Conformité PCI DSS pour les PME : ce que votre banque attend quand vous encaissez par carte.
Vous acceptez la carte ? Gardez votre contrôle annuel court, juste et dans les délais.
Êtes-vous concerné ?
Quatre questions pour voir ce qui s’applique.
PCI DSS n’est pas une loi. C’est la norme de sécurité du secteur des cartes, et votre banque ou votre prestataire de paiement l’inscrit dans votre contrat. Le détail figure plus bas, dans la partie destinée à votre DSI.
- Acceptez-vous les paiements par carte ?En boutique, en ligne ou par téléphone. PCI DSS s’applique alors à vous, via votre contrat avec votre banque ou votre prestataire de paiement.
- Un prestataire comme Stripe ou PayPal héberge-t-il la page de paiement ?C’est en général le questionnaire le plus court. Si votre propre site charge le formulaire de paiement, les contrôles s’allongent nettement.
- Conservez-vous vous-même des numéros de carte ?Une bien plus grande partie de votre informatique doit alors respecter la norme. La solution la moins chère est souvent de ne plus les conserver.
- Votre banque vous a-t-elle demandé un questionnaire ou un scan ?Un délai court alors. Remplir le mauvais questionnaire est une erreur fréquente, et évitable.
Ce qui change pour vous
Un contrôle annuel, aussi réduit que votre installation le permet.
La plupart des petits commerçants prouvent leur conformité une fois par an, avec un questionnaire d’auto-évaluation. Un scan trimestriel de leur site s’y ajoute parfois. Le questionnaire à remplir dépend du chemin que suivent les données de carte jusqu’à vous.
Le travail grandit avec chaque système qui touche aux données de carte. Un paiement traité entièrement sur la page de votre prestataire le garde court. Si les données de carte passent par vos propres systèmes, une bien plus grande partie de votre informatique est concernée.
Le vrai risque est une fuite de données : votre banque peut répercuter des pénalités, et vous pouvez payer l’enquête et la fraude. La réponse : tenir les données de carte à l’écart de vos systèmes autant que possible, et prouver que le reste est protégé.
Par où commencer
Confirmer le bon questionnaire, puis réduire ce qu’il couvre.
Ce que nous livrons
- Le bon questionnaire pour votre façon d’encaisser, confirmé avant tout travail
- Un plan pour tenir les données de carte hors du plus grand nombre de systèmes
- Vos écarts face à la norme, classés, avec le suivi des corrections de votre prestataire informatique
- Un calendrier annuel : questionnaire, scans, tests et sensibilisation des équipes
- La réutilisation de votre travail ISO 27001, si vous l’avez
Qui fait quoi
Nous pilotons la conformité. Votre prestataire informatique garde la partie technique.
Ce que nous pilotons
- Confirmer le questionnaire qui vous concerne
- Établir le périmètre, et comment le réduire
- Classer les écarts et suivre les corrections
- Préparer avec vous le questionnaire annuel (vous le signez)
- Coordonner scans, tests et sensibilisation des équipes
Ce qui reste chez votre prestataire informatique
- Mettre en place la double authentification, la journalisation et les mises à jour
- Corriger les écarts techniques
- Traiter les résultats des scans avec le prestataire de scan agréé
Nous vérifions les preuves au regard du plan, et travaillons avec un évaluateur externe si votre banque l’exige.
Pour commencer
Première étape : confirmer ce qui s’applique.
En trois semaines environ, vous savez quel questionnaire est le vôtre, ce qui est dans le périmètre et quels écarts traiter en premier. La suite suit le calendrier annuel de votre banque.
- Prix
- Forfait fixe
- Durée
- Environ 3 semaines
Devis ferme après l'appel gratuit.
Réserver une consultation gratuite de 25 minutesPour votre DSI, DPO ou DAF
Ce que PCI DSS demande, exigence par exigence.
- 01Exig. 1
Contrôles de sécurité réseau
Pare-feux, routeurs, connexions réseau documentées — incluant des schémas du CDE et de la segmentation.
- 02Exig. 2
Configurations sécurisées
Pas de paramètres par défaut fournisseur, durcissement appliqué à tous les systèmes du périmètre.
- 03Exig. 3
Protéger les données de compte stockées
Minimiser le stockage, cryptographie forte pour les numéros de compte primaires (PAN).
- 04Exig. 4
Protéger les données en transit
Chiffrement sur les réseaux publics, gestion des certificats, abandon des protocoles faibles.
- 05Exig. 5
Protéger contre les logiciels malveillants
Protection contre les logiciels malveillants, avec des mesures contre l'hameçonnage (nouvel accent en v4.0).
- 06Exig. 6
Développer et maintenir des systèmes sécurisés
Cadence de correctifs, développement sécurisé, gestion des scripts de pages de paiement (nouveau en v4.0 — Exig. 6.4.3).
- 07Exig. 7
Restreindre l'accès aux composants
Accès selon le besoin d'en connaître, gestion des accès à privilèges, contrôles d'accès basés sur les rôles.
- 08Exig. 8
Identifier les utilisateurs et authentifier les accès
Identifiants utilisateurs uniques ; MFA exigée pour tout accès au CDE (nouveau en v4.0) ; politique de mot de passe forte.
- 09Exig. 9
Restreindre l'accès physique
Contrôle des zones sensibles, protection des supports, gestion des visiteurs.
- 10Exig. 10
Journaliser et surveiller tous les accès
Auditer tous les accès aux composants et aux données titulaires ; protéger les journaux contre la modification.
- 11Exig. 11
Tester la sécurité régulièrement
Scans de vulnérabilités trimestriels (ASV), tests d'intrusion annuels, tests de segmentation.
- 12Exig. 12
Politique de sécurité
Évaluations de risques, documentation des rôles, gestion des tiers, programme formel de sensibilisation (Exig. 12.6).
Les pénalités courent au mois. Puis viennent les coûts de violation.
Non-conformité combinée à une violation : le pire des scénarios. Votre banque acquéreur peut vous placer en programme de non-conformité et répercuter des pénalités contractuelles, parfois mensuelles, jusqu'à la mise en conformité. Ajoutez les coûts d'investigation forensique, le remplacement des cartes des porteurs concernés, la responsabilité des pertes liées à la fraude, l'éventuelle exclusion des réseaux de cartes, et — si des résidents européens sont affectés — les obligations de notification RGPD en plus.
Compléter le mauvais SAQ est en lui-même un manquement. Nous confirmons le bon SAQ avant tout travail, et utilisons une segmentation CDE correcte pour maintenir votre mission au niveau le plus simple applicable.
Pénalités de l'acquéreur
Contractuelles
fixées par votre banque et les réseaux, non publiées — souvent récurrentes jusqu'à la mise en conformité.
Scans ASV trimestriels
Obligatoires
pour les niveaux 1, 2, 3 — et souvent exigés du niveau 4 par l'acquéreur.
Recouvrement ISO 27001
Important
contrôles communs (accès, chiffrement, vulnérabilités, politique) — inutile de partir de zéro.
Calendrier type
Programme continu. La validation annuelle est le jalon formel ; les contrôles tournent toute l'année.
Semaines 1–3
Périmètre et analyse d'écarts
Définition du CDE, revue de la segmentation, confirmation du SAQ, analyse d'écarts par rapport aux 12 exigences.
Mois 2–4
Remédiation
Votre équipe IT ou votre prestataire comble les écarts — MFA vers le CDE, gestion des scripts des pages de paiement, journalisation ; nous priorisons, suivons et vérifions les preuves, et animons le programme de sensibilisation.
Annuellement
Cycle de validation
Soumission du SAQ, test d'intrusion annuel, mise à jour de la formation de sensibilisation, revue de la politique.
Trimestriellement
Scans ASV
Scans externes par un Approved Scanning Vendor ; remédiation des constats avant validation du scan.
FAQ