PCI DSS (norme de sécurité des données de l'industrie des cartes de paiement)

La norme PCI DSS comprend 12 exigences principales, assorties de contrôles détaillés et de procédures de test, conçues pour protéger les données de compte de paiement et favoriser des mesures de sécurité cohérentes à l'échelle mondiale 1. Elle s'adresse à toute entité qui stocke, traite ou transmet des données de titulaires de cartes ou des données d'authentification sensibles, ou qui peut avoir une incidence sur la sécurité de ces données 3. Une agence de voyages qui recueille des informations de carte, que ce soit sur papier, par téléphone, par courriel ou au moyen d'un formulaire web, relève de cette catégorie. Selon la norme, dès qu'une entreprise stocke, traite ou transmet le numéro de compte primaire (PAN), il existe un environnement des données de titulaires de cartes auquel les exigences s'appliquent 5.

La norme elle-même ne détermine pas si une agence doit valider formellement sa conformité. Cette décision relève des organismes qui gèrent les programmes de conformité, tels que les réseaux de cartes et les acquéreurs. L'agence doit donc interroger son acquéreur sur ses attentes 3. Externaliser les paiements ne supprime pas la responsabilité : l'agence doit toujours s'assurer que le tiers protège les données, et les exigences relatives à la gestion des prestataires de services s'appliqueront 35.

En pratique, une agence doit :

• Limiter au strict minimum les données de compte conservées, et ne jamais conserver de données d'authentification sensibles, comme le cryptogramme visuel de la carte, après l'autorisation, même chiffrées 6.
• Rendre illisible tout PAN stocké 6.
• Éviter d'envoyer des PAN non protégés par courriel ou par messagerie instantanée 8.
• Sécuriser ou détruire les documents papier contenant des données de cartes 5.
• Disposer d'un plan de réponse aux incidents, qui s'applique à toutes les entités 5.
• Si des données de cartes arrivent par un canal non prévu, soit intégrer ce canal au périmètre et le sécuriser, soit supprimer les données de façon sécurisée et empêcher que ce canal soit de nouveau utilisé 4.

Lorsque la législation locale entre en conflit avec la norme, c'est la loi qui prévaut 2.