Test de segmentation (PCI DSS)

Définition

Le test de segmentation, exigence de la norme PCI DSS, est le processus par lequel une organisation vérifie de manière technique et documentée que les contrôles de segmentation réseau qu'elle a mis en place isolent effectivement son environnement de données de cartes de paiement, dit CDE, du reste de son infrastructure informatique, permettant ainsi de réduire le périmètre soumis aux exigences les plus contraignantes de la norme aux seuls systèmes réellement concernés par le traitement de ces données sensibles. Sans segmentation démontrée par un test concluant, l'ensemble du réseau de l'organisation est présumé faire partie du périmètre soumis à la norme, ce qui alourdit considérablement la charge de conformité et le coût des audits associés. Le test de segmentation doit être réalisé au minimum une fois par an et après tout changement significatif affectant les contrôles de segmentation existants, par des personnes disposant de compétences suffisantes en tests d'intrusion réseau, en s'assurant que la segmentation résiste à des tentatives réalistes de contournement depuis les segments non sensibles vers l'environnement de données de cartes de paiement protégé. La norme PCI DSS version 4.0 a renforcé cette exigence en imposant explicitement, pour les prestataires de services, une fréquence semestrielle plutôt qu'annuelle pour ce test, reflétant l'importance accordée à la fiabilité continue de cette frontière de sécurité critique.