DSS : Payment Card Industry Data Security Standard (PCI DSS)
Sécurité
DSS : Data Security Standard, employé presque toujours dans PCI DSS, Payment Card Industry Data Security Standard, norme de sécurité des données de cartes de paiement. « Les règles qu'impose l'industrie de la carte bancaire à quiconque touche un numéro de carte », par analogie avec le règlement intérieur d'une copropriété, rédigé par le syndic et opposable à tous ceux qui ont eu le malheur d'emménager.
Qui l'édicte : Le PCI SSC (Payment Card Industry Security Standards Council), créé en 2006 par American Express, Discover, JCB, Mastercard et Visa. Ce n'est pas une loi mais une obligation contractuelle : les réseaux de cartes l'imposent aux banques, qui l'imposent aux commerçants et prestataires, chacun transmettant l'obligation au suivant avec un soin admirable.
Contenu : Douze exigences de haut niveau : sécurité du réseau, configuration des systèmes, protection des données de compte stockées et transmises, gestion des vulnérabilités, contrôle d'accès, authentification, journalisation, tests et politique de sécurité. Pour les clés cryptographiques, elle exige notamment la connaissance partagée et le double contrôle lorsque des clés sont manipulées en clair.
Versions : La version 4.0 est parue en mars 2022 et la 3.2.1 a été retirée fin mars 2024 ; la révision 4.0.1, publiée en 2024, est la référence courante, et les exigences de la v4 annoncées comme futures sont devenues obligatoires le 31 mars 2025.
Homonyme : DSS désigne aussi le Digital Signature Standard du NIST (FIPS 186), qui définit notamment l'algorithme de signature DSA.
Ce qui arrive si on s'en passe
Un commerçant ou un prestataire qui néglige PCI DSS stocke souvent des données de carte qu'il n'avait pas besoin de garder, sur des systèmes mal cloisonnés, dans des journaux non surveillés. Le jour de la fuite, les cartes sont réémises aux frais de quelqu'un, et ce quelqu'un est lui : pénalités des réseaux de cartes, coût des enquêtes, voire perte du droit d'accepter les cartes. La conformité obtenue une fois par an pour l'audit, puis oubliée, offre exactement le même résultat avec un certificat encadré au mur.
Explication de la marmotte
Toute entreprise qui accepte les cartes bancaires doit respecter un ensemble de règles appelé PCI DSS, fixé par les grands réseaux de cartes comme Visa et Mastercard. Ces règles demandent par exemple de chiffrer les numéros de carte, de limiter qui peut y accéder et de surveiller les systèmes. Une entreprise qui ne les respecte pas risque des amendes et peut perdre le droit d'accepter les paiements par carte.
Où ce terme est utilisé
- Auditer un HSM pour la conformité PCI DSS dans les paiements (7 occurrences)
- Pourquoi les certifications pénalisent les PME rigoureuses (5 occurrences)
- Faille Target 2013, alertes FireEye ignorées et segmentation (4 occurrences)
- Sécurité des systèmes bancaires et financiers (4 occurrences)
- Sécuriser un paiement e-commerce contre la fraude (3 occurrences)
- Sécuriser une transaction bancaire contre rejeu et falsification (2 occurrences)
- Module cryptographique matériel et PKCS#11 (1 occurrence)
- Normes (1 occurrence)