PCI DSS
La norme de sécurité que doit respecter toute organisation qui stocke, traite ou transmet des données de cartes de paiement.
En bref
- Elle est établie par le PCI Security Standards Council, fondé par les grands réseaux de cartes.
- Ses 12 exigences couvrent les réseaux, la protection des données, le contrôle d'accès, la surveillance et les politiques.
- La façon la plus simple de réduire son périmètre PCI est de ne jamais stocker de numéros de carte.
La norme de sécurité des données de l'industrie des cartes de paiement, ou PCI DSS, protège les données des titulaires de cartes partout où elles sont traitées. Elle s'applique aux commerçants, aux processeurs de paiement et aux fournisseurs de services de toute taille qui stockent, traitent ou transmettent des numéros de carte. La version actuelle est la 4.0.1.
Les 12 exigences
Elles se regroupent sous six objectifs :
- Réseaux et systèmes sécurisés : contrôles de sécurité réseau et configurations sécurisées.
- Protection des données de compte : protéger les données de carte stockées et les chiffrer en transit.
- Gestion des vulnérabilités : protection contre les logiciels malveillants et développement sécurisé.
- Contrôle d'accès : limiter l'accès selon le besoin, identifier les utilisateurs et restreindre l'accès physique.
- Surveillance et tests : journaliser et surveiller les accès, et tester régulièrement la sécurité.
- Politique de sécurité : maintenir des politiques et des programmes qui soutiennent la sécurité.
Comment la conformité est validée
Les exigences dépendent du volume de transactions. Les plus grands commerçants et fournisseurs de services sont évalués sur place par un évaluateur de sécurité qualifié. Les plus petits remplissent généralement un questionnaire d'autoévaluation, dont la longueur dépend de la façon dont ils acceptent les cartes.
Réduire le périmètre
Tout système qui touche aux données de carte est dans le périmètre. Utiliser le paiement hébergé ou les terminaux d'un fournisseur de paiement, et la tokenisation pour stocker un jeton plutôt que le numéro de carte, sort la plupart des systèmes du périmètre et simplifie grandement la conformité.
Exemple chiffré
Réduire le périmètre
Un détaillant en ligne stockait les numéros de carte de ses clients réguliers dans sa propre base de données, ce qui plaçait ses serveurs, sa base et les accès de son personnel dans le périmètre PCI. Il passe aux champs de paiement hébergés de son fournisseur et ne stocke plus que des jetons. Son évaluation passe à un questionnaire d'autoévaluation beaucoup plus court, et une brèche dans sa base n'exposerait plus de numéros de carte.