Acteurs du paiement et PCI DSS 4.0.1 : prêts pour l'évaluation

Le PCI Security Standards Council élabore et maintient la norme. PCI DSS fixe un socle d'exigences techniques et opérationnelles pour protéger les données de compte de paiement. Pour une entreprise qui stocke, traite ou transmet des données de carte pour ses clients, c'est la langue commune avec acquéreurs et réseaux de cartes.

La révision 4.0.1 a clarifié des formulations et des notes d'applicabilité, y compris pour les émetteurs, sans changer la date d'effet des nouvelles exigences. En pratique, des politiques écrites pour la 3.2.1 sont à réécrire entièrement ; celles écrites pour la 4.0 sont à vérifier au regard des formulations clarifiées.

Jusqu'au 31 mars 2025, ces exigences valaient bonnes pratiques. Elles sont désormais obligatoires, et les entreprises dont la dernière évaluation date de la 3.2.1, ou de la 4.0 sans elles, voient apparaître de nouveaux points au rapport.

Les scripts de la page de paiement

Les exigences 6.4.3 et 11.6.1 visent le e-commerce : les scripts de la page de paiement doivent être autorisés, contrôlés en intégrité et surveillés contre toute altération. Si votre passerelle fournit le formulaire de paiement aux marchands, la question vous concerne, eux comme vous.

La confirmation annuelle du périmètre

L'exigence 12.5.2 introduit une confirmation annuelle du périmètre : l'entreprise documente où se trouvent les données de carte et quels systèmes y sont connectés, avant l'arrivée de l'évaluateur.

Le PCI SSC indique que les entités qui acceptent la conformité, en général réseaux de cartes et acquéreurs, déterminent comment marchands et prestataires valident et quelles exigences sont évaluées. La première étape consiste donc à obtenir par écrit la réponse de votre acquéreur ou partenaire sur le format.

Ce qu'il faut savoir d'une évaluation QSA

L'évaluateur ne marque une exigence « non applicable » qu'après l'avoir confirmé par des tests, et il documente cette confirmation. Une justification de périmètre faible allonge l'évaluation : l'évaluateur élargit l'échantillon, et des systèmes non préparés entrent dans le périmètre.

Nous cartographions les flux : où entrent les données, où elles sont stockées, qui y accède et par quel chemin. Puis, avec votre équipe, nous examinons ce qui peut sortir du périmètre : segmentation réseau, tokenisation, stockage confié à un processeur, suppression des copies égarées dans les journaux et exports.

Fournisseurs et clouds

Tout prestataire qui touche aux données de carte ou peut affecter leur protection entre dans votre analyse de risque. Nous réunissons la liste, le partage des responsabilités et leurs attestations de conformité.

Le déroulé de la préparation

1. Une consultation payante de 30 minutes et une lettre de cadrage : systèmes, dates, prix forfaitaire.
2. Analyse d'écarts face à la 4.0.1, avec rapport en langage clair et annexe technique.
3. Correction par nous ou avec votre équipe ; une personne vérifie chaque constat.
4. Documents et preuves rattachés aux numéros d'exigence.
5. Revérification avant l'évaluation QSA ou le SAQ.

Un test d'intrusion, si l'évaluation l'exige, s'organise sur demande avec un prestataire distinct. L'agrément de paiement et le programme LCB-FT relèvent de nos équipes agréments et conformité.