Retail : segmenter le réseau magasin paiements et IoT

Réseaux · 4 min

Secteur d'activité: Commerce et distribution

Terminaux de paiement, étiquettes électroniques, caméras et Wi-Fi clients coexistent dans les réseaux des magasins. Découvrez comment séparer les zones, contrôler les accès et valider l'isolation.

Retail : segmenter le réseau magasin paiements et IoT

TL;DR

Un réseau de magasin sans isolation adéquate peut permettre à des équipements moins protégés de créer des chemins d'accès vers les systèmes de paiement.
Le PCI DSS n'exige pas la segmentation dans tous les cas, mais une isolation efficace peut réduire le périmètre de l'évaluation.
La segmentation doit tenir compte des fonctions, des niveaux de confiance et des flux de communication autorisés, avec un blocage par défaut entre les zones.
Des modèles de réseau par typologie de magasin et des politiques centralisées facilitent l'application cohérente des contrôles.
L'isolation doit être validée périodiquement et après toute modification des mécanismes de segmentation.

Le magasin est devenu un réseau multi-locataire

Dans le retail et la distribution, un magasin peut intégrer sur la même infrastructure de communications des caisses et terminaux de paiement, des balances, des étiquettes électroniques de rayon, des caméras de vidéosurveillance, des systèmes de froid et de climatisation, du Wi-Fi pour les clients et des équipements gérés à distance par des fournisseurs. Dans de nombreuses enseignes, cette diversité résulte de déploiements, de rénovations et d'intégrations technologiques successifs. Le défi pour les équipes IT et de conformité est d'organiser le réseau de manière à empêcher qu'un équipement vulnérable, ou l'accès indu d'un technicien externe, ne crée un chemin vers les systèmes de paiement. Dans le même temps, l'architecture doit rester viable sur le plan opérationnel pour des dizaines, voire des centaines de magasins, aux besoins et aux équipements différents.

Dans le PCI DSS, la segmentation définit le périmètre d'évaluation

Le PCI DSS est une norme de sécurité de l'industrie des cartes de paiement, dont l'application découle des règles des entités participant à l'écosystème des paiements et de leurs accords respectifs. Le mode de validation dépend, entre autres facteurs, du modèle d'acceptation des paiements et des critères applicables à l'organisation, qui doivent être confirmés auprès de l'acquéreur ou de l'évaluateur compétent. La segmentation du réseau n'est pas obligatoire dans tous les scénarios, mais elle peut réduire le périmètre de l'évaluation lorsqu'elle isole efficacement l'environnement de données des titulaires de cartes (CDE) des autres systèmes. Il convient toutefois de considérer également les systèmes connectés au CDE ou capables d'influencer sa sécurité. Créer des VLAN distincts ne suffit pas : des contrôles effectifs des flux de communication et la validation de l'isolation mise en place sont nécessaires.

Des zones conçues par fonction et par niveau de confiance

Une approche recommandée consiste à regrouper les équipements selon leur fonction, leur criticité et leur niveau de confiance, plutôt que de ne considérer que le type de connexion. Les points de vente et les systèmes associés au traitement des paiements peuvent constituer une zone spécifique ; les équipements d'exploitation du magasin, tels que les balances et les étiquettes électroniques, une autre ; les systèmes du bâtiment, comme la climatisation et l'énergie, une troisième ; et la vidéosurveillance, une zone dédiée. Le Wi-Fi clients doit avoir un accès restreint aux services nécessaires, généralement Internet. Entre les zones, la règle de base doit être de bloquer les communications par défaut et de n'autoriser que les flux nécessaires, dûment documentés et justifiés. Dans un projet de réseaux LAN et SD-WAN, cette conception doit être définie avant la sélection des équipements et validée en fonction des besoins de chaque magasin.

Un modèle réplicable dans tous les magasins

La segmentation devient plus facile à gérer à grande échelle lorsqu'il existe un modèle de référence par typologie de magasin, qu'il s'agisse d'un hypermarché, d'un magasin de proximité ou d'un entrepôt, avec un adressage cohérent, des zones de sécurité définies et des politiques gérées de manière centralisée. Lorsque la liaison entre les magasins et le siège repose sur une architecture telle que celle décrite dans SD-WAN et SASE comme alternative au MPLS, les contrôles doivent rester cohérents également dans les communications avec les services centraux et le cloud. Les équipements inconnus peuvent être soumis à une politique d'accès restreint, en recourant à des mécanismes de contrôle d'accès au réseau (NAC), comme le 802.1X, lorsqu'ils sont pris en charge. Pour les appareils qui ne le prennent pas en charge, des mesures complémentaires, dûment évaluées, peuvent être nécessaires. L'accès distant des fournisseurs doit être autorisé, limité aux besoins de l'intervention, authentifié et journalisé, en évitant les connexions permanentes non contrôlées vers le réseau du magasin.

Prouver que la séparation continue de fonctionner

Un schéma documente l'isolation prévue ; les tests démontrent si les contrôles fonctionnent dans la pratique. Dans le PCI DSS v4.0.1, lorsque la segmentation est utilisée pour isoler le CDE et réduire le périmètre de l'évaluation, l'exigence 11.4.5 prévoit des tests d'intrusion sur les contrôles de segmentation au moins une fois tous les 12 mois et après toute modification de ces contrôles ou méthodes. Pour les prestataires de services visés par l'exigence 11.4.6, la périodicité minimale est de six mois, en plus des tests après modifications. Dans le retail, les ouvertures de magasins, les rénovations, les nouveaux kiosques et les remplacements d'équipements peuvent introduire des connexions imprévues. Intégrer des vérifications lors de l'ouverture des magasins, comparer les configurations avec le modèle de référence et réviser périodiquement les règles entre zones aide à identifier les écarts. Des limites subsistent, comme les équipements anciens qui dépendent de communications ouvertes ou les fournisseurs qui exigent des accès permanents. Ces situations doivent être évaluées au cas par cas et traitées avec des mesures d'atténuation adéquates, sans présumer que des contrôles compensatoires dispensent automatiquement des exigences applicables.

Une décision d'architecture plus que de conformité

Segmenter le réseau d'un magasin peut réduire le périmètre d'évaluation PCI DSS et limiter la propagation de certains incidents de sécurité, à condition que les contrôles soient efficaces et dûment validés. Le résultat dépend de l'architecture de paiement, des équipements existants, des dépendances entre systèmes et de la rigueur avec laquelle les politiques sont appliquées sur chaque site. Traiter la segmentation comme une architecture de référence, soumise à maintenance, supervision et tests, est plus durable que de l'aborder comme un projet ponctuel. Ainsi, le réseau peut évoluer avec de nouveaux magasins, appareils et services sans perdre le contrôle des communications et des risques associés.