PCI-DSS NTP — Exigence 10.6
Guide de conformité synchronisation horaire

1. Périmètre : quand 10.6 s'applique-t-il au CDE ?

L'Exigence 10 de PCI-DSS v4.0 — « Journaliser et superviser tous les accès aux composants système et aux données titulaires » — s'applique à chaque composant système de l'environnement de données titulaires (CDE). L'Exigence 10.6 est le sous-ensemble synchronisation horaire. Elle s'applique à :

• Chaque système traitant, stockant ou transmettant des données de compte ;
• Chaque service de sécurité supportant ces systèmes (collecte de logs, SIEM, IDS/IPS, pare-feux, hôtes de rebond) ;
• Chaque système qu'un attaquant pourrait utiliser pour accéder aux systèmes dans le périmètre (postes d'administration, bastions) ;
• Les serveurs de temps des prestataires de services connectés lorsqu'ils tombent dans le périmètre CDE évalué.

L'obligation principale se lit :

La formule « réglages cohérents » est décisive : le QSA regarde les résultats, pas la technologie. Un CDE où tous les systèmes sont à ±50 ms d'une référence externe vérifiée passe ; un CDE qui fait tourner chrony mais avec un hôte à +180 s de dérive échoue — même si « NTP est configuré partout ».

2. 10.6.1 — Technologie de synchronisation en service

La réponse d'implémentation est quasi-systématiquement NTP, plus Windows W32Time configuré en client NTP (Type=NTP). Le QSA attend :

• Le démon de synchronisation est installé et activé au démarrage sur chaque système dans le périmètre ;
• Il synchronise activement — chronyc tracking ou w32tm /query /status retourne un stratum inférieur à 16 et une valeur reach non nulle ;
• Si le démon est configuré mais que le système échoue à se synchroniser, c'est un constat — même si la configuration est correcte sur papier.

3. 10.6.2 — Serveurs désignés et sources approuvées

Cette sous-exigence est dense. Six vérifications pour le QSA :

Ce que « source externe acceptée par l'industrie » signifie en pratique

Le PCI SSC n'a pas publié de liste exhaustive. La convention appliquée par les QSA en 2026 :

4. 10.6.3 — Protection des paramètres et données

Sous-exigence courte mais qui se déclenche à trois niveaux :

1. Système de fichiers. chrony.conf ou ntp.conf appartenant à root, mode 0640 ou plus strict, situé hors de tout partage lisible par le monde. Sur Windows, les clés de registre W32Time protégées par l'ACL par défaut plus l'application par stratégie de groupe.
2. Gestion des changements. Chaque modification de configuration ouverte par ticket, relue, historique conservé sur au moins la fenêtre d'évaluation (typiquement 12 mois).
3. Authentification du canal. Le canal amont du serveur désigné doit résister à l'altération. En 2026, NTS (RFC 8915) est la seule réponse standardisée ; les clés symétriques sont acceptées si la rotation et le stockage sont documentés (ce dernier point échoue souvent en 10.6.3 — clés en clair dans le dépôt de configuration : constat classique).

5. Topologie de référence pour un CDE conforme 10.6

La forme que la plupart des QSA jugent immédiatement défendable :

           ┌─────────────────────────────────────────┐
           │  Externe (sources acceptées par l'industrie) │
           │  ───────────────────────────────────────  │
           │  • NIST time.nist.gov     (UDP 123)         │
           │  • Cloudflare NTS         (UDP 4460 NTS)    │
           │  • Netnod NTS             (UDP 4460 NTS)    │
           │  • Stratum 1 GNSS         (UDP 123)         │
           └─────────────────┬───────────────────────┘
                             │ Sortie UDP 123 / 4460 restreinte
                             │ aux serveurs désignés seulement (FW)
                             ▼
           ┌─────────────────────────────────────────┐
           │  Serveurs de temps centraux désignés      │
           │  ───────────────────────────────────────  │
           │  ntp-cde-a.internal  (chrony 4.x, NTS)    │
           │  ntp-cde-b.internal  (chrony 4.x, NTS)    │
           │  ── peering mutuel ──                     │
           └─────────────────┬───────────────────────┘
                             │ UDP 123 interne uniquement
                             │ vers ntp-cde-a/b
                             ▼
           ┌─────────────────────────────────────────┐
           │  Systèmes dans le périmètre CDE           │
           │  ───────────────────────────────────────  │
           │  Apps paiement · BDD · Pare-feux · SIEM   │
           │  Bastions · IDS · Authentification        │
           └─────────────────────────────────────────┘

Deux serveurs désignés (10.6.2 exige le pluriel), en peering mutuel, alimentés uniquement par des sources externes acceptées par l'industrie, avec un cloisonnement firewall strict entre couches.

6. Pièces de preuve pour l'évaluation QSA

À rassembler dans pci-dss/req-10.6/ avant l'évaluation :

1. Schéma. La topologie à trois niveaux ci-dessus avec hostnames et IPs réels.
2. Config des serveurs désignés. chrony.conf des deux serveurs désignés, anonymisée.
3. Échantillon interne. chrony.conf / export W32Time d'un échantillon représentatif de systèmes dans le périmètre (bases de données, serveurs applicatifs, pare-feux, bastions).
4. Règles firewall. Export des règles de sortie restreignant UDP/123 et UDP/4460 (NTS) aux serveurs désignés uniquement.
5. Document sources approuvées. Une page listant chaque source amont et la justification « acceptée par l'industrie ».
6. État de synchronisation. Sortie de chronyc tracking et chronyc sources sur chaque serveur désigné, datée dans la fenêtre d'évaluation.
7. Preuve NTS. Si NTS est utilisé, preuve de validité des certificats et procédure de rotation.
8. Historique des changements. Export ticketing couvrant les changements de configuration NTP des 12 derniers mois.
9. Rapport de test. Sortie du Validateur NTP en ligne contre chaque source externe — stratum, offset, refID — collectée dans la fenêtre d'évaluation.

7. v3.2.1 (10.4 historique) → v4.0 (10.6) — différences

PCI-DSS v3.2.1 plaçait l'exigence de synchronisation horaire en 10.4 avec trois sous-exigences. v4.0 l'a renumérotée en 10.6 et a durci le texte :

Si votre dossier de preuves v3.2.1 est solide, la transition v4.0 est essentiellement un re-étiquetage plus une liste documentée « sources approuvées » et la vérification explicite du peering.

8. Réutilisation inter-référentiels

Un dossier de preuves conforme 10.6 ferme les exigences temporelles des grands référentiels sans artefact supplémentaire :

Voir aussi : Référentiel ANSSI / OIV / loi REC pour le cadre français.

Autre angle ? Utilisez l'outil adapté :

• Mesurer jitter, offset, latence → ntp-tester.eu
• Diagnostiquer firewall / port 123 / démon → check-ntp.net
• Architecture de référence entreprise → ntp.rdem-systems.com