Points clés
- Délimitez et isolez l’environnement des données des titulaires de cartes en cartographiant les systèmes qui les stockent, les traitent ou les transmettent.
- Reliez chaque exigence PCI DSS à un contrôle, une preuve, un responsable et une fréquence de revue, pour une préparation aux audits reproductible.
- Standardisez les références de configuration sécurisées, les SLA de mise à jour selon la criticité, les analyses de vulnérabilités et les délais de remédiation sur tous les systèmes du CDE.
- Exigez le MFA (authentification forte) pour les administrateurs et les fournisseurs du CDE, appliquez le moindre privilège basé sur les rôles et revoyez les accès chaque trimestre.
- Centralisez les journaux du CDE, déclenchez des alertes sur les échecs de connexion et les changements de configuration, et retestez la segmentation après chaque changement majeur.
- Constituez des dossiers de preuves mensuels et tenez un registre des exceptions : des rapports manquants, des actifs mal classés ou un MFA non appliqué affaiblissent la conformité.
La norme PCI DSS (Payment Card Industry Data Security Standard) définit la manière dont les entreprises doivent protéger les données des titulaires de cartes et sécuriser leurs environnements de paiement. Pour les fournisseurs de services gérés (MSP), respecter les exigences PCI DSS consiste à traduire le langage de la conformité en processus opérationnels simples à mettre en place et à suivre, mesurables, auditables et démontrables.
Ce guide propose une check-list concrète pour délimiter l’environnement des données des titulaires de cartes (CDE). Elle porte sur le durcissement, les mises à jour, le contrôle des accès et la collecte de preuves, afin que les MSP restent conformes et réduisent le temps consacré aux audits sans ralentir leurs prestations.
Comment construire une check-list opérationnelle PCI DSS pour les MSP
Comprendre la conformité PCI commence par la transformation de chaque exigence ou norme en tâches concrètes que les équipes peuvent exécuter. Les MSP maintiennent leur conformité en associant à chacune d’elles des contrôles, des preuves et des responsables : les audits deviennent alors une routine plutôt qu’une réaction d’urgence.
📌Prérequis :
- Vous devez disposer de schémas de flux de données à jour pour les données des titulaires de cartes, de schémas réseau actualisés et d’un inventaire complet des actifs.
- Cela suppose un modèle d’accès basé sur les rôles clairement défini, couvrant les administrateurs, les comptes de service et les fournisseurs.
- Vous devez disposer de références de configuration, d’accords de niveau de service (SLA) définis et d’un processus cohérent de gestion des vulnérabilités.
- Ce processus nécessite une journalisation et une surveillance centralisées, ainsi qu’un référentiel partagé pour les preuves : documents, exports et captures d’écran.
- Vous devrez tenir un registre des exceptions et des mesures compensatoires.
Étape 1 : définir le périmètre et réduire le CDE au regard des exigences PCI DSS
Délimiter le périmètre est la première étape vers la conformité PCI. En cartographiant les flux de données des titulaires de cartes et en limitant leur environnement de données (CDE), les MSP concentrent les contrôles là où ils sont réellement nécessaires et simplifient les audits.
📌 Cas d’usage :
- Cette étape s’applique lorsqu’il s’agit d’identifier les systèmes qui stockent, traitent ou transmettent des données de titulaires de cartes.
- Elle réduit les risques de non-conformité en maintenant le CDE aussi restreint et isolé que possible.
📌 Prérequis :
- Vous devez disposer de schémas réseau à jour, de cartographies des flux de données et d’un inventaire des actifs actualisé.
- Cela nécessite un accès aux outils de gestion de configuration ou RMM pour étiqueter et classer les systèmes.
Voici les actions à mener :
- Identifiez les systèmes qui stockent, traitent ou transmettent des données de titulaires de cartes, et mettez à jour tous les schémas.
- Placez les CDE sur un réseau dédié et limitez qui, ou quoi, peut y accéder.
- Étiquetez chaque système selon qu’il traite directement des données de titulaires de cartes, qu’il se connecte à ces systèmes ou qu’il est hors périmètre.
Résultat : vous obtenez un périmètre clairement défini et documenté, qui limite l’exposition et permet de calibrer correctement les contrôles et les audits.
Étape 2 : créer une matrice exigence, contrôle et preuve pour la liste des exigences PCI
Une check-list des exigences PCI DSS devient bien plus simple à gérer lorsque chaque exigence est rattachée à un contrôle, à un responsable et à une preuve de conformité. Cette étape transforme le langage PCI en actions compréhensibles, reproductibles et auditables pour les MSP.
📌 Cas d’usage :
- Cette étape s’applique lorsque les MSP doivent décliner chaque exigence PCI DSS en surveillance quotidienne et en préparation aux audits.
- Elle permet de créer une structure reproductible garantissant que chaque exigence produit des résultats mesurables.
📌 Prérequis :
- Vous devez avoir accès à la liste complète des 12 exigences PCI DSS.
- Il vous faudra les données de configuration, les registres de responsabilité des politiques et l’accès aux référentiels de preuves d’audit.
Pour chaque exigence, définissez les éléments suivants :
- Contrôle : ce que vous faites
- Preuve : ce que vous montrez
- Responsable : qui s’en assure
- Fréquence : à quel rythme l’élément est revu
Voici quelques exemples d’entrées de matrice :
- Pare-feu et segmentation > revues des jeux de règles, journaux de modifications, exports de configuration.
- Aucun réglage par défaut du fournisseur > check-lists de durcissement, références de configuration, rapports de dérive.
- Protéger les données stockées > chiffrement au repos, journaux de gestion des clés, confirmations de périmètre.
- Chiffrer les données en transit > paramètres TLS, configuration des suites de chiffrement, rapports sur les certificats.
- Protection contre les malwares > couverture antivirus/EDR (détection et réponse sur les terminaux), journaux de mises à jour, registre des exceptions.
- Sécuriser les systèmes et les applications > rapports de correctifs, analyses de vulnérabilités, SLA de remédiation.
- Restreindre l’accès au strict nécessaire > cartographies RBAC, demandes d’accès, validations d’exceptions.
- Identifier et authentifier > application du MFA (authentification forte), politiques de mots de passe et attestations des administrateurs.
- Sécurité physique > listes d’accès, journaux de badges ou relevés d’audit des entrées.
- Journalisation et surveillance > conservation centralisée des journaux, règles d’alerte et tickets d’incident.
- Test des contrôles > analyses de vulnérabilités, tests de segmentation ou vérifications déclenchées par les changements.
- Politique de sécurité et gouvernance > politiques publiées, informations sur les responsables et journaux de formation.
Résultat : vous disposez d’une check-list reproductible qui relie chaque exigence PCI DSS à un contrôle. Vous disposez également de données présentables lors des revues mensuelles et transmissibles à l’évaluateur.
Étape 3 : standardiser le durcissement et la gestion des correctifs pour les exigences PCI DSS
Rester conforme à PCI repose en grande partie sur des systèmes verrouillés et à jour. Les MSP gardent bien plus facilement une longueur d’avance sur les vulnérabilités, et leurs check-lists PCI DSS en bon état, s’ils s’en tiennent à des standards de configuration stables.
📌 Cas d’usage :
- Cette étape s’applique à la gestion des mises à jour, des configurations ou des analyses de vulnérabilités au sein de l’environnement des données des titulaires de cartes (CDE).
- Elle permet d’éviter les dérives de configuration et garantit que les systèmes respectent les référentiels de conformité.
📌 Prérequis :
- Il vous faudra des modèles de références de configuration conformes aux standards CIS ou NIST.
- Vous devriez également avoir défini des SLA de mise à jour selon la criticité et le type d’actif.
Voici ce qu’il faut faire :
- Appliquez des références de configuration sécurisées sur tous les systèmes du CDE et surveillez les dérives.
- Assurez-vous que les SLA de mise à jour sont liés à la criticité et suivez la progression de chaque groupe d’actifs.
- Planifiez des analyses de vulnérabilités internes et externes à intervalles réguliers.
- Transmettez vos constats aux bons responsables avec des échéances claires, pour que rien ne passe entre les mailles du filet.
Résultat : vous obtenez un processus de gestion des vulnérabilités reproductible et mesurable qui maintient les systèmes verrouillés. Il vous fournit aussi des preuves solides pour les audits.
Étape 4 : appliquer des contrôles d’accès stricts et le MFA pour les exigences PCI DSS
Limiter les accès occupe une place centrale dans PCI DSS. En imposant le MFA (authentification forte) et en s’en tenant au moindre privilège, les MSP réduisent à néant les possibilités d’accès indu au CDE tout en renforçant la conformité.
📌 Cas d’usage :
- Cette étape s’applique lors de la définition ou de la revue des accès des utilisateurs, des administrateurs et des fournisseurs aux systèmes inclus dans le périmètre de conformité PCI.
- Elle maintient vos contrôles basés sur les rôles et garantit que les accès privilégiés sont vérifiés et consignés.
📌 Prérequis :
- Vous devez disposer d’un modèle RBAC à jour qui précise quels utilisateurs bénéficient de quels privilèges.
- Cela nécessite une configuration MFA (authentification forte) compatible avec vos comptes internes comme avec les points d’accès des fournisseurs.
Actions à réaliser :
- Exigez le MFA (authentification forte) pour tous les accès administrateurs au CDE, ainsi que pour les connexions des fournisseurs.
- Utilisez le RBAC pour appliquer un véritable accès « au strict nécessaire », et revoyez-le chaque trimestre.
- Séparez les fonctions d’administration et d’audit, renouvelez les identifiants et surveillez l’usage des comptes de service.
Résultat : les accès correspondent au rôle de chaque utilisateur, sont revus régulièrement et sont protégés par le MFA (authentification forte), conformément aux exigences PCI DSS.
Étape 5 : centraliser la journalisation, la surveillance et les tests de contrôles
En consolidant la journalisation et en réalisant des tests réguliers, les MSP peuvent déterminer si leurs contrôles répondent aux standards PCI.
📌 Cas d’usage :
- Cette étape s’applique lors de la mise en place ou de la validation de la surveillance de sécurité sur les systèmes du CDE.
- Elle aide à détecter les accès non autorisés, les dérives de configuration ou les défaillances de contrôles.
📌 Prérequis :
- Vous devez disposer d’une plateforme centralisée de gestion des journaux ou d’un SIEM (Security Information and Event Management) capable de collecter et de conserver les journaux du CDE.
- Il vous faudra des seuils d’alerte clairs, un calendrier de tests établi et des politiques de conservation alignées sur vos exigences de conformité.
Tâches à effectuer :
- Envoyez tous les journaux du CDE vers une plateforme de surveillance centralisée et conservez-les selon votre politique de rétention.
- Configurez des alertes pour les échecs de connexion, les changements de configuration et tout comportement suspect.
- Retestez la segmentation de votre réseau (règles de pare-feu, VLAN, etc.) dès qu’un changement majeur intervient.
- Lancez des analyses de vulnérabilités et des tests de contrôles ciblés à intervalles réguliers, et veillez à documenter vos constats comme vos corrections.
Résultat : vous obtenez une détection homogène, des investigations plus rapides et des preuves solides, prêtes pour l’audit, qui montrent que la surveillance et la validation de vos contrôles fonctionnent.
Étape 6 : constituer le dossier de preuves mensuel et le registre des exceptions
Une collecte régulière des preuves garde votre check-list PCI DSS à jour et prête pour un audit. En regroupant les rapports, vous démontrez une progression constante et repérez les écarts de conformité avant la période d’évaluation.
📌 Cas d’usage :
- Cette étape vous aide à maintenir des preuves d’audit sur plusieurs environnements clients.
- Elle permet aux équipes de rester organisées, de compiler et de documenter l’état de conformité, et d’éviter le travail de dernière minute.
📌 Prérequis :
- Il vous faudra un emplacement centralisé (un dossier cloud, par exemple) pour stocker rapports, captures d’écran et attestations de politiques.
- Il vous faudra aussi un registre des exceptions à jour, qui recense les responsables, les échéances et les éventuelles mesures compensatoires.
Ce qu’il faut faire :
- Exportez et conservez tout ce dont vous avez besoin : rapports de correctifs, résultats d’analyses, revues du MFA (authentification forte) et des accès, revues des règles de pare-feu, synthèses d’alertes et attestations de politiques.
- Tenez un registre des exceptions qui indique ce qui n’est pas conforme, qui en est responsable, à quelle échéance et quelles mesures compensatoires s’appliquent. Revoyez-le chaque trimestre.
- Mettez à jour votre SAQ et votre AOC au besoin, et notez les retours de l’évaluateur pour ne pas repartir de zéro la fois suivante.
Résultat : vous obtenez un dossier de preuves clair et régulièrement actualisé, qui facilite les audits, accélère les renouvellements et démontre votre conformité tout au long de l’année.
⚠️ Points de vigilance
| Risques | Conséquences possibles | Mesures correctives |
| Preuves non collectées ou incohérentes | L’absence de rapports ou de journaux peut retarder les audits et affaiblir vos preuves de conformité. | Automatisez les exports de preuves et vérifiez chaque mois que les rapports sont bien enregistrés. |
| Actifs en doublon ou mal classés | Des systèmes hors CDE peuvent hériter de contrôles inutiles, ou être totalement oubliés. | Revoyez le périmètre chaque trimestre et vérifiez l’exactitude de l’étiquetage des actifs. |
| Accès expirés ou MFA (authentification forte) non appliqué | Des identifiants expirés ou une configuration MFA insuffisante peuvent exposer le CDE à des accès non autorisés. | Imposez le renouvellement des identifiants, validez les configurations MFA et documentez les revues. |
Simplifier la conformité PCI DSS pour les MSP
PCI DSS devient gérable dès lors qu’on la traite comme un processus continu, et non comme une formalité annuelle. Délimiter le périmètre, relier chaque exigence à un contrôle et à une preuve précis, puis entretenir des preuves mensuelles : la conformité devient une routine plutôt qu’une réaction d’urgence.
Sujets connexes :
