Qu'est ce que la norme PCI DSS?

Cet article explique ce qu’est la norme PCI DSS, à qui il s’applique et comment fonctionne la conformité.

Aperçu

La norme de sécurité des données de l'industrie des cartes de paiement (PCI DSS) est une norme de sécurité internationale conçue pour protéger les données des cartes de paiement.

Elle s’applique à toute organisation qui stocke, traite ou transmet des données de cartes pour les principaux réseaux comme Visa, Mastercard, American Express, Discover et JCB.

L’objectif de la norme PCI DSS est de réduire la fraude et de garantir que les données sensibles sont traitées de manière sécurisée.

Points clés

• La norme PCI DSS protège les données des cartes de paiement
• Elle s’applique aux organisations qui traitent des paiements par carte
• Elle est définie par le PCI Security Standards Council
• La conformité est imposée par les réseaux de cartes et les banques acquéreuses
• Les cartes privatives ne sont pas incluses

Champ d’application de la norme PCI DSS

La norme PCI DSS s’applique aux organisations qui :

• Stockent des données de cartes
• Traitent des paiements par carte
• Transmettent des informations de paiement

Elle ne s’applique pas aux cartes privatives qui ne font pas partie des grands réseaux de cartes.

Qui définit et applique la norme PCI DSS

• Le PCI Security Standards Council définit et maintient la norme
• Les réseaux de cartes et les banques acquéreuses en assurent l’application

Fonctionnement de la conformité

Les organisations doivent valider régulièrement leur conformité PCI DSS.

La méthode de validation dépend du volume de transactions et du niveau de risque.

Grandes organisations

• Audit annuel par un Qualified Security Assessor (QSA)
• Résultat : Report on Compliance (ROC)

Petites organisations

• Remplissage d’un Self-Assessment Questionnaire (SAQ)
• Des scans de sécurité supplémentaires peuvent être requis

PCI DSS v4.0

La version actuelle de la norme est PCI DSS v4.0.

Elle introduit :

• Une approche plus flexible et basée sur les risques
• Des exigences d’authentification renforcées (y compris l’authentification multifacteur)
• Un suivi continu des contrôles de sécurité
• Une meilleure adaptation aux différents environnements techniques