PROCÉDURE DE
CONFORMITÉ AUX
NORMES PCI DSS
Comment sécuriser les
données de cartes sensibles
avec les normes de sécurité de
données PCI (PCI DSS)
Il est crucial d’obtenir et de préserver la conformité afin que la
cybersécurité de l’entreprise soit correctement et efficacement
protégée contre les cybercriminels cherchant à voler des informations
de carte.
Les marques de paiement ont convenu d’inclure les normes de
sécurité des données PCI comme composantes des exigences
techniques pour chacun de leurs programmes de conformité à la
sécurité des données. Les cinq marques accepteront aussi la
validation lorsqu’elle sera reconnue par les évaluateurs de sécurité ou
approuvée par les fournisseurs d’analyse, des parties agréées par le
Conseil des normes de sécurité PCI.
Par conséquent, la première étape pour obtenir des informations sur
la manière de devenir conforme et de maintenir sa conformité aux
normes PCI DSS est de contacter le fournisseur de services liés aux
cartes de paiement.
Si vous n’avez pas de fournisseur de services liés aux cartes de
paiement, nous vous suggérons de contacter la filiale de la banque
avec laquelle vous travaillez.
Exigences concernant les
normes de sécurité des
données PCI
ÉVALUATION
Objectif : faire l’inventaire de vos actifs IT et processus commerciaux
pour le traitement des cartes de paiement, et les analyser à la
recherche de vulnérabilités qui pourraient exposer les données des
titulaires de carte.
L’évaluation a pour responsabilité de reconnaître tous les problèmes
possibles qui se traduiraient en un risque pour la sécurité des
données de titulaires de carte qui sont transmises, traitées ou
stockées par votre entreprise. La lecture des informations du site Web
PCI DSS vous permettra de mieux comprendre les exigences détaillées
liées à l’infrastructure et à plusieurs processus impliqués dans
l’ensemble du processus de transaction.
Il est important de noter que les tierces parties impliquées dans votre
processus de conformité sont aussi conformes. Une évaluation
approfondie permettra de comprendre totalement toutes les
vulnérabilités possibles et les endroits où il faudra y remédier.
Le questionnaire d’auto-évaluation (QAE)
Le QAE est un outil de validation pour les marchands éligibles et les
prestataires de service qui auto-évaluent leur conformité aux normes
PCI DSS.
Évaluateurs agréés
Le Conseil fournit des programmes pour deux types d’experts
indépendants afin de les aider dans leur évaluation PCI : Évaluateur
de sécurité agréé (Qualified Security Assessor, QSA) et Fournisseur
d’analyse approuvé (Approved Scanning Vendor, ASV). Les QSA
disposent de personnel formé et de processus pour évaluer et
prouver la conformité aux normes PCI DSS. Les ASV fournissent des
logiciels commerciaux et des services d’analyse pour réaliser des
évaluations de vulnérabilité externes pour votre système. Les normes
PCI SSC fournissent aussi des ressources éducatives aux marchands et
aux prestataires de service, y compris de la formation pour les
Évaluateurs de sécurité internes (Internal Security Assessor, ISA).
RÉSOLUTION
Objectif : processus de réparation des vulnérabilités.
Évaluation de votre réseau à l’aide de logiciels qui analysent
l’infrastructure et repèrent les vulnérabilités connues
Examen et résolution des vulnérabilités trouvées lors de
l’évaluation sur site (le cas échéant) ou par le biais du processus
d’auto-évaluation
Classification et hiérarchisation des vulnérabilités pour aider à
établir un ordre de priorité pour la résolution
Mise en œuvre de correctifs, réparations, contournements et
modifications au niveau des processus et flux de travail non
sécurisés
Nouvelle analyse pour vérifier que la résolution a vraiment eu lieu
RAPPORT
Objectif : compiler les dossiers requis par les normes PCI DSS pour
valider la résolution et envoyer les rapports de conformité à la banque
et aux marques de carte de paiement avec lesquelles vous travaillez.
Des rapports réguliers sont requis pour la conformité aux normes PCI et les exigences de rapport, contactez votre fournisseur de services
DSS ; ceux-ci sont soumis à la banque et aux marques de carte de liés aux cartes de paiement ou la marque de votre carte de paiement.
paiement avec lesquelles vous travaillez. PCI DSS n’est pas
responsable de la mise en œuvre de la conformité aux normes PCI
DSS. Il sera peut-être demandé à tous les marchands, prestataires de
services et agents traitant les informations de soumettre des rapports
d’analyse trimestriels qui devront être élaborés par un ASV agréé PCI
SSC. Il sera peut-être demandé aux entreprises ayant des volumes de
transaction plus petits de soumettre une attestation annuelle dans le
questionnaire d’auto-évaluation. Pour plus de détails sur la validation
Source : Démarrer avec les normes PCI DSS Résolution
Si vous avez des questions, veuillez vous référer à notre FAQ