Résumé
PCI DSS (Payment Card Industry Data Security Standard) est une norme de sécurité obligatoire qui définit la manière dont les entreprises traitent les données de carte bancaire. Réglementé par le Conseil de l'industrie des cartes de paiement — fondé en 2006 par American Express, Discover, JCB International, Mastercard et Visa — la norme s’applique à toute organisation qui accepte, stocke ou transmet des informations de titulaire de carte, quelle que soit sa taille. Le non-respect de la réglementation peut entraîner des amendes allant jusqu’à 500 000 $ par brèche, une responsabilité juridique et des atteintes à la réputation. La conformité s’articule autour de six objectifs fondamentaux et de onze exigences techniques, allant de la configuration des pare-feu et de l’hygiène des mots de passe aux contrôles des accès physiques et à la formation des équipes. Les entreprises sont également réparties en quatre niveaux de conformité selon leur volume annuel de transactions, les plus grandes entreprises devant répondre à des exigences de documentation plus strictes. Maintenir la conformité est une responsabilité continue et évolutive — pas une simple liste de contrôle à valider une seule fois.
Comprendre la norme PCI DSS et la sécurité des données de carte bancaire
La norme de sécurité des données de l’industrie des cartes de paiement (PCI DSS) est un cadre qui définit la manière dont les entreprises traitent les données de cartes bancaires. Si votre entreprise traite, stocke ou transmet des informations de carte bancaire, la conformité PCI DSS est essentielle pour vous.
La norme PCI DSS veille à ce que les informations des titulaires de carte soient utilisées, stockées et transmises en toute sécurité. Le respect des règles constitue une bonne pratique dans le secteur. Vous démontrez à vos clients que votre entreprise est digne de confiance.
Mais si votre entreprise n’est pas conforme à la norme PCI, elle risque également de lourdes amendes susceptibles de mettre en péril son activité.
Qu’est-ce que la conformité PCI ?
La conformité PCI correspond au respect des standards de sécurité définis par le Payment Card Industry Council afin de protéger les données des titulaires de carte. Les directives lancent le processus de conformité PCI. Vous devez savoir ce que l’on attend de votre entreprise et mettre en place des processus en conséquence. Ensuite, la documentation commence. Vous devez démontrer que vous mettez tout en œuvre pour protéger les données des titulaires de carte.
Qui a fondé le PCI Council ?
La conformité PCI commence par la norme PCI elle-même. Le Payment Card Industry Council a été fondé en 2006 par des représentants et représentantes de :
- American Express
- Découvrir
- JCB International
- MasterCard
- Visa
Chaque entreprise partage de manière équitable les responsabilités du conseil, et toutes exigent la conformité PCI DSS de la part de leurs partenaires commerciaux.
PCI a créé le standard de sécurité des données (DSS), ainsi que les documents d’accompagnement, tels que :
- Frameworks de spécification
- Kits d’outils
- Guides de mesure
- Documents d’accompagnement
Toute entreprise qui accepte, stocke ou transmet des données de titulaires de carte doit être conforme à la norme PCI DSS. Même les très petites entreprises, ainsi que celles qui collaborent avec des prestataires de paiement tiers, doivent être conformes.
Que se passe-t-il si vous n’êtes pas en conformité ?
Si vous n’êtes pas en conformité, vous risquez une amende pouvant aller jusqu’à 500 000 $ par brèche de sécurité. De plus, vous devez informer chaque personne susceptible d’avoir été exposée lors d’une attaque, et ces notifications peuvent représenter un coût important.
Les consommateurs peuvent également vous poursuivre de manière indépendante. Vous pourriez également faire face à des amendes gouvernementales.
Êtes-vous conforme à la norme PCI ?
Ne partez pas du principe que les données des titulaires de carte que vous collectez sont sécurisées. Pour en savoir plus sur le contenu des recommandations et passez en revue vos processus afin d’en assurer la conformité.
Le standard PCI DSS commence par six objectifs. Chaque entreprise doit :
- Créer et maintenir un réseau sécurisé.
- Protéger les données des titulaires de carte.
- Maintenez un programme de gestion des vulnérabilités.
- Implémentez des mesures de contrôle d’accès solides.
- Surveillez et testez régulièrement les réseaux.
- Maintenez une politique de sécurité des informations.
Quelles sont les exigences PCI DSS ?
Comment pouvez-vous atteindre ces objectifs ? Les exigences PCI DSS définissent les étapes à suivre.
- Commencez par les pare-feu. Installer et maintenir un pare-feu, puis le configurer de manière optimale afin d’empêcher toute intrusion.
- Renforcer les mots de passe. N'utilisez pas les mots de passe fournis avec vos appareils, et cherchez des moyens de vous assurer que vous appliquez les bonnes pratiques en matière de mots de passe.
- Protéger lors du stockage. Si vous stockez des données de titulaires de carte, veillez à les protéger par des mesures de sécurité.
- Protégez pendant le transit. Si vous transférez des données sur différents réseaux, veillez à ce qu’elles soient chiffrées.
- Mettre fin aux attaques. Installer des programmes antivirus et les maintenir à jour.
- RenforcerCréer des systèmes sécurisés et les maintenir.
- Restreindre l’accès électronique. Veuillez ne pas autoriser tout le monde à accéder aux données des titulaires de carte. Veillez à ce que seules les personnes qui ont besoin d’en être informées puissent y accéder.
- Suivre. Attribuez à chaque personne ayant accès à l’ordinateur de votre entreprise un identifiant unique.
- Limiter l’accès physique. N'autorisez pas toutes les personnes à manipuler des copies papier des données des titulaires de carte.
- Test. Mettez en place un calendrier de tests réguliers et respectez-le.
- Formaliser. Rédigez un document qui précise votre politique en matière de sécurité pour les employés et les prestataires.
Quels sont les niveaux de conformité PCI ?
Toute entreprise qui collecte des données de titulaires de carte, quelle que soit sa taille, doit se conformer à la norme PCI DSS. Mais les grandes entreprises doivent aller plus loin pour démontrer qu’elles connaissent et comprennent les règles.
Pensez à Visa. Cette entreprise (le plus grand réseau de paiement au monde) définit quatre niveaux de conformité.
Ces quatre niveaux sont :
| Niveau | Volume annuel des transactions Visa | Exigence en matière de documentation |
|---|---|---|
| Niveau 1 | Plus de 6 millions de transactions Visa chaque année | Deux formulaires comptables |
| Niveau 2 | De 1 à 6 millions de transactions Visa par an | Plus de documentation que pour le niveau 3 ou 4 |
| Niveau 3e | De 20 000 à 1 million de transactions Visa par an | Plus de documentation que le niveau 4 |
| Niveau 4 | Moins de 20 000 transactions Visa e-commerce par an et jusqu’à 1 million de transactions Visa | Questionnaire uniquement |
Les règles ne changent pas d’un groupe à l’autre. En revanche, les risques auxquels vous êtes exposés lorsque le nombre de transactions augmente évoluent. Par conséquent, Visa exige davantage de documents de la part des grandes entreprises pour prouver leur conformité.
Si vous êtes une petite entreprise de niveau 4, il se peut que vous n'ayez qu'à remplir un questionnaire. Mais si votre entreprise est de niveau 1, vous devrez remplir deux formulaires comptables.
Quelles sont les bonnes pratiques et les erreurs à éviter en matière de PCI DSS ?
Les règles peuvent sembler simples. Mais il est facile pour les entreprises de ne plus savoir ce qu’elles doivent ou ne doivent pas faire avec les données qu’elles collectent. Comprendre quelques bonnes pratiques peut être utile.
| Vous devriez | Vous ne devez pas |
|---|---|
| Restez informé. Suivez de près la norme PCI et tenez-vous informé des nouvelles publications. À mesure que le secteur évolue et que de nouveaux risques apparaissent, les règles que vous devez respecter peuvent, elles aussi, évoluer. | Ne prenez pas les partenariats à la légère. Ne cherchez pas les meilleures offres sur les équipements et logiciels de point de vente (POS). Veillez à ce que toute entreprise avec laquelle vous collaborez soit également conforme à la norme PCI DSS et prenne les risques au sérieux. |
| Réaliser des évaluations des risques. Évaluez régulièrement votre environnement. Lorsque vous identifiez un point sensible, réduisez les risques aussi rapidement que possible. | Fusionner des réseaux. Les données des titulaires de carte ne doivent pas être accessibles aux hackers qui parviennent à pénétrer les serveurs ouverts de votre entreprise. Pourriez-vous segmenter autant que possible afin de protéger les données. |
| Organisez régulièrement des formations. Des membres du personnel laissés sans supervision peuvent mettre en place des solutions de contournement (comme enregistrer des données de titulaires de carte dans des feuilles de calcul sur le serveur), ce qui met la conformité en danger. Préparez-vous à former à nouveau vos équipes. | Laissez tomber. La conformité est un objectif en constante évolution. Gardez toujours la sécurité au centre de vos préoccupations. |
Si vous recherchez un partenaire pour vous aider à assurer la conformité PCI DSS, pensez à Okta. Télécharger notre livre blanc pour découvrir comment nous pouvons vous accompagner dans votre démarche de conformité.
Foire aux questions (FAQ)
Que signifie PCI DSS ?
PCI DSS signifie « standard de sécurité des données de l’industrie des cartes de paiement ». Il s’agit d’un cadre de sécurité obligatoire qui régit la manière dont les entreprises traitent les données de carte bancaire, afin que les informations des titulaires de carte soient utilisées, stockées et transmises en toute sécurité.
Qui doit se conformer à la norme PCI DSS ?
La conformité PCI DSS est universelle : elle s’applique à toute entreprise qui traite des données de titulaires de carte, quelle que soit la manière, des grandes entreprises aux petits commerçants, y compris celles qui s’appuient sur des prestataires de paiement externes.
Quelles amendes une entreprise risque-t-elle en cas de non-conformité au PCI DSS ?
Le non-respect des obligations entraîne des conséquences financières importantes. Une seule brèche de sécurité peut entraîner des amendes pouvant atteindre 500 000 $, l’obligation de notifier toutes les personnes concernées, des actions en justice intentées par des consommateurs et des sanctions supplémentaires imposées par les autorités.
Comment les niveaux de conformité PCI sont-ils déterminés ?
Les niveaux de conformité PCI sont déterminés en fonction du volume annuel de transactions. Visa, par exemple, définit quatre niveaux : le niveau 1 pour plus de 6 millions de transactions, le niveau 2 pour 1 à 6 millions, le niveau 3 pour 20 000 à 1 million, et le niveau 4 pour moins de 20 000 transactions e-commerce et jusqu’à 1 million de transactions au total. Les grandes entreprises sont soumises à des exigences de documentation plus strictes pour démontrer leur conformité.
Quelles sont les erreurs de conformité PCI DSS les plus courantes à éviter ?
Les erreurs courantes incluent le fait de prendre les partenariats à la légère – ne pas vérifier que les fournisseurs et partenaires sont également conformes à la norme PCI DSS. Les entreprises doivent également éviter de fusionner les réseaux, car les données des titulaires de carte ne doivent pas être accessibles aux hackers qui parviennent à pénétrer des serveurs ouverts. Enfin, considérer la conformité comme une tâche ponctuelle plutôt que comme une responsabilité continue représente un risque majeur.
La conformité PCI DSS constitue-t-elle une exigence ponctuelle ou un processus continu ?
La certification PCI DSS n’est pas une démarche ponctuelle. Le paysage des menaces évolue en permanence, ce qui implique que les standards eux-mêmes sont actualisés au fil du temps. Les entreprises doivent considérer la conformité comme un programme évolutif : réaliser régulièrement des évaluations des risques, former à nouveau les équipes de façon périodique et se tenir informées des mises à jour du Conseil PCI.
Références
À propos d’Okta. Conseil des normes de sécurité PCI.
PCI-DSS : pénalités de sécurité. UC Santa Cruz.
Sécurisation des paiements. Conseil des normes de sécurité PCI.
Émetteurs de cartes de crédit : les 15 plus grandes entreprises en 2021. CardRates.com.
La conformité PCI contribue à protéger vos données et celles de vos clients. Visa.
