Qu’est-ce que PCI DSS
Qu’est-ce que PCI DSS (Payment Card Industry Data Security Standard)?
PCI DSS (Payment Card Industry Data Security Standard) est la norme de sécurité à laquelle toutes les organisations qui stockent, traitent ou transmettent des données de cartes de paiement doivent se conformer. Elle fixe douze exigences réparties en six objectifs de contrôle, et la version actuelle est PCI DSS 4.0.
Cartographiez vos contrôles PCI DSS Voir les composantes principales
12 exigences · environnement des données de titulaires de cartes · SAQ · QSA · ASV
Définition
PCI DSS (Payment Card Industry Data Security Standard) est la norme de sécurité à laquelle toutes les organisations qui stockent, traitent ou transmettent des données de cartes de paiement doivent se conformer.
PCI DSS s’applique à toute organisation qui stocke, traite ou transmet des données de titulaires de cartes, qu’il s’agisse de commerçants, de processeurs de paiement ou de prestataires de services. Le niveau de conformité dépend du volume de transactions. Les plus grands commerçants et prestataires de services font l’objet d’une évaluation annuelle sur place par un évaluateur de sécurité qualifié (QSA), tandis que les petits commerçants remplissent un questionnaire d’auto-évaluation (SAQ).
La version 4.0 (présentée en 2022, la 3.2.1 ayant été retirée le 31 mars 2024) a introduit l’approche personnalisée (qui permet aux organisations de concevoir des contrôles de remplacement sous réserve de documentation), renforcé les exigences d’AMF, élargi la détermination de la portée et ajouté des contrôles sur le chiffrement et le développement sécurisé de logiciels. La révision 4.0.1 de 2024 a clarifié plusieurs exigences.
Pour les FSG, PCI DSS se présente souvent par la classification de prestataire de services (le FSG traite, stocke ou transmet des données de titulaires de cartes pour le compte de clients commerçants) ou en soutenant les clients commerçants dans leur travail de conformité à PCI.
Composantes principales
Douze exigences
Six objectifs de contrôle répartis en douze exigences couvrant la sécurité du réseau, les configurations sécurisées, le chiffrement, la gestion des vulnérabilités, le contrôle d’accès, la surveillance et la politique de sécurité.
Environnement des données de titulaires de cartes (CDE)
Les systèmes, les processus et les personnes qui stockent, traitent ou transmettent des données de titulaires de cartes, ainsi que les systèmes connectés. Délimiter le CDE avec exactitude est fondamental.
Questionnaire d’auto-évaluation (SAQ)
Plusieurs types de SAQ (A, A-EP, B, B-IP, C, C-VT, D, P2PE) pour différents scénarios de commerçants.
Évaluateur de sécurité qualifié (QSA)
Évaluateurs accrédités par le PCI Council qui effectuent des évaluations sur place pour les commerçants et les prestataires de services de niveau 1.
Fournisseur de services d’analyse agréé (ASV)
Outils d’analyse externe des vulnérabilités approuvés par PCI pour effectuer les analyses externes exigées.
Approche personnalisée (4.0 et suivantes)
Permet aux organisations de mettre en œuvre des contrôles de remplacement sous réserve de documentation et d’examen par un évaluateur.
Pourquoi c’est important
Les sanctions en cas de non-conformité sont imposées par les réseaux de cartes et les banques acquéreuses : amendes mensuelles de 5 000$ US à 100 000$ US ou plus, frais accrus par transaction et retrait de la capacité du commerçant à accepter les paiements par carte. Après une intrusion, les amendes et les coûts d’enquête judiciaire représentent souvent plusieurs fois le coût initial de la conformité.
Au-delà des sanctions directes, PCI DSS établit une base de sécurité que les réseaux de cartes (Visa, Mastercard, Amex, Discover, JCB) intègrent dans leurs propres programmes. Les prestataires de services (y compris de nombreux FSG) figurent dans les registres de Visa et de Mastercard et sont assujettis à des exigences précises pour prestataires de services.
Comment Lavawall® vous aide avec PCI DSS
Lavawall® traite PCI DSS 4.0 comme un cadre de première classe. Les 12 exigences correspondent aux preuves en direct que Lavawall® recueille : indicateurs de segmentation du réseau, posture de chiffrement, inventaire des composants de système, état des correctifs, contrôles d’accès, application de l’AMF, journalisation d’audit, surveillance de l’intégrité des fichiers, gestion des vulnérabilités et réponse aux incidents.
ThreeShield, la firme d’audit qui a conçu Lavawall®, compte du personnel titulaire des titres CISSP et CISA qui a dirigé des travaux de préparation à PCI DSS. Les correspondances de contrôles reflètent ce que les évaluateurs examinent réellement, et non le texte littéral d’une exigence lu par un ingénieur logiciel qui n’a jamais participé à un véritable mandat PCI.
Le soutien multilocataire permet aux FSG d’effectuer la préparation à PCI DSS pour plusieurs clients commerçants. Les preuves de niveau prestataire de services sont aussi prises en charge pour les FSG qui entrent eux-mêmes dans la portée de PCI.
Questions fréquentes
- Dois-je être conforme à PCI si je ne fais que traiter des paiements par carte?
- Oui. Toute organisation qui stocke, traite ou transmet des données de titulaires de cartes est visée. L’approche de conformité (SAQ ou évaluation menée par un QSA) dépend du volume de transactions.
- Qu’est-ce que l’approche personnalisée de la version 4.0?
- La version 4.0 permet aux organisations de concevoir des contrôles de remplacement qui atteignent l’objectif de sécurité même lorsqu’elles ne mettent pas littéralement en œuvre le contrôle prescrit. La documentation et l’examen par un évaluateur sont obligatoires.
- Les FSG sont-ils visés?
- Souvent, oui. Les FSG qui traitent des données de titulaires de cartes pour le compte de clients commerçants sont généralement des prestataires de services au sens de PCI et ont des obligations précises, y compris une évaluation annuelle pour les prestataires de services de niveau 1.
- Lavawall® remplace-t-il mon QSA?
- Non. Les évaluations PCI DSS de niveau 1 sont effectuées par des firmes QSA accréditées. Lavawall® produit les preuves, et le QSA les échantillonne et les atteste. ThreeShield offre des travaux de préparation à PCI; l’évaluation officielle du QSA est un mandat distinct.