Un audit PCI DSS sert à vérifier qu’une entreprise protège correctement les données liées aux cartes de paiement. Il porte notamment sur les systèmes qui stockent, traitent ou transmettent des données de titulaires de cartes. L’évaluation examine les mesures de sécurité mises en place par l’entreprise et les preuves permettant de vérifier leur application.
La norme actuellement en vigueur est PCI DSS v4.0.1, publiée par le PCI Security Standards Council. Elle reprend les 12 exigences générales de sécurité du référentiel PCI DSS, avec des contrôles portant notamment sur le réseau, les données de paiement, les vulnérabilités, les accès, la surveillance et les politiques de sécurité.
🔎 Audit PCI DSS : une évaluation de la sécurité des paiements
Que vérifie précisément un audit PCI DSS ?
Un audit PCI DSS examine l’environnement informatique dans lequel les données de paiement sont traitées. Le périmètre peut inclure les serveurs, applications, bases de données, réseaux, postes administrateurs, systèmes de sécurité et prestataires intervenant dans le traitement des paiements.
L’auditeur cherche à déterminer si les contrôles prévus par la norme sont bien en place et s’ils sont appliqués conformément aux exigences applicables. Il ne s’agit donc pas simplement de vérifier la présence d’un antivirus ou d’un pare-feu. L’évaluation porte également sur les procédures internes, les droits d’accès, la gestion des vulnérabilités, la surveillance des systèmes et la protection des données de carte.
Les éléments examinés doivent être accompagnés de preuves. Selon l’exigence concernée, l’évaluation peut notamment s’appuyer sur des configurations techniques, des journaux, des rapports de scans, des politiques internes, des entretiens avec les équipes ou des tests de contrôles.
A lire aussi: Qonto et PayFit : comment connecter son compte professionnel à son logiciel de paie ?
Les 12 exigences de la norme PCI DSS
Le référentiel PCI DSS regroupe ses contrôles autour de 12 grandes exigences de sécurité. Elles couvrent notamment la sécurisation du réseau et des systèmes, la protection des données des titulaires de cartes, la gestion des vulnérabilités, le contrôle des accès et la surveillance de l’environnement informatique.
Avec PCI DSS v4.0.1, certaines exigences accordent également davantage de place à l’analyse des risques et à la démonstration de la manière dont les contrôles atteignent leurs objectifs de sécurité.
Parmi les sujets examinés figurent notamment :
| Domaine | Exemples de contrôles examinés |
| 🌐 Réseau | Sécurisation des réseaux et systèmes |
| 🔐 Données de carte | Protection et chiffrement des données |
| 🛡️ Vulnérabilités | Correctifs, scans et tests de sécurité |
| 👤 Accès | Gestion des comptes et authentification |
| 🔑 Authentification | Contrôles d’accès et authentification multifacteur selon le périmètre |
| 📊 Surveillance | Journaux, détection et suivi des événements |
| 🧪 Tests | Tests réguliers des mécanismes de sécurité |
| 📋 Gouvernance | Politiques et procédures de sécurité |
L’audit ne porte toutefois pas nécessairement sur l’intégralité du système informatique d’une entreprise. Le périmètre PCI DSS dépend de la manière dont l’entreprise traite les paiements et des systèmes qui peuvent avoir une incidence sur la sécurité des données de carte.
👨💻 Qui réalise un audit PCI DSS ?
Le rôle du Qualified Security Assessor
Lorsqu’une évaluation formelle par un tiers est requise, elle peut être réalisée par un Qualified Security Assessor (QSA). Les entreprises et les personnes exerçant comme QSA sont qualifiées dans le cadre du programme du PCI Security Standards Council.
Le QSA collecte et analyse les éléments nécessaires à l’évaluation. Il doit notamment vérifier que les preuves examinées correspondent au périmètre et aux exigences concernées. L’objectif n’est donc pas uniquement de réunir des documents, mais de déterminer si les contrôles sont effectivement en place.
À la fin d’une évaluation formelle, le QSA peut établir un Report on Compliance (ROC) ainsi qu’une Attestation of Compliance (AOC) selon les modalités applicables à l’entreprise.
Audit externe ou auto-évaluation : quelle différence ?
Toutes les entreprises ne suivent pas nécessairement exactement le même processus de validation. Selon le niveau de risque, le type d’activité, le volume de transactions et les exigences du réseau de paiement ou de l’acquéreur, une entreprise peut être éligible à un Self-Assessment Questionnaire (SAQ).
L’auto-évaluation ne signifie pas pour autant qu’il suffit de répondre à quelques questions sans justification. L’entreprise doit vérifier son éligibilité au questionnaire concerné et conserver les éléments permettant de démontrer la conformité déclarée.
Lorsqu’une validation par un QSA est requise, l’évaluation est plus formelle et donne lieu aux documents de conformité correspondants.
💳 À quoi sert un audit PCI DSS pour une entreprise ?
Protéger les données des cartes de paiement
La première finalité concerne évidemment la protection des données de paiement. Une compromission d’un environnement contenant des informations de carte peut entraîner des fraudes, des pertes financières et une atteinte importante à la confiance des clients.
L’audit permet d’examiner les mesures mises en place avant qu’un incident ne survienne. Les contrôles peuvent notamment porter sur le chiffrement, les droits d’accès, la segmentation, les correctifs de sécurité, les journaux et les tests réalisés sur l’infrastructure.
Le PCI DSS ne garantit évidemment pas qu’une entreprise ne connaîtra jamais de cyberattaque. Il fournit un ensemble d’exigences destinées à réduire les risques liés à la conservation, au traitement et à la transmission des données de paiement.
Identifier les vulnérabilités et les écarts
Un audit peut également révéler des écarts de conformité qui ne sont pas forcément visibles dans le fonctionnement habituel du système informatique.
Une entreprise peut par exemple disposer de contrôles techniques efficaces mais ne pas documenter correctement certaines procédures. À l’inverse, une politique de sécurité peut être correctement rédigée alors que sa mise en application présente des lacunes.
L’intérêt de l’évaluation consiste donc à confronter les documents, les pratiques et les contrôles techniques aux exigences PCI DSS. Les écarts identifiés peuvent ensuite faire l’objet d’actions correctives.
Apporter des éléments de preuve aux partenaires de paiement
La conformité PCI DSS peut également intervenir dans les relations entre un marchand, son acquéreur, ses prestataires de paiement et les réseaux de cartes.
Une entreprise peut être amenée à fournir une attestation de conformité ou d’autres documents de validation afin de démontrer que son environnement répond aux exigences qui lui sont applicables.
La conformité ne doit donc pas être considérée uniquement comme une question interne de cybersécurité. Elle peut aussi faire partie des conditions demandées dans l’écosystème du paiement par carte.
A voir également: Mangopay sur Vinted : fonctionnement, sécurité et frais
⚠️ Que se passe-t-il en cas de non-conformité PCI DSS ?
La non-conformité peut exposer une entreprise à plusieurs conséquences selon les contrats conclus avec les banques, acquéreurs, prestataires de paiement et réseaux de cartes.
Il faut notamment éviter de présenter les sanctions PCI DSS comme une amende automatique identique pour toutes les entreprises. Les conséquences financières dépendent du contexte et des accords applicables.
Une entreprise présentant des écarts peut devoir mettre en œuvre un plan correctif, fournir de nouvelles preuves ou réaliser des évaluations complémentaires. Dans certaines situations, les conséquences peuvent également concerner les coûts liés à une compromission, les investigations et les mesures nécessaires après un incident.
La conformité PCI DSS doit donc être suivie dans le temps plutôt que traitée comme un contrôle ponctuel réalisé uniquement pour obtenir un document.
📅 Pourquoi PCI DSS doit être suivi régulièrement ?
La sécurité d’un environnement de paiement évolue avec les applications, les prestataires, les infrastructures cloud et les méthodes d’attaque. Une entreprise conforme à un instant donné peut ensuite modifier son architecture ou ajouter un nouveau service susceptible de modifier son périmètre PCI DSS.
La norme prévoit ainsi différents contrôles récurrents, notamment en matière de vulnérabilités, de surveillance, de tests et de gestion des accès. Avec PCI DSS v4.0.1, l’approche accorde également une place importante à la gestion des risques et à la démonstration continue des mesures de sécurité. La conformité doit donc être suivie comme un processus de sécurité