser tous les supports | Manuel, désactivé | 1.1.0 |
Les médias contenant des données de titulaires de carte sont stockés, consultés, distribués et détruits de manière sécurisée
ID : PCI DSS v4.0 9.4.2 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Implémenter des contrôles pour sécuriser tous les supports | CMA_0314 – Implémenter des contrôles pour sécuriser tous les supports | Manuel, désactivé | 1.1.0 |
Les médias contenant des données de titulaires de carte sont stockés, consultés, distribués et détruits de manière sécurisée
ID : PCI DSS v4.0 9.4.3 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Implémenter des contrôles pour sécuriser tous les supports | CMA_0314 – Implémenter des contrôles pour sécuriser tous les supports | Manuel, désactivé | 1.1.0 |
| Gérer le transport des ressources | CMA_0370 - Gérer le transport des ressources | Manuel, désactivé | 1.1.0 |
Les médias contenant des données de titulaires de carte sont stockés, consultés, distribués et détruits de manière sécurisée
ID : PCI DSS v4.0 9.4.4 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Implémenter des contrôles pour sécuriser tous les supports | CMA_0314 – Implémenter des contrôles pour sécuriser tous les supports | Manuel, désactivé | 1.1.0 |
| Gérer le transport des ressources | CMA_0370 - Gérer le transport des ressources | Manuel, désactivé | 1.1.0 |
Les médias contenant des données de titulaires de carte sont stockés, consultés, distribués et détruits de manière sécurisée
ID : PCI DSS v4.0 9.4.5.1 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Créer un inventaire des données | CMA_0096 - Créer un inventaire des données | Manuel, désactivé | 1.1.0 |
| Conserver les enregistrements de traitement des données personnelles | CMA_0353 - Conserver les enregistrements de traitement des données personnelles | Manuel, désactivé | 1.1.0 |
Les médias contenant des données de titulaires de carte sont stockés, consultés, distribués et détruits de manière sécurisée
ID : PCI DSS v4.0 9.4.6 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Utiliser un mécanisme de nettoyage des médias | CMA_0208 - Utiliser un mécanisme de nettoyage des médias | Manuel, désactivé | 1.1.0 |
| Implémenter des contrôles pour sécuriser tous les supports | CMA_0314 – Implémenter des contrôles pour sécuriser tous les supports | Manuel, désactivé | 1.1.0 |
| Effectuer une révision avant destruction | CMA_0391 - Effectuer une révision avant destruction | Manuel, désactivé | 1.1.0 |
| Vérifier que les données personnelles sont supprimées à la fin du traitement | CMA_0540 - Vérifier que les informations personnelles sont supprimées à la fin du traitement | Manuel, désactivé | 1.1.0 |
Les médias contenant des données de titulaires de carte sont stockés, consultés, distribués et détruits de manière sécurisée
ID : PCI DSS v4.0 9.4.7 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Utiliser un mécanisme de nettoyage des médias | CMA_0208 - Utiliser un mécanisme de nettoyage des médias | Manuel, désactivé | 1.1.0 |
| Implémenter des contrôles pour sécuriser tous les supports | CMA_0314 – Implémenter des contrôles pour sécuriser tous les supports | Manuel, désactivé | 1.1.0 |
| Effectuer une révision avant destruction | CMA_0391 - Effectuer une révision avant destruction | Manuel, désactivé | 1.1.0 |
| Vérifier que les données personnelles sont supprimées à la fin du traitement | CMA_0540 - Vérifier que les informations personnelles sont supprimées à la fin du traitement | Manuel, désactivé | 1.1.0 |
Les appareils de point d’interaction (POI) sont protégés contre les falsifications et les substitutions non autorisées
ID : PCI DSS v4.0 9.5.1 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Contrôler l’accès physique | CMA_0081 – Contrôler l’accès physique | Manuel, désactivé | 1.1.0 |
| Implémenter la sécurité physique pour les bureaux, les zones de travail et les zones sécurisées | CMA_0323 - Implémenter la sécurité physique pour les bureaux, les zones de travail et les zones sécurisées | Manuel, désactivé | 1.1.0 |
| Gérer l’entrée, la sortie, le traitement et le stockage des données | CMA_0369 – Gérer l’entrée, la sortie, le traitement et le stockage des données | Manuel, désactivé | 1.1.0 |
Les appareils de point d’interaction (POI) sont protégés contre les falsifications et les substitutions non autorisées
ID : PCI DSS v4.0 9.5.1.2 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Contrôler l’accès physique | CMA_0081 – Contrôler l’accès physique | Manuel, désactivé | 1.1.0 |
| Implémenter la sécurité physique pour les bureaux, les zones de travail et les zones sécurisées | CMA_0323 - Implémenter la sécurité physique pour les bureaux, les zones de travail et les zones sécurisées | Manuel, désactivé | 1.1.0 |
| Gérer l’entrée, la sortie, le traitement et le stockage des données | CMA_0369 – Gérer l’entrée, la sortie, le traitement et le stockage des données | Manuel, désactivé | 1.1.0 |
Les appareils de point d’interaction (POI) sont protégés contre les falsifications et les substitutions non autorisées
ID : PCI DSS v4.0 9.5.1.2.1 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Contrôler l’accès physique | CMA_0081 – Contrôler l’accès physique | Manuel, désactivé | 1.1.0 |
| Implémenter la sécurité physique pour les bureaux, les zones de travail et les zones sécurisées | CMA_0323 - Implémenter la sécurité physique pour les bureaux, les zones de travail et les zones sécurisées | Manuel, désactivé | 1.1.0 |
| Gérer l’entrée, la sortie, le traitement et le stockage des données | CMA_0369 – Gérer l’entrée, la sortie, le traitement et le stockage des données | Manuel, désactivé | 1.1.0 |
Les appareils de point d’interaction (POI) sont protégés contre les falsifications et les substitutions non autorisées
ID : PCI DSS v4.0 9.5.1.3 Propriété : Partagée
| Nom (Portail Azure) |
Description | Effet(s) | Version (GitHub) |
|---|---|---|---|
| Fournir une formation sur la sécurité avant de fournir l’accès | CMA_0418 - Fournir une formation sur la sécurité avant de fournir l’accès | Manuel, désactivé | 1.1.0 |
Étapes suivantes
Autres articles sur Azure Policy :
- Présentation de la Conformité réglementaire.
- Voir la structure de la définition d’initiative.
- Passez en revue d’autres exemples de la page Exemples Azure Policy.
- Consultez la page Compréhension des effets de Policy.
- Découvrez comment corriger des ressources non conformes.