PCI-DSS
Norme de sécurité des cartes de paiement imposée à toute entreprise qui stocke, traite ou transmet des données de carte.
Définition complète
Le PCI DSS (Payment Card Industry Data Security Standard) est la norme de sécurité des données de cartes de paiement publiée par le PCI Security Standards Council, organisme fondé par les grands réseaux de cartes. Il s'applique aux entités qui stockent, traitent ou transmettent des données de titulaires de cartes (numéro de carte, nom, date d'expiration) ou des données d'authentification sensibles (cryptogramme, piste magnétique, code PIN).
La norme n'est pas une loi : son respect est imposé contractuellement par les réseaux de cartes et les banques acquéreuses, qui fixent le niveau de validation attendu selon le volume de transactions (questionnaire d'auto-évaluation ou audit par un évaluateur qualifié). Elle regroupe douze exigences principales : sécurité réseau, protection des données stockées, chiffrement des transmissions, gestion des vulnérabilités, contrôle des accès, journalisation, tests réguliers et politique de sécurité.
La version en vigueur est la 4.0.1, publiée en juin 2024. Les exigences qui étaient présentées comme « futures » dans la version 4.0 sont obligatoires depuis le 31 mars 2025.
Exemple concret
Un site de vente de vins en ligne de 10 salariés recevait les commandes par téléphone et notait les numéros de carte dans un fichier pour les saisir ensuite. Lors du renouvellement de son contrat, sa banque lui demande de remplir le questionnaire d'auto-évaluation PCI DSS. L'entreprise supprime le fichier, passe à un lien de paiement hébergé par un prestataire certifié et réduit ainsi fortement le périmètre de ses obligations.
Comment se protéger
- Ne jamais stocker le cryptogramme, même chiffré, ni noter de numéros de carte dans des fichiers ou emails
- Confier la saisie des cartes à une page de paiement hébergée par un prestataire conforme PCI DSS
- Demander à votre banque quel questionnaire d'auto-évaluation correspond à votre mode d'encaissement
- Tenir à jour les terminaux de paiement et le site marchand, et contrôler les scripts de la page de paiement
- Limiter et tracer les accès des salariés aux systèmes de paiement
- Faire réaliser les scans de vulnérabilités externes exigés par votre niveau de validation
Questions fréquentes
Cela réduit fortement le périmètre, car les données de carte ne passent plus par vos systèmes. Il reste en général un questionnaire d'auto-évaluation simplifié à remplir et des règles à respecter, notamment sur la sécurité de votre site.
Les conséquences sont contractuelles : pénalités ou frais imposés par la banque, voire perte de la possibilité d'accepter les cartes. En cas de fuite de données, les coûts d'enquête et d'indemnisation peuvent s'y ajouter, ainsi que des obligations au titre du RGPD.
Termes liés
Chiffrement
Transformation des données pour les rendre illisibles sans clé.
ISO 27001
Norme internationale de gestion de la sécurité de l'information.
RGPD
Règlement européen sur la protection des données personnelles.
Scanner de vulnérabilités
Outil qui analyse automatiquement serveurs, postes et sites web pour repérer les failles connues et les mauvaises configurations.
Vous avez besoin d'un expert en PCI-DSS ?
Créez votre compte pour recevoir des réponses de prestataires qualifiés.