Qu'est-ce que ce certificat ?

PCI DSS (Payment Card Industry Data Security Standard) est une norme de sécurité développée pour les organisations qui traitent, transmettent ou stockent les données des titulaires de cartes. Il ne s'agit pas d'une loi mais d'un régime contractuel imposé par les systèmes de cartes (Visa, Mastercard et autres). Le niveau de conformité dépend des niveaux (niveau 1 à 4) définis en fonction du volume de transactions : les organisations à volume élevé sont soumises à une évaluation sur site par un QSA qualifié et à un rapport de conformité (RoC), tandis que celles à faible volume utilisent un questionnaire d'auto-évaluation (SAQ). La version actuellement en vigueur est PCI DSS v4.0.1.

À qui s'adresse-t-il ?

Sites de commerce électronique et entreprises acceptant les paiements en ligne
Détaillants utilisant des points de vente et des terminaux de paiement
Prestataires de services de paiement et établissements de paiement
Fournisseurs de centres de données et de cloud hébergeant les données des cartes
Entreprises acceptant les paiements par carte via un centre d'appels

Est-il obligatoire ?

Pas légalement obligatoire ; il est effectivement obligatoire en raison des contrats avec les systèmes de cartes et les banques. Le non-respect peut entraîner une amende, des frais de transaction plus élevés ou la révocation du droit d'accepter les cartes. En cas de violation de données, le statut de conformité affecte directement l’évaluation de la responsabilité.

Domaine d'application de la norme

Objectif 1 — Construire et maintenir un réseau et des systèmes sécurisés : contrôles de sécurité du réseau, configuration sécurisée
Objectif 2 — Protéger les données des titulaires de carte : protection des données stockées, chiffrement lors de la transmission sur les réseaux ouverts
Objectif 3 — Maintenir un programme de gestion des vulnérabilités : protection contre les logiciels malveillants, systèmes sécurisés et développement de logiciels
Objectif 4 — Mettre en œuvre un contrôle d'accès fort : restriction de l'accès en fonction des besoins de l'entreprise, authentification, contrôle d'accès physique
Objectif 5 — Surveiller et tester régulièrement les réseaux : journalisation et surveillance, tester régulièrement la sécurité du système et du réseau
Objectif 6 — Maintenir une politique et un programme de sécurité de l'information
Cadrage : l'environnement des données des titulaires de cartes (CDE) et la segmentation
Le parcours de validation par niveau : RoC (avec un QSA) ou SAQ (auto-évaluation)
Obligations en matière d’analyse ASV et de tests d’intrusion
Délivrance de l'attestation de conformité (AoC)

Processus de certification

1Détermination de la portée et du programmeLes sites et les processus à auditer, ainsi que la durée de l'audit requise par le programme, sont déterminés.
2Pré-évaluationUne analyse des écarts est éventuellement effectuée ; les lacunes deviennent visibles avant l’audit principal.
3Audit sur siteL'examen des dossiers, l'observation du site et les entretiens avec les travailleurs sont effectués par rapport à la liste de contrôle du programme.
4Restitution des constatsLes résultats sont rapportés selon la classification du programme. Le résultat de ces programmes est un rapport d’audit et non un certificat.
5Actions correctives et suiviUn plan d'actions correctives est soumis aux constats ; il est clôturé par un audit de suivi dans le cadre du programme.

Durée de validité

La durée de validité des rapports d'audit est fixée par le régime et se situe généralement entre un et deux ans. Le rapport est utilisé pour la période acceptée par la marque acheteuse.

Documents requis

Détails de l'organisation et du site
Effectif et répartition des équipes
Permis et licences légaux
Politiques et procédures pertinentes
Registres de paie, de temps et du personnel
Le diagramme de flux de données du titulaire de la carte et la topologie du réseau
La définition du périmètre (CDE) et les preuves de segmentation
L’inventaire du système et les normes de configuration
Rapports d'analyse ASV et rapports de tests d'intrusion
La matrice d’autorisation d’accès et les enregistrements d’authentification
Politiques de sécurité de l’information et plan de réponse aux incidents
La liste des prestataires tiers et leur statut de conformité

Coût de la certification

Il n'y a pas de tarif catalogue fixe; le coût est calculé selon les variables suivantes et fourni par écrit dans le devis.

Le nombre de sites à auditer et l'effectif
La durée d’audit prescrite par le programme
Si une pré-évaluation (analyse des lacunes) est demandée
Si un audit de suivi est requis

Accréditation

La plupart de ces systèmes produisent des rapports d'audit, et non des documents, et sont soumis au propre système d'approbation du propriétaire du système (par exemple Sedex, amfori, RBA) ; L'accréditation au sens classique du terme n'est pas présente dans tous les systèmes. La compétence de l'auditeur et la validité du rapport sont déterminées par les règles du propriétaire du système.

Le périmètre dans lequel ce schéma peut être proposé varie selon votre produit et votre activité; il est confirmé par écrit au stade du devis.

Portée et autorisations

Certifications associées

Questions fréquentes

Ai-je besoin d’un SAQ ou d’un RoC ?

Cela dépend du volume annuel de vos transactions par carte et du niveau fixé par le système de carte. Les organisations de niveau 1 exigent une évaluation par un QSA qualifié et un RoC ; les niveaux inférieurs peuvent utiliser l’auto-évaluation avec le type SAQ approprié. Le type de SAQ applicable dépend de votre mode d’acceptation de paiement.

Je ne stocke pas les données de ma carte : suis-je toujours concerné ?

Très probablement, oui. La norme couvre autant le TRAITEMENT et la TRANSMISSION des données que leur stockage. Ne pas le stocker réduit considérablement la portée mais ne l’élimine pas entièrement ; pour sortir du champ d’application, le flux de paiement doit être entièrement externalisé auprès d’un prestataire externe.

Pourquoi la segmentation est-elle importante ?

Séparer l’environnement des données des titulaires de cartes du reste du réseau réduit considérablement la portée de l’évaluation et donc le coût. L'efficacité de la segmentation doit être vérifiée par un test d'intrusion.

Sécurité des données de cartes de paiement (PCI DSS)