Les achats en ligne font aujourd’hui partie intégrante de notre quotidien. Nous achetons en un clic et nos informations de paiement sont traitées sans effort, le tout avec la confiance que nos données financières sont protégées. Mais vous êtes-vous déjà demandé ce qu’il se passe en coulisses pour garantir cette confiance ?
La réponse se trouve dans un sigle : PCI DSS. Dans cet article, vous découvrirez les exigences de ces normes de sécurité et ce qu’elles impliquent, tant pour les vendeurs en ligne que pour les clients.
Qu’est-ce que la norme PCI DSS ?
Le sigle PCI DSS signifie Payment Card Industry Data Security Standard, soit Norme de sécurité des données de l’industrie des cartes de paiement en français. Il s’agit d’un ensemble d’exigences de sécurité imposées par les grandes marques de cartes de crédit (Visa, Mastercard, American Express…) pour garantir le traitement sécurisé des données des titulaires de cartes par les entreprises commerçantes. On pourrait comparer ces normes à un manuel de règles pour protéger les informations de paiement sensibles des clients.
Le PCI DSS est supervisé par un groupe d’experts indépendant, le PCI Security Standards Council (PCI SSC), fondé en 2006. Ces normes s’appliquent à toute organisation qui accepte, transmet ou stocke des informations de carte bancaire, quels que soient sa taille et son volume de transactions.
Cela inclut des entreprises, comme des magasins et des prestataires de services, mais aussi des organisations à but non lucratif et d’autres entités qui pourraient traiter des paiements par carte. Il faut bien saisir que, même si vous externalisez le traitement de vos paiements reçus, vous restez responsable de la conformité au PCI DSS pour garantir la protection des données des cartes bancaires de vos clients.
Quel est l’objectif du PCI DSS ?
L’objectif principal du PCI DSS est de protéger les informations sensibles des titulaires de cartes, notamment les numéros de carte, dates d’expiration et codes de sécurité. En exigeant de solides mesures de sécurité des paiements, le PCI DSS aide les entreprises à réduire les violations de données, le vol d’identité et la fraude par carte bancaire. Il établit également des attentes claires sur la manière dont les organisations doivent gérer les informations sensibles, ce qui favorise un environnement plus sécurisé pour toutes les parties impliquées.
Les 6 principes du PCI DSS
Le PCI DSS couvre 12 exigences clés, organisées en six groupes, appelés objectifs de contrôle.
- Construire et maintenir un réseau et des systèmes sécurisés
- Protéger les données des titulaires de cartes
- Maintenir un programme de gestion des vulnérabilités
- Mettre en œuvre des mesures de contrôle d’accès strictes
- Surveiller et tester régulièrement les réseaux
- Maintenir une politique de sécurité de l’information
Les 12 exigences du PCI DSS
La dernière version de la norme est le PCI DSS 4.0 (publiée en mars 2022), qui comprend les 12 exigences de conformité suivantes.
- Installer et gérer une configuration de pare-feu pour protéger les données des titulaires de cartes.
- Ne pas utiliser les paramètres par défaut définis par le fournisseur pour les mots de passe système et autres paramètres de sécurité.
- Protéger les données stockées des titulaires.
- Chiffrer la transmission des données des titulaires de cartes sur les réseaux publics ouverts.
- Protéger tous les systèmes contre les logiciels malveillants et mettre à jour les logiciels ou programmes antivirus régulièrement.
- Développer et gérer des applications et des systèmes sécurisés.
- Restreindre l’accès aux données des titulaires de cartes aux seuls acteurs qui doivent les connaître.
- Identifier et authentifier l’accès aux composants du système.
- Restreindre l’accès physique aux données des titulaires.
- Suivre et surveiller tous les accès aux ressources réseau et aux données des titulaires.
- Tester régulièrement les processus et les systèmes de sécurité.
- Maintenir une politique qui aborde la sécurité de l’information pour tout le personnel.
Les niveaux de conformité PCI DSS
En tant que commerçant, vous devez vous conformer au PCI DSS. Cela prendra une forme différente selon le volume de vos transactions et de vos méthodes de traitement. Il existe quatre niveaux principaux de conformité PCI DSS pour les entreprises et organisations.
Niveau 1
Les entreprises de niveau 1 traitent plus de six millions de transactions par an et font face aux exigences les plus strictes. Les méga-commerçants à ce niveau doivent respecter les exigences suivantes.
- Compléter un rapport annuel de conformité avec l’aide d’un évaluateur de sécurité tiers qualifié
- Effectuer des analyses de vulnérabilité réseau trimestrielles et des tests de pénétration annuels
- Compléter une attestation de conformité qui doit également être signée par l’évaluateur
Niveau 2
Les commerçants qui traitent un à six millions de transactions par an relèvent du niveau 2. À ce niveau, vous devez respecter les exigences suivantes.
- Compléter un questionnaire d’auto-évaluation annuel
- Effectuer des analyses de vulnérabilité réseau trimestrielles
- Compléter une attestation de conformité
Il se peut que vous soyez tenu de faire attester votre questionnaire d’auto-évaluation par un évaluateur tiers au niveau PCI 2. Il pourrait aussi vous être demandé de soumettre une analyse de vulnérabilité réseau trimestrielle.
Niveau 3
Ce niveau s’applique à toutes les entreprises et organisations qui traitent entre 20 000 et un million de transactions par an, ainsi qu’à tous les commerçants en ligne. En tant que commerçant de niveau 3, vous devez respecter les exigences suivantes.
- Compléter un questionnaire d’auto-évaluation annuel
- Effectuer des analyses réseau trimestrielles
- Compléter une attestation de conformité
Il pourrait aussi vous être demandé de soumettre une analyse de vulnérabilité réseau trimestrielle.
Niveau 4
Le niveau 4 s’applique aux petites entreprises traitant moins de 20 000 transactions par an. Les exigences pour ce niveau sont les suivantes.
- Compléter un questionnaire d’auto-évaluation annuel
- Effectuer des analyses réseau trimestrielles (sans obligation de rapport)
- Compléter une attestation de conformité
Il pourrait aussi vous être demandé de soumettre une analyse de vulnérabilité réseau trimestrielle.
Avantages et inconvénients de la conformité PCI DSS
S’il est vrai que la mise en place et la gestion du PCI DSS impliquent des coûts, ceux-ci sont bien moindres que ceux engendrés par la réponse à une éventuelle violation de données. De plus, la conformité au PCI DSS renforce la confiance auprès de vos clients, ce qui en fait un investissement d’autant plus rentable.
Avantages du PCI DSS
- Moins de problèmes de sécurité : Une sécurité des données renforcée complique tout vol d’informations clients par des hackers, ce qui se traduit par moins de stress et moins de perturbations pour votre entreprise.
- Relations client renforcées : Se conformer au PCI DSS prouve à vos clients que vous êtes engagé à protéger leurs informations financières, ce qui renforce la confiance et la fidélité.
- Coûts réduits à long terme : Évitez les lourdes amendes, les poursuites coûteuses et les dommages à votre réputation associés aux violations de données en protégeant les données sensibles de manière proactive.
Inconvénients du PCI DSS
- Coûts de mise en place : La conformité au PCI DSS implique des coûts initiaux pour les outils de sécurité et la formation des employés.
- Gestion continue : Maintenir la conformité PCI nécessite de vérifier régulièrement vos systèmes, de mettre à jour les protections de sécurité et de veiller à ce que les employés soient au courant des dernières recommandations.
- Paysage en évolution : Les menaces changeantes et les avancées technologiques signifient que le secteur est en constante évolution, et les entreprises doivent s’adapter pour rester dans la course.
- Complexité : Les spécificités du PCI DSS peuvent devenir ardues. Selon la taille et le type de votre entreprise, vous pourriez avoir besoin de l’aide d’un professionnel pour garantir une mise en œuvre correcte.
Les bonnes pratiques de conformité PCI DSS
Voici quelques bonnes pratiques pour vous aider à rester en conformité et à gérer les informations de paiement des clients de manière sécurisée.
- Restreignez l’accès : Seuls les employés qui ont besoin des données client dans l’exercice de leurs fonctions devraient avoir accès aux données des titulaires.
- Construisez des défenses solides : Investissez dans des outils de sécurité tels que des pare-feux et des logiciels antivirus pour protéger vos systèmes, et mettez-les à jour régulièrement.
- Séparez : Une infrastructure réseau sécurisée implique de segmenter les réseaux pour séparer les données des titulaires des autres parties.
- Conservez le chiffrement : Lors de la conservation ou de la transmission des données client, utilisez le chiffrement pour brouiller les informations, les rendant illisibles pour les utilisateurs sans autorisation.
- Contrôlez régulièrement : Gardez vos systèmes et logiciels à jour avec des correctifs de sécurité.
- Formez vos équipes : Éduquez et formez vos employés sur les bonnes pratiques en matière de sécurité des données pour éviter les violations accidentelles.
- Imposez des mots de passe forts : Appliquez des exigences de complexité des mots de passe et des changements réguliers de mots de passe, et mettez en place une authentification à deux facteurs.
- Conservez des journaux d’audit : Maintenez des journaux d’audit détaillés pour surveiller l’activité du système.
- Préparez un plan : Développez un plan pour répondre rapidement et efficacement aux incidents de sécurité.
- Officialisez : Établissez une politique de sécurité de l’information à l’échelle de l’entreprise qui couvre la manière dont vous gérez et protégez les données des titulaires.
Rappelez-vous, la conformité au PCI DSS est un processus continu. En suivant ces bonnes pratiques, vous pouvez réduire considérablement le risque de violations de données et protéger votre entreprise ainsi que vos clients.
Restez en conformité avec Shopify Payments
Bonne nouvelle pour les vendeurs Shopify : nous avons fait le travail pour vous. Shopify est conforme au PCI DSS, et cette conformité s’applique par défaut à toutes les boutiques gérées avec Shopify.
Nous stockons en toute sécurité les informations de facturation et d’expédition de vos clients sur des serveurs conformes au PCI. Nous validons la conformité par le biais d’évaluations annuelles et gérons proactivement les risques en cours. Notre conformité couvre toutes les catégories de normes PCI et s’applique à chaque magasin hébergé par notre plateforme.
En résumé, lorsque vous choisissez Shopify pour gérer votre boutique, vous pouvez dormir sur vos deux oreilles, car nous avons investi beaucoup de temps et d’argent afin de maintenir notre certification PCI de niveau 1 et protéger chaque transaction. Votre boutique, le panier d’achats et l’hébergement web sont tous couverts.
FAQ sur la norme PCI DSS
Que signifie PCI DSS ?
La Norme de sécurité des données de l’industrie des cartes de paiement, ou PCI DSS (de l’anglais Payment Card Industry Data Security Standard), est la norme de sécurité de l’information utilisée pour traiter les transactions effectuées avec des cartes bancaires Visa, Mastercard, American Express… Cette norme aide à prévenir les violations de données, la fraude et le vol d’identité en établissant de bonnes pratiques de sécurité des paiements. Bien qu’il ne s’agisse pas d’une obligation légale, les organisations qui traitent des paiements par carte sont contractuellement tenues de respecter ces exigences.
Quels sont les 4 domaines couverts par le PCI DSS ?
Le PCI DSS couvre quatre domaines principaux :
- Le traitement des transactions et des paiements numériques par carte
- Le stockage des données de carte de paiement
- La transmission des informations des titulaires
- La sécurisation de l’environnement de traitement, y compris les dispositifs de point de vente (PDV), les fournisseurs et les acquéreurs.
Qui est tenu de respecter la norme PCI DSS ?
Le PCI DSS s’applique à toutes les organisations qui traitent, transmettent ou stockent des informations de carte de paiement, quels que soient leur taille et leur nombre de transactions. Il contient également des exigences pour l’environnement de traitement des cartes lui-même, y compris les dispositifs de point de vente (PDV), les serveurs, les réseaux, les prestataires de services et les processeurs de paiement tiers.
