Lorsque le Conseil des normes de sécurité PCI (PCI SSC) a publié la version 4.0.1 de la norme PCI DSS, de nombreux propriétaires d’entreprise se sont posé la même question : devons-nous tout recommencer ? La réponse courte est non. La version 4.0.1 est une révision limitée. Elle clarifie la formulation et répond aux questions soulevées après la publication de la v4.0, mais elle n’ajoute pas de nouveau travail. Cet article explique ce qui a changé, ce qui n’a pas changé et ce que cela signifie pour votre prochaine évaluation.
Les dates clés
Le Conseil a publié la norme PCI DSS v4.0.1 le 11 juin 2024. La version 4.0 est restée disponible jusqu’à son retrait le 31 décembre 2024. Depuis lors, les évaluations sont effectuées par rapport à la v4.0.1.
Le Conseil a clairement indiqué que la révision n’a pas modifié la date d’entrée en vigueur des exigences futures. Ces exigences, 51 des 64 nouvelles exigences introduites dans la v4.0, sont entrées en vigueur le 31 mars 2025. Si vous avez retardé les travaux en espérant que la nouvelle version repousserait la date limite, ce ne fut pas le cas.
Ce que la révision limitée a changé
Selon les propres termes du Conseil, il n’y a pas d’exigences supplémentaires ou supprimées dans cette révision. Les changements sont des clarifications, des corrections et des mises en forme. Les plus pratiques sont les suivants :
- Exigence 3 (données de compte stockées) : clarification de la manière dont certaines exigences s’appliquent aux émetteurs de cartes et à l’utilisation de hachages cryptographiques à clé.
- Exigence 6 (systèmes et logiciels sécurisés) : le délai de 30 jours pour l’installation des correctifs de sécurité a été ramené à ne s’appliquer qu’aux vulnérabilités critiques. La formulation concernant la gestion des scripts sur les pages de paiement a également été clarifiée.
- Exigence 8 (authentification) : une note a été ajoutée concernant l’authentification multifacteur et les facteurs d’authentification résistants au phishing.
- Exigence 12 (politiques et programmes) : clarification de la relation entre les clients et les fournisseurs de services tiers.
- Annexes : des modèles d’exemple ont été supprimés de l’annexe E, et des définitions ont été ajoutées pour des termes tels que « exception légale », « authentification résistante au phishing » et « visiteur ».
Tout cela est résumé dans l’annonce du Conseil, qui renvoie également à un résumé détaillé des changements. Si votre équipe travaille à partir de la norme elle-même, ce résumé mérite d’être lu ligne par ligne.
Ce qui n’a pas changé
Pour la plupart des organisations, le message le plus important est ce qui est resté inchangé :
- Les douze exigences principales et la structure globale de la norme.
- Les deux façons de satisfaire à une exigence : l’approche définie et l’approche personnalisée.
- Les nouvelles exigences de la v4.0, y compris celles qui sont devenues obligatoires le 31 mars 2025, telles que l’authentification multifacteur élargie, les analyses de risques ciblées et les contrôles sur les scripts des pages de paiement.
- Votre obligation de valider la conformité chaque année avec le formulaire requis par votre acquéreur ou les marques de paiement.
En d’autres termes, un programme conçu pour la v4.0 est toujours valide. Vous devez mettre à jour les références, pas reconstruire les contrôles.
Documents justificatifs suivis
Une nouvelle version de la norme signifie de nouveaux formulaires de rapport. Le Conseil a publié un modèle de rapport de conformité (ROC) pour la v4.0.1 et, en octobre 2024, des questionnaires d’auto-évaluation (SAQ) pour la v4.0.1. Si vous effectuez une auto-évaluation, assurez-vous d’utiliser le SAQ actuel, et non une copie enregistrée sur un lecteur partagé il y a deux ans. Le SAQ A a été révisé à nouveau début 2025, ce que nous abordons dans un article séparé.
Ce qu’il faut faire maintenant
- Mettez à jour votre documentation. Les politiques, procédures et dossiers de preuves qui citent « v4.0 » doivent désormais faire référence à la v4.0.1.
- Revoyez votre procédure de correction. Confirmez que votre règle de 30 jours cible les vulnérabilités critiques et que vous disposez d’un calendrier documenté et basé sur les risques pour tout le reste.
- Vérifiez vos accords avec les fournisseurs de services. Les clarifications de l’exigence 12 sont une bonne occasion de confirmer, par écrit, qui est responsable de quel contrôle.
- Confirmez que les exigences futures sont opérationnelles. Les évaluateurs attendent désormais des preuves que ces contrôles fonctionnent en pratique, et pas seulement un plan.
- Utilisez les formulaires actuels. Téléchargez le dernier SAQ ou modèle de ROC directement depuis la bibliothèque de documents du PCI SSC.
En résumé
La norme PCI DSS v4.0.1 est une version de maintenance. Elle lève les ambiguïtés et corrige quelques points qui causaient des frictions, mais elle n’élève pas le niveau d’exigence. Le véritable travail pour la plupart des commerçants et fournisseurs de services canadiens reste les exigences de la v4.0 qui sont en vigueur depuis le 31 mars 2025.
Vous ne savez pas où en est votre programme par rapport à la v4.0.1 ? Notre aperçu de la norme PCI DSS explique la norme en langage clair. Ubitrak, une entreprise d’évaluateurs de sécurité qualifiés (QSA) du PCI SSC depuis 2011, réalise des évaluations PCI DSS, et le portail Accel PCI aide les petits commerçants à remplir leur SAQ. Si des lacunes apparaissent, KW Consulting peut vous aider à y remédier. Contactez-nous pour discuter de votre situation.
Sources
Est-ce que cela s’applique à vous? Une consultation gratuite de 30 minutes relie l’exigence à vos systèmes et vous indique quoi faire ensuite.
Réserver une consultation gratuite