Les entreprises qui ne respectent pas le PCI font face à des pénalités et violations, ainsi que des conséquences moins tangibles comme la perte de confiance des clients.
Pour éviter ces conséquences, il est essentiel que vous compreniez si votre entreprise entre dans le cadre du PCI DSS.
À Qui S'Applique le PCI DSS?
Le PCI DSS s'applique à toute entreprise qui accepte, traite, stocke ou transmet des données de titulaire de carte. La norme s'applique également à toute organisation qui pourrait impacter la sécurité des données des titulaires de carte.
La norme PCI DSS divise les entreprises en deux grandes catégories: les commerçants et les prestataires de services. Nous discutons ci-dessous des différences entre les deux.
PCI DSS pour les commerçants
Un commerçant est toute entreprise qui accepte des paiements par carte portant le logo de l'une des cinq grandes sociétés de cartes de crédit : American Express, Visa, Mastercard, Discover et JCB.
Les étapes pour se conformer au PCI DSS varieront selon le niveau de conformité PCI de votre entreprise ou les exigences spécifiques de votre banque acquéreuse. Ces niveaux sont déterminés par le nombre de transactions par carte que votre entreprise traite en une année donnée.
Voici une répartition des niveaux de conformité des commerçants :
- Niveau 1 : Commerçants traitant plus de 6 millions de transactions par carte chaque année
- Niveau 2 : Commerçants traitant entre 1 million et 6 millions de transactions chaque année
- Niveau 3 : Commerçants traitant entre 20 000 et 1 million de transactions chaque année
- Niveau 4 : Commerçants traitant moins de 20 000 transactions chaque année
PCI DSS pour les prestataires de services
Un prestataire de services est directement impliqué dans le traitement, le stockage ou la transmission des données de titulaire de carte pour le compte d'un commerçant.
Une entreprise qui fournit des services contrôlant ou pouvant affecter la sécurité des données des titulaires de carte est également considérée comme un prestataire de services.
Exemples courants de prestataires de services :
- Processeurs de paiement
- Fournisseurs de point de vente (POS) gérés
- Processeurs de transactions
- Passerelles de paiement
- Sociétés d'hébergement web
- Firme de marketing tiers
- Fournisseurs de maintenance POS
- Fournisseurs de solutions de pare-feu de réseau géré
Il existe deux niveaux de conformité pour les prestataires de services, déterminés par le nombre de transactions qu'ils stockent, traitent ou transmettent.
- Niveau 1 : Prestataires de services stockant, traitant ou transmettant plus de 300 000 transactions par carte de crédit chaque année
- Niveau 2 : Prestataires de services stockant, traitant ou transmettant moins de 300 000 transactions par carte de crédit chaque année
Votre niveau de prestataire de services aide à dicter les exigences de rapport que vous devrez respecter pour prouver votre conformité. Par exemple, un prestataire de services de Niveau 1 subira des audits annuels menés par un QSA pour prouver sa conformité, tandis qu'un prestataire de services de Niveau 2 remplira une SAQ D annuelle.
