Les 12 exigences
- 1. Installer et maintenir des contrôles de sécurité réseau.
- 2. Appliquer des configurations sécurisées à tous les composants du système.
- 3. Protéger les données de compte stockées.
- 4. Protéger les données de titulaires par une cryptographie forte lors de leur transmission sur des réseaux ouverts et publics.
- 5. Protéger tous les systèmes et réseaux contre les logiciels malveillants.
- 6. Développer et maintenir des systèmes et logiciels sécurisés.
- 7. Restreindre l'accès selon le besoin d'en connaître.
- 8. Identifier les utilisateurs et authentifier les accès.
- 9. Restreindre l'accès physique aux données de titulaires.
- 10. Journaliser et surveiller tous les accès.
- 11. Tester régulièrement la sécurité des systèmes et des réseaux.
- 12. Soutenir la sécurité de l'information par des politiques et des programmes.
Comment la conformité est validée
Cela dépend de votre volume de transactions et des règles des marques de cartes ou de votre acquéreur : un Report on Compliance établi par un évaluateur qualifié, ou un Self-Assessment Questionnaire pour les plus petits commerçants. Demandez à votre acquéreur lequel s'applique.
Réduire d'abord le périmètre
- Ne stockez pas de données de carte sauf si vous en avez besoin.
- Utilisez une page de paiement hébergée ou un prestataire validé quand c'est possible.
- Segmentez le réseau autour de ce qui reste.
- Rappelez-vous qu'externaliser les paiements ne supprime pas toutes les obligations.
Questions
- PCI DSS est-elle une loi ?
- Non. C'est une norme contractuelle fixée par le PCI Security Standards Council et imposée par les marques de cartes et les acquéreurs. Certaines juridictions y font référence dans la loi.
- Passer par un prestataire de paiement rend-il conforme ?
- Cela peut réduire nettement votre périmètre, mais vous devez encore valider la conformité de ce qui reste et gérer ce prestataire.