Vous acceptez les cartes de crédit. Êtes-vous conforme PCI DSS?

Un terminal de paiement à l'accueil, un bouton « Payer » sur votre site Web, une employée qui prend les numéros de carte au téléphone pour les commandes urgentes. Et quelque part dans vos courriels, un questionnaire de conformité envoyé par votre fournisseur de paiement, rempli à la va-vite il y a trois ans. Ou jamais.

Dès que vous acceptez les cartes de crédit, vous êtes tenu de protéger les données de vos clients selon une norme précise : PCI DSS. Beaucoup de PME l'ignorent, jusqu'au jour où une fuite de données les rattrape.

PCI DSS, c'est quoi au juste?

PCI DSS (Payment Card Industry Data Security Standard) est la norme de sécurité des données de cartes de paiement. Elle a été créée par les grandes marques de cartes, dont Visa, Mastercard et American Express, et elle est gérée par le PCI Security Standards Council. Elle regroupe 12 grandes exigences : pare-feu, chiffrement, contrôle des accès, mises à jour, surveillance, politiques de sécurité, etc.

Qui doit s'y conformer? Toute entreprise qui accepte, traite, transmet ou conserve des données de cartes de paiement. Peu importe sa taille. Ce n'est pas une loi, mais une obligation contractuelle : en signant avec votre fournisseur de paiement (Moneris, Global Payments, Stripe, Square, etc.), vous vous êtes engagé à la respecter.

Comment le prouver? La plupart des PME remplissent chaque année un questionnaire d'auto-évaluation (SAQ). Il en existe plusieurs versions, selon votre façon d'accepter les paiements : terminal autonome, page de paiement hébergée par un tiers, site transactionnel, saisie manuelle, etc. Choisir le bon questionnaire est déjà une partie du travail.

Ce que vous risquez si vous ne l'êtes pas

La non-conformité coûte de l'argent bien avant la première fuite de données.

Des frais mensuels. Si vous ne remettez pas votre questionnaire ou vos rapports d'analyse, votre fournisseur de paiement peut ajouter des frais de non-conformité à chaque relevé, souvent de 10 à 300 $ par mois selon les estimations du secteur. Jetez un œil à votre dernier relevé : vous les payez peut-être déjà.
Des pénalités en cas de brèche. Si des numéros de cartes sont volés chez vous, les marques de cartes peuvent imposer des amendes à votre institution financière, qui vous les refacture. S'ajoutent l'enquête judiciaire, les frais de remplacement des cartes et l'avis aux clients.
La perte du droit d'accepter les cartes. Dans les cas graves, le contrat de paiement peut être résilié. Pour un commerce, c'est la catastrophe.
Les obligations de la Loi 25. Un numéro de carte est un renseignement personnel. Une fuite est un incident de confidentialité qu'il faut déclarer, en plus du reste. Voir notre guide de la Loi 25.

Et il y a la confiance. Un client dont la carte a été fraudée après un achat chez vous ne l'oublie pas.

La version 4.0 a relevé la barre

Le questionnaire se renouvelle chaque année, et celui d'avant 2024 ne vaut plus rien. Les questionnaires de l'ancienne version 3.2.1 ne sont plus acceptés depuis le 31 mars 2024, et toutes les nouvelles exigences de la version 4.0.1 sont obligatoires depuis le 31 mars 2025.

Parmi les changements qui touchent les PME :

L'authentification multifacteur s'étend à tous les accès aux systèmes qui traitent les données de cartes.
Les pages de paiement en ligne sont surveillées. Les pirates injectent du code malveillant dans les pages de paiement pour copier les numéros de cartes au moment de la saisie. Les commerçants en ligne doivent maintenant contrôler les scripts de ces pages et détecter toute modification non autorisée.
Les analyses de vulnérabilités s'étendent à davantage de commerçants en ligne, y compris certains qui confient leur paiement à un tiers.
Les questionnaires ont été réécrits. Même si rien n'a changé chez vous, remplir le nouveau questionnaire prend plus de temps.

Les pièges les plus courants en PME

Les numéros de cartes qui traînent. Notés sur un bout de papier, envoyés par courriel, conservés dans un fichier Excel « pour les clients réguliers ». Chaque copie fait entrer un système de plus dans le périmètre de la norme.
Le terminal sur le même réseau que tout le reste. Si le terminal de paiement partage le réseau des ordinateurs, des imprimantes et du Wi-Fi, tout ce réseau doit respecter la norme. L'isoler réduit considérablement le travail, comme nous l'expliquions pour les objets connectés.
« Mon fournisseur s'occupe de tout. » Votre fournisseur de paiement sécurise sa partie. Votre réseau, vos postes, vos employés et votre site Web restent votre responsabilité.
Le mauvais questionnaire. Choisir le plus court parce qu'il est plus court, alors qu'il ne correspond pas à votre façon d'accepter les paiements, revient à signer une attestation fausse.
Les accès partagés. Un seul compte « caisse » pour tout le monde, avec le même mot de passe depuis des années.

Par où commencer?

La meilleure stratégie n'est pas de tout sécuriser, mais de toucher le moins possible aux données de cartes. Moins elles passent chez vous, plus la conformité est simple.

Faites le portrait de vos paiements. Comment acceptez-vous les cartes? En personne, en ligne, au téléphone, par facture? Qui y a accès?
Retirez les données de cartes de vos systèmes. Fini les numéros dans les courriels et les fichiers. Pour les paiements récurrents, utilisez les outils de votre fournisseur qui conservent la carte à votre place.
Confiez la saisie en ligne à votre fournisseur. Une page de paiement hébergée par lui, plutôt qu'un formulaire sur votre site, réduit beaucoup vos obligations.
Isolez le terminal de paiement sur un réseau séparé.
Remplissez le bon questionnaire, avec l'aide de votre fournisseur de paiement ou de votre fournisseur TI, et faites les analyses de vulnérabilités demandées.
Mettez un rappel annuel à votre calendrier. La conformité se renouvelle chaque année.

Le mot de la fin

Être conforme PCI DSS, ce n'est pas qu'une case à cocher pour éviter des frais. C'est la promesse faite à vos clients que leur carte est en sécurité chez vous. Et pour la plupart des PME, la conformité tient moins à de gros investissements qu'à de bonnes habitudes : moins de données, un réseau bien séparé et un questionnaire rempli honnêtement.

Votre terminal de paiement est-il isolé du reste de votre réseau? Parlez à un expert MMO Techno.