Qu'est-ce que la norme PCI DSS ?

Les pirates informatiques sont en quête d'argent, c'est pourquoi les transactions financières sont au cœur des activités frauduleuses et cybercriminelles. Par exemple, un rapport de 2022 d'Akamai a révélé que les attaques d'applications Web et d'API contre les entreprises de services financiers ont augmenté de 257 % par rapport à l'année précédente. En outre, les chiffres de la Federal Trade Commission indiquent que les consommateurs ont perdu près de 8,8 milliards de dollars en 2022 en raison de la fraude financière, soit une augmentation de 44 % par rapport aux chiffres de 2021.

Pour aider à endiguer la vague de fraude financière et de criminalité financière liée aux données des cartes de paiement, le PCI Security Standards Council propose une norme de sécurité de l'information dénommée PCI DSS (Payment Card Industry Data Security Standard). Voici un aperçu des exigences de la norme PCI DSS.

PCI DSS est un ensemble de normes de sécurité lancé en 2004 ; ces normes s'appliquent à toute organisation qui accepte, traite, stocke ou transmet des données de carte de crédit. PCI DSS est administré par le PCI SSC (Payment Card Industry Security Standards Council), un consortium constitué des principales sociétés de cartes de crédit : Mastercard, Visa, Discover, American Express et JCB.

PCI DSS est désormais une norme mondialement reconnue qui assure la sécurité des données des cartes de paiement et prévient les failles de sécurité. Cependant, cette norme de cybersécurité est sujette à des changements en raison de l'émergence et de l'évolution des menaces. La dernière version est PCI DSS v4.0, publiée en mars 2022, et la conformité totale est requise en mars 2025 (12 mois après le retrait de PCI DSS v3.2.1 en mars 2024).

La norme PCI DSS vise de nombreuses menaces, notamment les suivantes :

• Logiciels malveillants
• Hameçonnage
• Contrôle et authentification de l'accès à distance
• Mots de passe faibles
• Logiciels hérités
• Attaques par vol de données de cartes bancaires

Les 12 contrôles visant à protéger les données des titulaires de carte soumis à la norme PCI DSS sont basés sur l'éthique « personnes, processus et technologie ». Les contrôles incluent l'utilisation d'un pare-feu, la minimisation des données, la transmission cryptée des données des titulaires de carte, des contrôles d'accès robustes, un logiciel antivirus, des tests de pénétration réguliers et une évaluation des risques de vulnérabilité, la gestion des correctifs et un contrôle général de l'environnement sécurisé.

Toute entreprise traitant des transactions financières est une cible pour les cybercriminels, qui sont en quête d'argent. Les pertes du commerce électronique dues à la fraude sur les paiements en ligne devraient atteindre plus de 48 milliards de dollars américains dans le monde d'ici la fin de 2023. L'enquête mondiale sur la criminalité économique et la fraude réalisée en 2022 par PwC a révélé que plus de la moitié des personnes interrogées ont été victimes de fraude financière au cours des deux années précédentes. Selon le 2023 Data Breach Investigations Report (DBIR) de Verizon, dans le secteur financier, l'utilisation abusive des privilèges est à l'origine de la plupart des violations de données.

Étant donné que la norme PCI DSS s'applique à toute organisation qui accepte, traite, stocke ou transmet des données de titulaires de cartes, les types d'organisations suivants doivent démontrer leur conformité à la norme :

• Commerçants de toutes tailles
• Institutions financières
• Systèmes de traitement des paiements, qu'ils soient matériels ou logiciels
• Fournisseurs de points de vente (PDV)

Voici quelques exemples d'organisations concernées par la norme PCI DSS :

Petits commerçants et détaillants

Les petites et moyennes entreprises (PME) sont tout aussi exposées au risque d'une grave violation de données que leurs homologues de plus grande taille. Selon le DBIR 2022, 61 % des PME ont subi au moins une violation de données. Les petits commerçants doivent se conformer aux principes de la norme PCI DSS, qui prévoit quatre niveaux de conformité pour les commerçants :

Level 1 : Traiter plus de 6 millions de transactions par carte chaque année

Level 2 : Traiter de 1 à 6 millions de transactions par an

Level 3 : Traiter de 20 000 à 1 million de transactions par an

Level 4 : Traiter moins de 20 000 transactions par an

Les petits commerçants doivent faire en sorte que la sécurité soit abordée comme un exercice complet : s'assurer que leurs systèmes informatiques sont protégés par des pare-feu, mettre en œuvre des contrôles d'accès robustes et appliquer un cryptage aux données des titulaires de carte. Pour atteindre et simplifier ce niveau de sécurité à 360°, les PME doivent rechercher des solutions capables de sécuriser les données, les terminaux et les personnes.

Fournisseurs de services

Un fournisseur de services est toute entreprise susceptible d'avoir un impact sur la sécurité des données de paiement, même si elle appartient à une autre organisation. La norme PCI DSS comporte deux niveaux de conformité qui dépendent des niveaux de transaction traités par le fournisseur de services :

Level 1 Fournisseur de services : 300 000 transactions ou plus par an (2,5 millions de transactions ou plus pour American Express)

Fournisseur de services de niveau 2: Moins de 300 000 transactions par an (moins de 2,5 millions de transactions pour American Express)

Comme les PME, les prestataires de services doivent respecter les mesures et les contrôles de sécurité de la norme PCI DSS.

Akamai est certifié en tant que fournisseur de services PCI DSS de niveau 1, le plus haut niveau d'évaluation. Akamai propose également une gamme de solutions qui aident votre entreprise à se conformer aux six piliers de la norme PCI DSS. Les solutions Akamai suivantes offrent des contrôles de sécurité conformes à la norme PCI pour vous aider à répondre aux 12 exigences PCI :

App & API Protector avec protection contre les logiciels malveillants: Garantissez la conformité des journaux et protégez-vous contre les fuites de données PII, les attaques Zero Day et les CVE, ainsi que contre les autres attaques en bordure de l'Internet.

API Security: Détectez et limitez les abus de comportement et de logique des API, en protégeant ainsi le site, les actifs et les informations personnelles.

Client-side Protection & Compliance: Tenez à jour un inventaire et une justification de tous les scripts exécutés dans le navigateur, surveillez les changements de comportement des scripts et signalez toute activité de script suspecte.

Akamai Guardicore Segmentation: Étendez la portée des actifs réglementés pour faciliter la mise en conformité.

Secure Internet Access Enterprise: Bloquez ou surveillez les téléchargements de fichiers contenant des données PII, PCI DSS ou HIPAA.