PCI DSS - Paysquare

Document
PCI DSS
Comment traiter de manière sûre et
responsable les données relatives aux
cartes de paiement de vos clients ?
Table des
matières
Introduction
Gagner la confiance 3
Définition
La norme de PCI DSS, qu’est-ce que c’est?
4
Objectifs
Quel est l’objectif de la norme PCI DSS ?
6
Exigences de la norme PCI DSS
Comment réaliser les objectifs de la norme PCI DSS ? 7
Quatre catégories
Quel type d’entrepreneur êtes-vous ? 8
Pratique (1)
Comment respecter les exigences de la norme PCI DSS ? 9
Pratique (2)
Comment rester en conformité avec les exigences
de la norme PCI DSS ? 11
Lutter ensemble contre la fraude
Où commence et où se termine votre responsabilité ? 12
Risques
À quelles formes de fraude êtes-vous exposé ? 13
Explications
Malentendus au sujet de la norme PCI DSS 15
Terminologie
Glossaire portant sur la norme PCI DSS 17
Pour plus d’informations 19
Introduction
Gagner la confiance
Vous donnez volontiers à vos clients la possibilité de payer avec une carte de crédit ou de débit. Grâce
à la facilité et à la sécurité des cartes de paiement, vos clients achètent plus facilement. En d’autres
termes, l’acceptation des cartes de crédit et des cartes de débit vous permet d’augmenter votre chiffre
d’affaires. Cela présente cependant des responsabilités pour vous en tant qu’entrepreneur.
Le détenteur de la carte part du principe que les données relatives à sa carte sont dans de bonnes
mains. En tant que destinataire du paiement, vous êtes également responsable de la protection des
données. Pour vous faciliter les choses, les grandes sociétés de cartes de paiement, dont Visa et
MasterCard, ont développé une norme de sécurité : la norme PCI DSS (Payment Card Industry Data
Security Standard, norme de sécurité des données de l’industrie des cartes de paiement).
En tant qu’entrepreneur, vous ne pouvez accepter les paiements par carte que si vous répondez aux
exigences de la norme PCI DSS. Vos fournisseurs, tels que les prestataires de services de paiement et
fournisseurs de terminaux de paiement, doivent également respecter les directives de la norme PCI
DSS. Nous contribuons ainsi ensemble dans une grande mesure à la sécurisation de vos paiements.
La norme PCI DSS inclut bien évidemment un certain nombre d’obligations pour vous mais présente
un avantage bien plus précieux au final : un client qui achète chez vous en toute confiance. Vous
protégez également votre société contre les coûts et amendes que le vol et l’utilisation abusive des
données relatives aux cartes peuvent engendrer.
Ce document vous fournit de plus amples informations concernant la norme PCI DSS. Vous y découvrirez
comment développer la confiance de vos clients et obtiendrez une vue d’ensemble de la procédure
à mettre en place pour répondre aux exigences de la norme de sécurité. Vous trouverez également
des informations concernant ce pour quoi vous êtes, ou non, responsable en tant qu’entrepreneur.
3
Définition
La norme de PCI DSS,
qu’est-ce que c’est?
Afin de créer un cadre clair pour la protection des données relatives aux cartes de paiement, les
grandes sociétés de cartes de paiement ont défini un certain nombre de directives pour toutes les
parties impliquées dans les paiements par carte. Ces directives constituent la norme PCI DSS (Payment
Card Industry Data Security Standard, norme de sécurité des données de l’industrie des cartes de
paiement).
Primary Account Numbers
La norme PCI DSS s’applique uniquement en cas d’enregistrement, de traitement, d’envoi ou de
réception de Primary Account Numbers (PAN), également appelés numéros de carte complets.
Pour les autres données relatives aux cartes (telles que le nom du détenteur de la carte et la date
d’expiration), vous ne devez prendre des mesures de protection que si vous utilisez ou enregistrez
les numéros de carte correspondants.Vous ne devez en aucun cas enregistrer les données
d’authentification telles que le code CVC (Card Validation Code) et la valeur CVV (Card Verification
Value) (qui apparaissent au verso des cartes de crédit) ou le code PIN.
La règle qui s’applique généralement est la suivante : vous devez enregistrer aussi peu de données
relatives aux cartes que possible. L’illustration ci-dessous indique clairement les données relatives
aux cartes que vous pouvez ou ne pouvez pas enregistrer. Une carte MasterCard est utilisée à titre
d’exemple, les directives s’appliquent cependant à toutes les cartes de paiement.
1
2
3
4
6
5
Les données relatives aux cartes qui doivent être protégées sont les suivantes :
Données d’authentification sensibles : les données suivantes ne doivent en aucun cas être enregistrées :
Données de suivi de la carte (= informations complètes relatives aux cartes telles qu’elles sont
enregistrées sur la bande magnétique 1 et/ou la puce 2 , par exemple)
Card Verification Code (code à trois chiffres (CVC2, CVV2) figurant au verso dans la zone réservée à
la signature 3
Code PIN
4
Les données relatives aux détenteurs de cartes qui peuvent être enregistrées (conformément aux
directives de la norme PCI DSS), si cela est nécessaire pour la gestion de l’entreprise, sont les suivantes :
PAN (Primary Account Number = numéro de carte complet 4 )
Nom du détenteur de la carte 5
Date d’expiration 6
Les données suivantes peuvent être enregistrées sous un format chiffré, à condition de ne pas être
associées aux autres données relatives aux détenteurs de cartes :
Montant de la transaction, date de la transaction, code d’autorisation de la transaction
Norme de base
La norme PCI DSS est devenue la norme de base en matière de protection des données relatives aux
détenteurs de cartes. Elle a pour objectif d’aider les entrepreneurs à mettre en place et exécuter une
politique de protection efficace. Pour pouvoir accepter les cartes de paiement, vous devez donc
répondre aux exigences de la norme PCI DSS. Le respect de la norme PCI DSS vous permet de protéger
vos clients et de renforcer les bases de votre entreprise.
Responsabilité
Si vous ne respectez pas les exigences en matière de protection des données relatives aux cartes de
vos clients, vous laissez la porte ouverte aux personnes malveillantes. Vous vous exposez alors à des
dommages importants. Vous êtes responsable en cas de pertes résultant directement de l’utilisation
de fausses cartes de paiement et/ou de données de cartes volées. Mais également des frais juridiques, des frais de remplacement des cartes de paiement, des frais d’enquête, des frais liés à l’atteinte
à la réputation, etc. Il est également possible que l’organisation de cartes vous facture une amende
et ne vous autorise plus à accepter les cartes de paiement. Autant de raisons, là encore, de respecter
les directives de la norme PCI DSS.
5
Objectifs
Quel est l’objectif de
la norme PCI DSS ?
Avec la norme PCI DSS, les sociétés de cartes de paiement ne vous imposent pas des directives au
hasard. Bien au contraire. La norme de sécurité est basée sur un certain nombre d’objectifs clairs pour
votre entreprise. Ces objectifs permettent à vos clients de payer de manière rapide, facile et sûre avec
une carte de paiement internationale dans votre magasin ou sur votre site Web.
Objectifs de la norme PCI DSS :
1.
Mettre en place un réseau de paiement qui est sûr et qui reste sûr.
2. Protéger les données du détenteur de la carte (votre client).
3.
Mettre en place et gérer un programme vous permettant de maîtriser les failles au niveau du
système de paiement.
4. Limiter autant que possible l’accès aux données relatives aux cartes de vos clients.
5. Mettre en place et gérer une infrastructure informatique fiable.
6. Exécuter une politique de protection des informations pratique et efficace.
6
Exigences
de la norme
PCI DSS
Comment réaliser les
objectifs de la norme
PCI DSS ?
Pour chaque exigence de la norme PCI DSS, il existe des mesures pratiques permettant d’atteindre
les objectifs. Selon le mode d’acceptation des paiements, il y a plus ou moins de mesures applicables.
Le cas échéant, vous pouvez vous adresser à vos fournisseurs (prestataires de services de paiement,
fournisseurs de terminaux de paiement, fournisseurs de logiciels, etc.) pour l’exécution des différentes
mesures.
Exigences de la norme PCI DSS :
Sécurité du réseau de paiement
Mesure 1 : vous devez installer un pare-feu et le mettre à jour.
Mesure 2 : vous ne devez pas utiliser les mots de passe standard du fournisseur du système.
Protection des données relatives aux cartes
Mesure 1 : vous ne devez enregistrer les données relatives aux cartes de paiement que si cela est
vraiment nécessaire. Si l’enregistrement est indispensable à la gestion de votre entreprise, veillez à bien protéger les données.
Mesure 2 : si vous envoyez les données relatives aux cartes de vos clients via des réseaux publics,
vous devez veiller à ce qu’elles soient bien chiffrées.
Gestion des failles de sécurité
Mesure 1 : vous devez utiliser un logiciel antivirus et le mettre régulièrement à jour.
Mesure 2 : vous devez protéger vos systèmes et applications et mettre régulièrement à jour la
protection.
Limitation de l’accès
Mesure 1 : vous devez attribuer aux collaborateurs un accès aux données relatives aux cartes en
fonction de ce qu’ils ont besoin de savoir.
Mesure 2 : vous devez attribuer à chaque collaborateur ayant accès aux données un nom
d’utilisateur et un mot de passe uniques.
Mesure 3 : vous devez limiter l’accès physique aux données relatives aux cartes.
Surveillance de l’infrastructure informatique
Mesure 1 : vous devez surveiller l’accès à l’ensemble des données relatives aux détenteurs de cartes
et composants informatiques pertinents et contrôler régulièrement la surveillance.
Mesure 2 : vous devez tester régulièrement tous les processus et composants de sécurité.
Politique de protection des informations
Mesure 1 : vous devez établir une politique basée sur la protection des informations et vérifier
régulièrement que la pratique correspond bien à la politique définie.
7
Quatre
catégories
Quel type d’entrepreneur
êtes-vous ?
Il existe de nombreux types d’entrepreneurs. Les sociétés de cartes de paiement ont pris cet élément
en compte lors de la définition des exigences de la norme PCI DSS. Quatre catégories d’entreprises
ont été définies dans le cadre de la norme PCI DSS. Vous pouvez déterminer la catégorie à laquelle
appartient votre entreprise en fonction du nombre de paiements par carte que vous recevez et de
la manière dont vous acceptez les paiements. Si vous répondez aux exigences en vigueur pour votre
catégorie, votre entreprise est conforme à la norme PCI DSS.
Catégorie Caractéristiques
Procédure PCI DSS obligatoire
Niveau 1
Toutes les sociétés acceptant des cartes
de paiement qui comptabilisent plus de 6
millions de transactions Visa
ou
toutes les sociétés acceptant des cartes
de paiement qui comptabilisent plus de
6 millions de transactions MasterCard et
Maestro (au total)
ou
toutes les sociétés acceptant des cartes
de paiement qui ont été exposées à une
corruption des données
Évaluation PCI DSS annuelle assurée sur
site par le personnel interne accrédité du
Conseil des normes de sécurité de la PCI
ou par un évaluateur de sécurité qualifié
(externe) agréé par le Conseil des normes
de sécurité de la PCI.
Magasins physiques
et achats à distance
(commerce
électronique,
MO/TO)
Niveau 2
Magasins physiques
et achats à distance
(commerce
électronique,
MO/TO)
Niveau 3
(commerce électronique
uniquement)
Niveau 4
Analyse trimestrielle du réseau par un
fournisseur d’analyse approuvé.
Toutes les sociétés acceptant des cartes
de paiement qui comptabilisent entre
1 et 6 millions de transactions Visa
ou
toutes les sociétés acceptant des cartes
de paiement qui comptabilisent entre
1 et 6 millions de transactions MasterCard
et Maestro (au total)
Auto-évaluation annuelle assurée par le
personnel interne accrédité du Conseil
des normes de sécurité de la PCI ou par
un évaluateur de sécurité qualifié (externe)
agréé par le Conseil des normes de
sécurité de la PCI et analyse trimestrielle
du réseau par un fournisseur d’analyse
approuvé
Toutes les sociétés acceptant des cartes
de paiement qui comptabilisent entre
20 000 et 1 million de transactions de
commerce électronique Visa
ou
toutes les sociétés acceptant des cartes
de paiement qui comptabilisent entre
20 000 et 1 million de transactions de
commerce électronique MasterCard et
Maestro (au total)
Questionnaire d’auto-évaluation annuel
et analyse trimestrielle du réseau par un
fournisseur d’analyse approuvé
Toutes les autres sociétés acceptant des
cartes de paiement
(la politique peut varier en fonction de
l’acquéreur)
Questionnaire d’auto-évaluation annuel
et analyse trimestrielle du réseau par un
fournisseur d’analyse approuvé
8
Pratique (1)
Comment respecter les
exigences de la norme
PCI DSS ?
Lorsque vous démarrez avec la norme PCI DSS, vous devez essentiellement utiliser votre bon sens.
Avant d’approfondir le contenu exact des directives, il est bon d’étudier les objectifs généraux de la
norme de sécurité. Cela vous permettra souvent d’établir de bonnes bases pour la mise en place de
la norme PCI DSS.
Démarrage avec le SAQ
Le questionnaire d’auto-évaluation (Self Assessment Questionnaire ou SAQ) est un très bon point
de départ lorsque vous démarrez avec la norme PCI DSS. Il existe cinq questionnaires différents. Le
questionnaire auquel vous devez répondre dépend du mode d’acceptation des paiements par carte
pour lequel votre entreprise a opté. Parcourez les questions, cela vous donnera une bonne idée des
exigences auxquelles vous devez répondre pour garantir des paiements sûrs. Si vous répondez déjà
aux exigences, vous pouvez remplir le questionnaire d’auto-évaluation et le remettre à votre acquéreur.
Si vous souhaitez mettre en place la norme PCI DSS et êtes client de PaySquare, vous pouvez
demander un mot de passe pour la page PCI DSS de PaySquare au service destiné aux détaillants. Le
questionnaire adapté à votre entreprise est disponible via le site https://pci.paysquare.nl/Default.aspx.
Dans la plupart des cas, votre entreprise ne répond pas immédiatement à toutes les exigences de
la norme PCI DSS. Votre entreprise peut alors commencer en prenant des mesures ou en confiant
la mise en place de la norme PCI DSS à une société externe. Sur le site Web du Conseil des normes de
sécurité de la PCI, vous trouverez ici l’ensemble des entreprises et logiciels de paiement certifiés par le
Conseil pour vous aider dans la mise en place de la norme PCI DSS.
Conseils pratiques pour une mise en place réussie de la norme PCI DSS
Commencez dès aujourd’hui
Si vous commencez tôt, vous réalisez des économies et prenez de l’avance sur vos concurrents.
N’enregistrez pas inutilement des données
La norme PCI DSS est une norme de sécurité pour l’enregistrement, le traitement et l’envoi de
données relatives aux cartes. L’enregistrement des données relatives aux cartes n’est cependant
pas du tout requis dans de nombreux cas. Faites la liste des données que vous souhaitez et/ou
devez enregistrer et/ou des données enregistrées sans que vous le sachiez. La règle est généralement la suivante : If you don’t need it, don’t store it!
Définissez une politique
Une politique claire en matière de données relatives aux cartes de paiement est une base sur
laquelle s’appuyer. Définissez des procédures pour l’enregistrement, le traitement et l’envoi de
données relatives aux cartes.
Comparez les directives
Il est possible que vous deviez déjà respecter certaines directives (légales), telles que celles définies
dans la loi sur la protection des données personnelles, lors de l’enregistrement des données relatives aux cartes de paiement. Vous pouvez déterminer à un stade précoce si les directives sont ou
non conformes aux exigences de la norme PCI DSS.
9
Procédez à une analyse des écarts
Vous avez besoin de connaissances spécialisées en ce qui concerne la norme PCI DSS. Pour chaque
directive, déterminez si vous disposez des connaissances nécessaires en interne. Si ce n’est pas le
cas, faites appel à des experts externes.
Définissez des accords avec vos fournisseurs
Si vous souhaitez répondre aux exigences de la norme PCI DSS, les fournisseurs de matériel et de
logiciels qui traitent ou envoient les données relatives aux cartes de paiement en votre nom doivent
également respecter les règles de la norme PCI DSS. Ne partez pas du principe que vos fournisseurs
répondent (également) aux exigences de la norme PCI DSS, prenez des engagements concrets à
ce sujet. Demandez des preuves et définissez des accords contractuels. Sur le site Web du Conseil
des normes de sécurité de la PCI, vous pouvez également déterminer si votre fournisseur et/ou le
matériel et les logiciels installés par ses soins chez vous sont approuvés par le Conseil des normes
de sécurité.
Contactez vos fournisseurs
Vous ne devez en aucun cas enregistrer les données de suivi (les informations complètes relatives à
la carte stockées dans la bande magnétique ou la puce d’une carte de paiement). Ces informations
permettent de réaliser facilement des copies de carte illégales. De même, vous ne devez jamais
enregistrer les données d’autorisation et d’authentification. Certains appareils enregistrent cependant
ces informations involontairement. Demandez à votre ou vos fournisseurs de matériel et de logiciels
de paiement si cela peut également être le cas pour votre infrastructure ou terminal de paiement.
Repérez les données
Partez à la recherche de toutes les données pertinentes pour la norme PCI DSS. Identifiez tous les
flux de données et canaux de paiement et établissez une vue d’ensemble de tous les lieux où les
données relatives aux cartes peuvent se retrouver/se retrouvent.
Faites du chiffrement une habitude
Lorsque vous envoyez des données relatives aux cartes, vous devez toujours les chiffrer.
Utilisez uniquement des réseaux Wi-Fi sécurisés
Les réseaux sans fil non sécurisés ne peuvent être utilisés pour l’envoi de données relatives aux
cartes.
Formez votre personnel
Il n’est pas nécessaire d’attribuer le rôle d’évaluateur de sécurité qualifié de la PCI à tous les
collaborateurs, il est cependant important que tous les collaborateurs sachent qu’il est nécessaire
de répondre aux exigences de la norme PCI DSS.
Faites attention à vos systèmes pour point de vente
Les systèmes pour point de vente (association de votre caisse à un terminal de paiement et à votre
logiciel administratif, par exemple) constituent souvent une faille en matière de protection des
données relatives aux cartes. Veillez par conséquent à ce que votre système pour point de vente
n’enregistre aucune donnée relative aux cartes complète et surtout aucune information du type
Card Verification Value/Code. Il est interdit d’imprimer le numéro de carte de crédit à 16 chiffres
complet sur un ticket.
Protégez les systèmes de manière physique également
Veillez à ce que seuls vos collaborateurs compétents aient accès à vos systèmes de paiement.
Enregistrez le processus
Enregistrez dans un journal les mesures prises pour répondre aux exigences de la norme PCI DSS.
10
Pratique (2)
Comment rester en
conformité avec les
exigences de la norme
PCI DSS ?
Si vos paiements respectent les directives de la norme PCI DSS, vous et vos clients êtes assurés de
paiements sûrs et responsables. Vous devez cependant veiller à ce que votre mode de traitement
des données relatives aux cartes de paiement reste conforme aux exigences de la norme à l’avenir.
Conseils pratiques pour préserver la conformité à la norme PCI DSS
Répétez encore et encore
Portez régulièrement le thème de la norme PCI DSS à l’attention de vos collaborateurs. Définissez
des directives claires et simples.
Limitez l’accès
Limitez en permanence l’accès aux données relatives aux cartes. L’association nom d’utilisateur/
mot de passe doit uniquement être communiquée aux collaborateurs dont vous savez qu’ils doivent
vraiment travailler avec les données.
Effacez régulièrement
Identifiez régulièrement les données des clients dont vous n’avez pas/plus besoin et effacez-les
directement.
Mettez en place un scénario du pire
Veillez à exclure tous les problèmes possibles avec les données relatives aux cartes de vos clients.
Et soyez néanmoins préparé à ce que des problèmes surviennent. Pensez à ce que vous et vos
collaborateurs devez alors faire. Mettez en place des scénarios d’urgence.
Contrôlez en permanence
Contrôlez régulièrement la sécurité du système et les journaux de surveillance.
11
Lutter
ensemble
contre
la fraude
Où commence et où se
termine votre
responsabilité ?
Les paiements par carte sont faciles, sûrs et efficaces. Pour vos clients, vous utilisez des dispositifs
techniques sûrs et travaillez avec des fournisseurs et des partenaires fiables pour vos paiements.
Avec la norme PCI DSS, les sociétés de cartes de paiement soutiennent vos efforts pour protéger
de manière optimale les données relatives aux cartes de vos clients. Votre responsabilité en ce qui
concerne la protection des données porte sur les aspects suivants du paiement :
les appareils que vous utilisez pour lire les cartes de crédit et autres cartes de paiement de vos
clients,
les terminaux de paiement que vous utilisez dans votre ou vos magasins (systèmes pour point de
vente),
les réseaux et le matériel qui jouent un rôle dans vos paiements (serveurs, routeurs sans fil,
modems, etc.),
le stockage, le traitement et l’envoi des données relatives aux cartes de paiement,
la protection du matériel et des logiciels de toutes les parties associées au paiement,
l’accès physique aux principaux composants informatiques et aux données relatives aux détenteurs
de cartes.
Vos fournisseurs disposent de leurs propres normes de sécurité
En tant qu’entrepreneur, vous n’êtes bien évidemment pas le seul responsable de la sécurité des
paiements. D’autres parties impliquées jouent également un rôle et doivent respecter la norme PCI DSS.
Vous avez ainsi besoin d’un terminal de paiement ou d’une caisse Internet et d’un logiciel de paiement. Il existe des normes de sécurité spécifiques pour les fabricants et les fournisseurs de terminaux
de paiement et pour les fournisseurs de logiciels de paiement. Conformément aux exigences de la
norme PCI DSS, vous devez toujours utiliser une application de paiement/un terminal de paiement et
faire appel à un fournisseur de logiciels qui respectent ces normes. Les fournisseurs d’applications de
paiement certifiées sont répertoriés ici.
Norme PCI DSS – et après ?
Lorsque vous respectez les exigences de la norme PCI DSS, vous contribuez de manière importante
à la protection de données essentielles pour vos clients. La norme de sécurité des sociétés de cartes
de paiement ne rend bien évidemment pas les autres directives (légales) superflues. Vous devez ainsi
également respecter la loi sur la protection des données personnelles en cas d’enregistrement, de
traitement et d’envoi des données relatives aux cartes de vos clients. La loi vous oblige à traiter les
données de vos clients de manière sérieuse et sûre et impose également des limitations concernant
la manière dont vous pouvez utiliser les données de vos clients pour des activités commerciales.
12
Risques
À quelles formes de fraude
êtes-vous exposé ?
Il existe différentes formes de fraude. Chaque mode d’acceptation des cartes de paiement présente
des risques spécifiques. Et dispose de mesures spécifiques pour réduire les risques. Le document de
présentation technique PaySquare consacré à la fraude avec des cartes de crédit et des cartes de paiement internationales vous propose de plus amples informations concernant les modes de détection
et de prévention de la fraude. Vous trouverez ci-dessous des explications concernant quelques cas
spécifiques de fraude possible.
Un terminal de paiement autonome dans le magasin
Il existe, même si votre caisse et le terminal de paiement de votre magasin ne sont pas connectés l’un
à l’autre, un risque de manipulation du terminal de paiement ou de la connexion de données.
Des criminels peuvent ainsi intercepter les données relatives aux cartes et/ou aux transactions de vos
clients.
Que pouvez-vous faire ?
Assurez-vous régulièrement (chaque matin de préférence) de l’absence de signes de manipulation
au niveau de votre terminal de paiement et de la connexion. Si vous suspectez une manipulation
de votre terminal de paiement et/ou de vos connexions et/ou de vos câbles par des personnes non
autorisées, votre fournisseur peut vous aider.
Un terminal de paiement du magasin est connecté à la caisse
Si votre caisse et votre terminal de paiement sont connectés l’un à l’autre, la ligne de communication
et/ou le logiciel de paiement peuvent être piratés et les données relatives aux cartes obtenues à
partir de votre système. Des logiciels malveillants peuvent être installés au niveau du système.
Que pouvez-vous faire ?
Veillez à ce que la protection soit suffisante et utilisez un chiffrement efficace lors du transfert de
données.
Un terminal de paiement intégré dans le magasin
La ligne de communication peut être piratée même si vous utilisez un équipement associant le
terminal de paiement et la caisse. Ces équipements étant essentiellement présents chez les entrepreneurs possédant plusieurs établissements, le piratage des connexions entre les filiales et le siège
est possible.
Que pouvez-vous faire ?
Vous devez établir des accords clairs avec votre fournisseur informatique. Vous devez également
vérifier que les produits du fournisseur répondent aux directives définies par le Conseil des normes de
sécurité de la PCI.
13
Une boutique en ligne utilisant la page de paiement d’un prestataire de services de paiement
De nombreux commerçants en ligne utilisent la page de paiement d’un prestataire de services de
paiement pour les paiements par carte. Les prestataires de services de paiement doivent également
régulièrement vérifier que leurs procédures sont conformes aux exigences de la norme PCI DSS. Vous
devez cependant veiller vous-même à ce que le prestataire de services de paiement avec lequel vous
travaillez respecte bien les directives de la norme PCI DSS. Si la page de paiement de votre prestataire
de services de paiement n’est pas configurée sérieusement et que des données relatives aux cartes
sont enregistrées, cela peut avoir des conséquences pour vos clients.
Que pouvez-vous faire ?
Indiquez, dans le contrat avec votre prestataire de services de paiement, que la page de paiement
doit toujours répondre aux directives de la norme PCI DSS. Veillez également à mettre en place des
mesures de sécurité telles qu’un logiciel antivirus et un pare-feu, faute de quoi votre boutique en
ligne sera exposée au piratage.
Une boutique en ligne avec une page de paiement propre
Les commerçants en ligne avec une page de paiement propre s’exposent à des risques (bien trop)
nombreux.
Que pouvez-vous faire ?
De nombreux acquéreurs n’acceptent pas les commerçants en ligne disposant d’une page de paiement
propre (et ne dépendant donc pas d’un prestataire de services de paiement). Utilisez une page de
paiement d’un prestataire de services de paiement qui répond aux exigences de la norme PCI DSS de
manière à limiter autant que possible les risques de fraude et les risques au niveau de la protection.
Acceptation des cartes de crédit pour les commandes MO/TO
Si vous effectuez des ventes par la poste ou par téléphone (MO/TO), vous pouvez saisir manuellement
les données relatives aux cartes de crédit via un prestataire de services de paiement sélectionné par
PaySquare. L’enregistrement ou la communication de données relatives aux cartes avec les clients par
courrier électronique (ou via un site Web) présente alors des risques.
Que pouvez-vous faire ?
N’enregistrez aucune donnée relative aux cartes de crédit de vos clients. Assurez-vous également de
bien chiffrer les informations envoyées dans le cadre de la communication portant sur la commande.
14
Explications
Malentendus au sujet
de la norme PCI DSS
Il existe encore de nombreux malentendus au sujet de la protection des données relatives aux cartes.
Et au sujet de la norme PCI DSS. En voici quelques-uns.
Malentendu 1
La norme PCI DSS est une recommandation et non une directive.
Les sociétés de cartes de paiement ont le droit de déterminer comment vous, en tant qu’entrepreneur,
devez gérer les données relatives aux cartes. Vous devez donc répondre aux exigences de la norme
PCI DSS pour pouvoir accepter des paiements par carte.
Malentendu 2
J’ai uniquement besoin de faire effectuer une analyse par un fournisseur d’analyse approuvé pour être
conforme à la norme PCI DSS.
L’analyse de sécurité effectuée par un fournisseur d’analyse approuvé n’est qu’une étape de la procédure.
En tant qu’entrepreneur, vous devez également généralement remplir chaque année le questionnaire
d’auto-évaluation.
Malentendu 3
J’accepte très peu de paiements de carte, je n’ai donc pas besoin de respecter les exigences de la
norme PCI DSS.
Votre entreprise doit respecter les directives de la norme PCI DSS pour l’acceptation de ne serait-ce
qu’un paiement par carte.
Malentendu 4
Je n’enregistre aucune donnée relative aux cartes, je ne suis donc pas concerné par la norme PCI DSS.
La norme PCI DSS est une norme de sécurité pour l’enregistrement, le traitement et l’envoi de données
relatives aux cartes. Vous devez donc respecter la plupart des directives de la norme PCI DSS. Et
d’ailleurs, êtes-vous bien sûr de n’enregistrer aucune donnée relative aux cartes ?
Malentendu 5 (reportez-vous au tableau de la page 8)
Les sociétés de cartes de paiement n’imposent jamais d’amendes aux petites entreprises.
Si des données relatives aux cartes sont volées au sein de votre entreprise, vous devez pouvoir
démontrer que vous répondiez aux exigences de la norme PCI DSS au moment du vol. Si vous n’êtes
pas en mesure de le faire, les dommages vous sont imputés, quelle que soit la taille de votre
entreprise. Vous pouvez en outre être exclu des programmes d’acceptation des paiements par carte
et vous retrouver classé dans une catégorie Merchant Level de niveau supérieur (reportez-vous au
tableau de la page 9), avec des obligations plus strictes et des coûts d’audit plus élevés.
15
Malentendu 6
La norme PCI DSS s’applique uniquement au commerce électronique.
Tous les entrepreneurs qui enregistrent, traitent et/ou envoient des données relatives aux cartes doivent
répondre aux exigences de la norme PCI DSS. Cela vaut également pour les magasins physiques (points
de vente) et les entrepreneurs qui traitent des commandes par la poste et des achats par téléphone
(MO/TO).
Malentendu 7
Le fait de renseigner le questionnaire d’auto-évaluation suffit à répondre aux exigences de la norme
PCI DSS.
Le questionnaire d’auto-évaluation correspond à un moment dans le temps. En tant qu’entrepreneur,
vous devez respecter en permanence les exigences de la norme PCI DSS. En cas de problème avec
les données relatives aux cartes de paiement, vous devez pouvoir démontrer votre conformité à la
norme PCI DSS à ce moment précis.
Malentendu 8
La norme PCI DSS laisse trop de place à l’interprétation.
La norme PCI DSS est la liste la plus spécifique d’exigences de sécurité définie par le secteur jusqu’à
présent. Contrairement à d’autres normes en matière de protection (SOX, ISO, ISO 27002), la norme
PCI DSS offre plus qu’un cadre. La norme décrit les exigences et les procédures en détail.
Malentendu 9
Avec une application certifiée PA DSS, je réponds aux exigences de la norme PCI DSS.
L’utilisation d’une application certifiée PA DSS n’est qu’une étape. Vous devez également respecter
l’ensemble des exigences et des contrôles qui permettent de veiller à ce que les réseaux et les
serveurs répondent aux exigences de la norme PCI DSS. Si vous externalisez la gestion du système, le
gestionnaire doit respecter les exigences.
16
Terminologie
Glossaire de la norme
PCI DSS
Acquéreur
Les acquéreurs assurent l’exécution des paiements par carte pour l’entrepreneur. L’acquéreur conclut
pour cela un contrat de licence avec une organisation de cartes (internationale).
Attestation of Compliance (AoC)
Déclaration de conformité dans laquelle vous confirmez avoir rempli le questionnaire d’auto-évaluation
conformément à la vérité.
Approved Scanning Vendor (ASV)
Les fournisseurs d’analyse approuvés (Approved Scanning Vendors ou ASV) procèdent à des analyses
auprès des entreprises pour tester les réseaux et systèmes informatiques des entreprises qui acceptent des cartes. Ils doivent être certifiés par le Conseil des normes de sécurité de la PCI. La liste des
entreprises certifiées est disponible sur le site Web du Conseil de sécurité de la PCI : www.pcisecuritystandards.org. La plupart des réseaux et systèmes informatiques doivent être analysés tous les
trois mois. L’analyse peut généralement être effectuée à distance. La procédure est comparable à une
analyse antivirus sur un PC.
Certification
Lors d’une procédure de certification, l’organisme de certification détermine si un entrepreneur répond
à certaines règles et exigences au moment de la certification.
Conformité
Respect de certaines lois et/ou règles.
Corruption
Manipulation, vol ou perte de données et/ou de systèmes ou du contrôle des données et/ou systèmes
dans le but de procéder à une utilisation abusive.
Payment Service Provider (PSP)
Le prestataire de services de paiement (PSP) assure la connexion technique entre un entrepreneur et
l’acquéreur et traite les transactions par carte. Il propose également d’autres produits et services pour
le traitement des paiements (électroniques) les plus variés.
PCI DSS
Ensemble de directives définies par les grandes sociétés de cartes de paiement (dont Visa et MasterCard) et destinées à protéger les cartes de paiement contre les tentatives d’utilisation abusive. Tous
les acteurs de la chaîne de paiements avec des cartes de paiement (entrepreneurs, acquéreurs, prestataires de services de paiement, fournisseurs informatiques, etc.) doivent répondre aux exigences
de la PCI.
17
Qualified Security Assessor (QSA)
Spécialiste de la protection informatique accrédité par le Conseil des normes de sécurité de la PCI pour
exécuter des contrôles de sécurité (évaluations sur site) auprès des sociétés qui acceptent des cartes
et des sociétés de traitement.
Exonération
Si un commerçant en conformité avec la norme PCI DSS est victime d’une corruption de données, la
société de cartes de paiement peut, dans certaines conditions, réduire ou annuler les amendes
imposées.
Security Audit
Contrôle de sécurité physique sur le site de l’entrepreneur. Les locaux des serveurs sont alors également inspectés et des entretiens sont organisés avec les collaborateurs.
Security scan
Analyse pour détecter d’éventuelles failles au niveau de l’infrastructure informatique ou de la configuration des systèmes. Les analyses de sécurité sont généralement effectuées en ligne.
Self Assessment Questionnaire (SAQ)
Un SAQ est un questionnaire via lequel un entrepreneur fournit à son acquéreur des informations
concernant la mise en application des directives de la norme PCI DSS au sein de son entreprise. Il
existe différents questionnaires pour les différentes catégories d’entreprises. Les questionnaires portent
sur la manière dont l’entrepreneur accepte et traite les paiements par carte, ainsi que sur les informations générales (relatives à l’entreprise), les accords (contractuels) avec d’autres entreprises et les
détails techniques. Selon la catégorie de commerçant (reportez-vous au tableau de la page 9), le SAQ
doit généralement être rempli par le commerçant et remis à l’acquéreur une fois par an.
18
Pour plus
d’informations
Pour plus d’informations, consultez le site www.paysquare.eu. Consultez notre section de téléchargements
pour d’autres documents de présentation technique, brochures et guides d’informations.
Vous pouvez également consulter les sites Web suivants.
www.paysquare.eu
www.visa.com
www.mastercard.com
www.pcisecuritystandards.org
Coordonnées
Vous avez d’autres questions ? N’hésitez pas à contacter notre service clientèle.
Depuis la Belgique : T 02 700 68 48 ∙ E [email protected] ∙ www.paysquare.be/fr
Depuis le Luxembourg : T 24 871 877 ∙ E [email protected] ∙ www.paysquare.lu
Le contenu du présent document n’accorde aucun droit. Les présentes informations sont disponibles
auprès de sources accessibles au grand public. Sous réserve de fautes typographiques et d’erreurs
d’impression.
En tant que partenaire de paiement professionnel, nous vous informons volontiers au sujet des
paiements, de manière proactive et objective, par le biais de nos documents. Nous proposons des
solutions pour les thèmes les plus variés, en relation avec les besoins concrets du marché. Nos
documents de présentation technique sont disponibles dans la rubrique Téléchargements de notre
site Web.
19
10.10 BLF 12.15
PaySquare SE
Eendrachtlaan 315
3526 LB Utrecht
Boîte Postale 30600
3503 AJ Utrecht
Pays-Bas
PaySquare SE, CCI 30196418
Depuis la Belgique:
T 02 700 68 48
E [email protected]
W www.paysquare.be/fr
Depuis le Luxembourg:
T 24 871 877
E [email protected]
W www.paysquare.lu