Kerson Wallaw
400-3 Place Ville Marie, Montréal QC H3B 2E3
Ph: (514) 312-1555
Réserver une consultation gratuite
Pick a time · Demander un rappel

PCI DSS, les règles relatives aux données de carte.

Si vous acceptez, traitez ou stockez des cartes de paiement, la norme de sécurité des données de l’industrie des cartes de paiement (PCI DSS) s’applique à vous. Elle est appliquée par le biais de votre contrat avec la banque qui traite vos paiements.

Parler à un expertInformations connexes

PCI DSS en bref.

Type
Norme industrielle, appliquée par contrat
Version actuelle
PCI DSS v4.0.1 (publiée le 11/06/2024)
Organisme de normalisation
PCI Security Standards Council
Appliquée par
Les marques de carte, par l’intermédiaire des acquéreurs (banques de commerçants)
S’applique à
Toute personne qui stocke, traite ou transmet des données de carte, ou qui peut affecter leur sécurité
Validation
Annuelle, plus des analyses externes trimestrielles

Quoi, pourquoi et qui.

Ce que c’est

La norme PCI DSS est un ensemble de douze groupes d’exigences techniques et opérationnelles qui protègent les données des titulaires de carte et les données d’authentification sensibles : sécurité du réseau, configuration sécurisée, protection des données, chiffrement, défense contre les logiciels malveillants, logiciels sécurisés, contrôle d’accès, authentification, sécurité physique, journalisation, tests et politique de sécurité.

Pourquoi elle existe

Pour réduire la fraude par carte et les violations de données dans l’ensemble de l’écosystème des paiements. Avant 2004, chaque marque de carte gérait son propre programme ; la norme PCI DSS les a unifiés afin qu’un commerçant ou un fournisseur de services respecte une norme reconnue par toutes les marques.

À qui elle s’applique

Aux commerçants, fournisseurs de services, processeurs, acquéreurs et émetteurs. La validation dépend de votre niveau, défini par les marques de carte. Pour Visa, les commerçants traitant plus de six millions de transactions par an doivent présenter un rapport de conformité par un évaluateur de sécurité qualifié (QSA) ; les petits commerçants remplissent généralement un questionnaire d’auto-évaluation (SAQ). Les fournisseurs de services au-delà de 300 000 transactions nécessitent une évaluation QSA.

Les commerçants ayant subi une violation peuvent être reclassés à un niveau supérieur.

Autorité et application

Le PCI Security Standards Council, fondé par American Express, Discover, JCB, Mastercard et Visa (UnionPay a rejoint plus tard), rédige la norme et qualifie les évaluateurs. Il n’applique pas la norme : ce sont les marques de carte qui le font, par l’intermédiaire des acquéreurs, qui doivent s’assurer que leurs commerçants et fournisseurs de services valident leur conformité au moins tous les douze mois.

Comment elle est arrivée.

  1. 2004

    La norme PCI DSS 1.0 unifie les programmes de sécurité distincts des marques de carte.

  2. 2006

    Le PCI Security Standards Council est fondé.

  3. 2008–2016

    Les versions 1.2, 2.0, 3.0, 3.1 et 3.2 suivent les évolutions technologiques et les menaces.

  4. 05/2018

    Version 3.2.1.

  5. 31/03/2022

    La version 4.0 est publiée : approche personnalisée, authentification renforcée, analyse des risques ciblée.

  6. 31/03/2024

    La version 3.2.1 est retirée.

  7. 11/06/2024

    Version 4.0.1, une révision limitée avec des clarifications et aucune nouvelle exigence.

  8. 31/12/2024

    La version 4.0 est retirée ; la 4.0.1 est la seule version active.

  9. 31/03/2025

    Les exigences futures deviennent obligatoires, y compris le contrôle des scripts sur les pages de paiement (6.4.3, 11.6.1) et l’AMF pour tous les accès à l’environnement de données des titulaires de carte.

Ce qui change.

Systèmes et outils

  • Segmentation du réseau pour réduire l’environnement de données des titulaires de carte
  • Chiffrement et gestion des clés pour les données de carte stockées et transmises
  • Authentification multifacteur et examen automatisé des journaux
  • Inventaire et détection des changements pour les scripts sur les pages de paiement

Processus

  • Analyses externes trimestrielles par un fournisseur d’analyse agréé
  • Tests de pénétration et de segmentation
  • Pratiques de correctifs et de développement sécurisé
  • Plan de réponse aux incidents et confirmation annuelle de la portée

Gouvernance

  • Analyses des risques ciblées
  • Gestion des fournisseurs de services et matrices de responsabilités
  • Formation de sensibilisation à la sécurité
  • Politiques révisées chaque année

Si vous ne vous conformez pas

  • Évaluations de non-conformité facturées par les marques de carte à votre acquéreur et répercutées sur vous
  • Responsabilité pour les pertes dues à la fraude et les coûts d’enquête forensique après une violation
  • Frais de traitement plus élevés ou niveau de validation supérieur
  • Résiliation de votre compte commerçant et perte de la capacité d’accepter les cartes
  • Retrait des listes de marques de fournisseurs de services conformes

Changements à venir.

Changements annoncés et à venir

  • Juin-juillet 2026Le Conseil a lancé un appel à commentaires sur la v4.0.1 pour préparer la prochaine révision, incluant les technologies émergentes et l’IA.
  • Pas de dateAucun nouveau numéro de version ni date de publication n’a été annoncé.

Statut vérifié le 03/10/2026. Les dates peuvent changer ; confirmez avec les sources officielles ci-dessous.

Ce site enregistre des témoins sur votre ordinateur. Politique sur les témoins