Conformité
PCI DSS
Aussi appeléPCI-DSSPayment Card Industry Data Security StandardNorme de sécurité des cartes de paiement
En résumé
Le standard de sécurité des données de l’industrie des cartes de paiement, publié par le PCI Security Standards Council. Il s’applique à toute entité qui stocke, traite ou transmet des données de cartes, et s’impose par contrat via les réseaux de cartes et les banques acquéreuses, non par la loi.
PCI DSS, en détail
La version en vigueur est la 4.0.1, publiée en 2024. Elle regroupe douze exigences principales : réseaux et systèmes sécurisés, protection des données de titulaires de cartes, gestion des vulnérabilités, contrôle d’accès, journalisation, tests réguliers, politiques de sécurité. Son périmètre est l’environnement de données de titulaires, c’est-à-dire les systèmes qui touchent aux données de cartes et ceux qui leur sont connectés. Réduire ce périmètre, par la segmentation ou en confiant le paiement à un prestataire, réduit d’autant le travail.
La validation dépend du volume et du rôle, selon les règles des réseaux de cartes et de votre banque acquéreuse : un auto-questionnaire (SAQ) pour les plus petits, un rapport de conformité rédigé par un évaluateur qualifié (QSA) pour les plus grands, avec des scans externes trimestriels réalisés par un prestataire approuvé (ASV). En matière de tests, l’exigence 11.4 demande des tests d’intrusion interne et externe au moins une fois par an et après un changement important, une méthode documentée et des tests de la segmentation. Ils se distinguent des scans ASV, qui sont automatisés.
Qu’est-ce que cela change pour vous ?
Le non-respect expose à des sanctions contractuelles de la banque acquéreuse, sans passer par la loi. Réduire le périmètre plutôt que couvrir tout le réseau est le moyen le plus efficace d’alléger la charge.
La confusion fréquente
Prendre une attestation de conformité pour une preuve de sécurité. Elle décrit un état à une date donnée, sur un périmètre défini : une entité conforme peut être compromise le mois suivant.
Qui peut vous accompagner ?
- Pentest de conformité : la prestationUn test d’intrusion dont le périmètre et le rapport répondent à ce que votre auditeur va lire.
- Pentest web : la prestationSavoir ce qu’un attaquant obtiendrait sur votre application.
Aller plus loin
- ArticleComparer des devis de test d’intrusion : la grille en neuf pointsPérimètre, jours-homme, boîte noire ou grise, rôles testés, contre-audit, livrables, qualification, cadre et prix : la grille qui rend deux devis comparables autrement que par leur total.
- ArticleAutorisation de test d’intrusion : ce que doit contenir la lettrePérimètre, fenêtres, adresses IP sources, contacts, clause d’arrêt, données, signataires habilités : le contenu d’une autorisation écrite avant un test d’intrusion, et son cadre légal.
- ComparatifConformité ou sécurité technique : ISO 27001, NIS 2 ou test d’intrusion ?On peut être conforme et vulnérable, solide et non conforme. Ce que couvre une démarche de conformité (ISO 27001, NIS 2), ce que mesure une démarche technique, et dans quel ordre les mener.
Termes liés
- MéthodeTest d’intrusion : définitionUne simulation d’attaque autorisée et encadrée, menée par des analystes, qui cherche à démontrer ce qu’un attaquant pourrait obtenir sur un périmètre défini.
- DéfenseSegmentation réseau : définitionLe découpage d’un réseau en zones distinctes, dont les échanges sont limités par des règles de filtrage explicites.
- TechniqueScan de vulnérabilités : définitionUne analyse automatisée qui compare un système (serveur, application, réseau) à une base de défauts connus : versions vulnérables, configurations par défaut, en-têtes manquants.
- ConformitéISO 27001 : définitionLa norme internationale qui définit les exigences d’un système de management de la sécurité de l’information (SMSI) : analyse des risques, mesures choisies et documentées, revue de direction et amélioration continue.
Réponse à toute demande sous 24 h ouvrées
Un périmètre à faire tester ?
Le cadrage est gratuit et sans engagement. Trente minutes suffisent à savoir si une mission est pertinente, laquelle, et ce qu’elle coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début