Ce qui a changé avec la version 4.0.1
La norme Payment Card Industry Data Security Standard est tenue à jour par le PCI Security Standards Council. La version 4.0.1, publiée en 2024, a remplacé la 4.0 à la fin de cette même année, et les exigences dont l’application avait été différée sont devenues obligatoires le 31 mars 2025. Elles comprennent une authentification multifacteur renforcée, des analyses de risques ciblées et une protection contre les scripts qui siphonnent les pages de paiement. La norme compte toujours douze exigences, de la sécurité réseau et de la configuration sécurisée au chiffrement, à la gestion des vulnérabilités, au contrôle d’accès, à la journalisation et aux tests, jusqu’aux politiques de sécurité.
D’abord le périmètre
Un commerçant ou une société de paiement doit tenir une liste de ses prestataires de services tiers, savoir de quelles exigences PCI DSS chacun est responsable, et surveiller leur conformité chaque année. La première question est donc de savoir si vous stockez, traitez ou transmettez des données de titulaires de carte, ou si vous pourriez affecter la sécurité de l’environnement où elles se trouvent. Les réponses en découlent :
- Vous traitez des données de carte. Attendez-vous à fournir une AOC émise par un évaluateur qualifié ou une auto-évaluation, une matrice des responsabilités indiquant les exigences que vous couvrez et celles qui restent à la charge du client, et des réponses à des questions détaillées pour chaque exigence.
- Vous pourriez affecter l’environnement des données de carte (par exemple, vous hébergez la page de paiement du client ou disposez d’un accès réseau à celle-ci). Vous êtes concerné par les exigences liées à cette connexion, et le client vous interrogera à leur sujet.
- Vous êtes hors périmètre. Dites-le en expliquant pourquoi, et répondez aux questions de sécurité générales comme pour n’importe quel autre questionnaire.
À quoi ressemblent les questions
Au-delà du périmètre : si vous disposez d’une AOC à jour et qui l’a émise, la matrice des responsabilités, la manière dont vous segmentez les systèmes qui traitent des données de carte, l’authentification multifacteur pour tout accès à l’environnement des données de carte, l’analyse des vulnérabilités par un prestataire d’analyse agréé, les tests d’intrusion, la conservation des journaux, et la manière dont vous informeriez le client d’un incident touchant des données de carte.
Répondre en tant que fournisseur
Rédigez la déclaration de périmètre une fois, avec un flux de données simple, et validez-la avec la personne qui signe vos contrats. Si vous êtes dans le périmètre, la matrice des responsabilités est le document que les relecteurs veulent le plus ; publiez-la chaque année avec l’AOC. Sinon, un paragraphe clair qui explique pourquoi vous épargne une douzaine de questions de suivi.
Dans Responsemate
La déclaration de périmètre, l’AOC et la matrice des responsabilités se trouvent dans la base de connaissances comme preuves avec leurs dates d’expiration, et chaque ligne PCI est rédigée à partir d’elles dans les termes du client. Quelles preuves joindre.
Questions fréquentes
Devons-nous être conformes à PCI DSS si nous ne touchons jamais aux données de carte ?
En général non, mais vous devez le démontrer. Décrivez comment les données de carte circulent autour de votre service, confirmez par écrit que vous ne les stockez, ne les traitez ni ne les transmettez, et indiquez si votre service pourrait malgré tout affecter la sécurité de l’environnement des données de carte du client.
Qu’est-ce qu’une AOC ?
L’Attestation of Compliance (attestation de conformité), le court document qui indique le résultat de l’évaluation PCI DSS d’une entreprise. Un prestataire de services concerné doit remettre chaque année à ses clients une AOC à jour.