ROC : Report on Compliance (PCI DSS)
Sécurité
ROC : Report on Compliance, rapport de conformité à la norme PCI DSS (Payment Card Industry Data Security Standard) rédigé à l'issue d'une évaluation. « Le document qui atteste qu'à telle date, tout était en ordre », par analogie avec le procès-verbal du contrôle technique, qui certifie les freins du jour de la visite et ne dit rien de ceux du lendemain.
Qui le rédige : Un évaluateur qualifié, le QSA (Qualified Security Assessor), ou dans certains cas un auditeur interne certifié, l'ISA (Internal Security Assessor). Il suit les procédures de test de la norme exigence par exigence et consigne pour chacune la conclusion et les preuves examinées, selon un modèle imposé par le PCI Security Standards Council.
Qui en a besoin : Les commerçants qui traitent les plus gros volumes de transactions et les prestataires de services de niveau 1, selon des seuils fixés par chaque réseau de cartes et non par la norme. Les plus petits remplissent un questionnaire d'auto-évaluation (SAQ, Self-Assessment Questionnaire). Le rapport s'accompagne d'une attestation de conformité (AOC, Attestation of Compliance), seule pièce que les partenaires voient en général.
Validité : Il est renouvelé chaque année et décrit un état à la date de l'évaluation. La version de la norme en vigueur est la 4.0.1, publiée en juin 2024, et les exigences de la version 4 qui étaient différées sont obligatoires depuis le 31 mars 2025.
Ce qu'il ne dit pas : Un ROC ne garantit pas que les contrôles fonctionneront le lendemain. Plusieurs entreprises victimes de vols massifs de données de cartes avaient été déclarées conformes peu avant l'intrusion, ce qui illustre assez bien la différence entre une photographie et un film.
Ce qui arrive si on s'en passe
Sans ROC, un commerçant ou un prestataire de niveau 1 ne peut pas démontrer sa conformité à sa banque acquéreuse ni à ses clients : pénalités du réseau de cartes répercutées par la banque, frais relevés, voire retrait du droit d'accepter les cartes. Le danger inverse est plus sournois : traiter le rapport comme une fin en soi. On prépare la visite de l'évaluateur, on range le périmètre, puis on rouvre les flux « temporaires » dès son départ. L'intrusion suivante trouve un système conforme sur le papier, ce qui ne console que le papier.
Explication de la marmotte
Les entreprises qui manipulent des numéros de carte bancaire doivent respecter des règles de sécurité appelées PCI DSS. Pour les plus grosses, un expert indépendant vient vérifier chaque règle et écrit un rapport détaillé : c'est le ROC. Ce rapport est refait tous les ans. Il montre que tout était en ordre le jour du contrôle, mais l'entreprise doit continuer à protéger les cartes tous les autres jours.
Où ce terme est utilisé
- Auditer un HSM pour la conformité PCI DSS dans les paiements (2 occurrences)