Sécuriser les données de paiement
PCI DSS (Payment Card Industry Data Security Standard), version 4.0, s'applique à toute organisation qui stocke, traite ou transmet des données de porteurs de carte - commerçants en ligne, prestataires de paiement, plateformes SaaS qui intègrent un flux de paiement.
12 exigences, 6 objectifs de contrôle
Les 12 exigences se regroupent en 6 objectifs : construire et maintenir un réseau sécurisé, protéger les données de porteurs de carte, maintenir un programme de gestion des vulnérabilités, mettre en œuvre des mesures de contrôle d'accès strictes, surveiller et tester les réseaux régulièrement, et maintenir une politique de sécurité de l'information.
La version 4.0 introduit une logique d'objectifs de personnalisation (customized approach) : au-delà de la méthode définie, une organisation peut démontrer qu'elle atteint l'objectif de sécurité visé par une mesure compensatoire équivalente - à condition de le documenter et de le justifier rigoureusement.
Le niveau de conformité dépend du volume de transactions
Le niveau d'exigence (auto-évaluation via questionnaire SAQ, ou audit sur site par un QSA - Qualified Security Assessor) dépend du volume annuel de transactions par carte traité. Un volume élevé impose un audit externe complet ; un volume plus faible peut se satisfaire d'une auto-évaluation, mais les 12 exigences restent identiques sur le fond.
Le recouvrement avec ISO 27001
Le contrôle réseau, la gestion des vulnérabilités, le contrôle d'accès et la journalisation exigés par PCI DSS recoupent directement plusieurs mesures de l'Annexe A d'ISO 27001. Cartographier les deux référentiels sur les mêmes contrôles évite de dupliquer le travail de collecte de preuves pour une organisation déjà engagée dans une démarche ISO 27001.
Suggestion générée à titre pédagogique - validation humaine requise. Ce guide ne constitue pas un conseil juridique et ne se substitue pas à un auditeur externe accrédité.