PCI DSS (Payment Card Industry Data Security Standard) est le standard qui protège les données de cartes de paiement. Édité par le PCI Security Standards Council, il s'impose par contrat à toute organisation qui stocke, traite ou transmet des données de cartes. Sa version courante est la 4.0 (et sa révision 4.0.1) v4.0.1. Cette page explique ses 12 exigences, qui est concerné, comment on démontre sa conformité (SAQ ou audit), et comment SOCLE outille sa mise en oeuvre. Public visé : équipes e-commerce, plateformes de paiement et leurs prestataires techniques.
Ce que vous allez apprendre
Section intitulée « Ce que vous allez apprendre »- Savoir si PCI DSS s'applique à votre activité
- Comprendre la logique des 12 exigences
- Distinguer SAQ (auto-évaluation) et ROC (audit complet)
- Relier ces exigences à des contrôles techniques via SOCLE
Qu'est-ce que PCI DSS
Section intitulée « Qu'est-ce que PCI DSS »PCI DSS n'est pas une loi mais un standard contractuel porté par les grands réseaux de cartes. Il fixe un ensemble de contrôles de sécurité dont l'objectif unique est de réduire la fraude en protégeant les données du titulaire de carte (numéro, données d'authentification). Le non-respect expose à des pénalités, à une responsabilité accrue en cas de fuite, voire au retrait de la capacité d'accepter les cartes.
Qui est concerné
Section intitulée « Qui est concerné »Toute entité dans le flux de paiement est concernée : commerçants, places de marché, prestataires de services de paiement, mais aussi les sous-traitants techniques qui manipulent ou peuvent impacter ces données. Le niveau d'exigence dépend du volume de transactions (les niveaux 1 à 4).
La preuve de conformité prend deux formes selon le niveau :
Le SAQ (Self-Assessment Questionnaire) est une auto-évaluation déclarative, adaptée aux volumes modestes.
Le ROC (Report on Compliance) est un audit sur site par un QSA qualifié, imposé aux plus gros acteurs.
Les 12 exigences en six objectifs
Section intitulée « Les 12 exigences en six objectifs »PCI DSS organise ses 12 exigences autour de six objectifs.
| Objectif | Exigences clés |
|---|---|
| Réseau sécurisé | Pare-feu, pas de mots de passe par défaut |
| Protéger les données | Stockage minimal, chiffrement en transit et au repos |
| Gestion des vulnérabilités | Antimalware, développement et logiciels sûrs |
| Contrôle d'accès | Moindre privilège, identifiants uniques, accès physique |
| Surveillance | Journalisation, suivi des accès, tests réguliers |
| Politique de sécurité | Politique formelle et sensibilisation |
La version 4.0 renforce notamment l'authentification (MFA généralisée) et la sécurité applicative, avec des exigences devenues obligatoires en 2025.
Comment SOCLE vous aide
Section intitulée « Comment SOCLE vous aide »PCI DSS exige des contrôles ; SOCLE fournit les briques techniques pour les implémenter et les prouver.
- Protection des données : le chiffrement au repos et en transit et les exigences SOCLE de chiffrement et de clés.
- Pas de secrets en clair : toute la section gestion des secrets et la détection des secrets dans le code.
- Contrôle d'accès : l'IAM cloud et le modèle Zero Trust.
- Surveillance : la journalisation et l'audit.
- Logiciels sûrs : la famille Sécurité applicative et l'analyse des dépendances.
À retenir
Section intitulée « À retenir »- PCI DSS est un standard contractuel qui protège les données de cartes, pas une réglementation publique.
- Toute entité du flux de paiement est concernée ; la preuve passe par un SAQ ou un ROC selon le volume.
- Réduire le périmètre (tokenisation, externalisation) est la stratégie la plus efficace.
- SOCLE couvre directement chiffrement, secrets, accès, journalisation et sécurité applicative.
FAQ : questions fréquentes
Section intitulée « FAQ : questions fréquentes »Prochaines étapes
Section intitulée « Prochaines étapes »Ressources officielles
Section intitulée « Ressources officielles »- PCI Security Standards Council, les documents officiels et le catalogue des SAQ