La norme PA-DSS joue un rôle essentiel dans la sécurité des paiements. Afin de garantir au titulaires de cartes de paiement la sécurité du traitement de leurs données lors des transactions, les fournisseurs de logiciels et autres entités impliquées dans le processus de paiement doivent répondre à la norme PA-DSS. En comprendre les tenants et les aboutissants est essentiel pour la gestion de la conformité de la part des entreprises.
Définition
La norme PA-DSS, pour Payment Application Data Security Standard (standard de sécurité des données d’application de paiement) est un ensemble de normes de sécurité mondiales conçues pour aider les fournisseurs de logiciels à développer des applications de paiement sécurisées. Ces applications ne stockent pas les données interdites, telles que la bande magnétique, le CVV2 ou le code PIN, et veillent à ce que le logiciel soit conforme aux normes de sécurité des données de l’industrie des cartes de paiement (Payment Card Industry Data Security Standards – PCI-DSS).
Qu’est-ce que la norme PCI-DSS ?
Cette norme de sécurité est cruciale car elle constitue la référence en matière de sécurisation des données des titulaires de cartes dans le monde entier. La conformité PCI permet d’éviter les fuites de données et de réduire le risque de fraude, en inspirant confiance aux clients et en protégeant la réputation des entreprises.
Quelle est la différence entre PCI-DSS et PA-DSS ?
La norme PCI-DSS s’applique à toutes les entreprises qui stockent, transmettent et traitent les données des titulaires de cartes. Elle couvre l’ensemble de l’écosystème de l’environnement des données des titulaires de cartes, et concerne la sécurité des applications de paiement, sans entrer dans le détail des applications elles-mêmes.
La norme PA-DSS, quant à elle, ne s’applique qu’aux fournisseurs qui développent des applications de paiement pour des tiers. Elle est gérée par le PCI Security Standards Council (PCI SSC), anciennement sous la supervision de Visa Inc. La norme garantit que ces applications ne stockent pas de données interdites, telles que la bande magnétique complète, le code ou la valeur de validation de la carte, ou le code PIN.
Une autre différence essentielle entre ces deux cadres est que l’obtention de la certification PA-DSS signifie qu’une application est conforme à la norme, mais ne signifie pas automatiquement que l’entreprise est conforme à la norme PCI-DSS.
À qui s’applique la norme PA-DSS ?
Si elle s’applique principalement aux fournisseurs d’applications de paiement tiers, elle s’étend également aux entreprises qui développent des applications de paiement pour leur usage privé. Elle ne s’applique pas aux applications de paiement proposées par les processeurs de paiement ou aux applications qui fonctionnent uniquement comme une passerelle vers un processeur.
Ses exigences de conformité :
-
Ne pas conserver l’intégralité de la bande magnétique, du code ou de la valeur de validation de la carte, ni des données du code PIN
Les applications de paiement doivent être conçues de manière à ce que les données sensibles ne soient pas stockées après l’autorisation.
-
Protéger les données stockées des titulaires de cartes
Les données stockées concernant les titulaires de cartes doivent être protégées par un chiffrement approprié ou par d’autres méthodes sécurisées. Les données des titulaires de cartes ne doivent jamais être stockées sur un serveur connecté à internet afin d’éviter les fuites de données.
-
Fournir des fonctions d’authentification sécurisées
L’application de paiement doit inclure une authentification sécurisée de l’utilisateur, telle que des mots de passe complexes, le chiffrement ou l’authentification à deux facteurs.
-
Enregistrer l’activité de l’application de paiement
Toutes les actions effectuées dans le cadre de l’application de paiement doivent être enregistrées et les journaux doivent être accessibles à des fins d’audit.
-
Développer des applications de paiement sécurisé
Le processus de développement des logiciels doit suivre des pratiques de codage sécurisées, et les applications qui en résultent doivent faire l’objet de tests et de révisions de code approfondis.
-
Protéger les transmissions sans fil
Les données transmises doivent être chiffrées si l’application de paiement utilise la technologie sans fil.
-
Tester les applications de paiement pour corriger les vulnérabilités
Des tests réguliers doivent être effectués pour identifier et corriger les éventuelles failles de sécurité de l’application de paiement.
-
Faciliter la mise en place d’un réseau sécurisé
L’application de paiement ne doit pas interférer avec l’utilisation des mesures de sécurité du réseau, telles qu’un pare-feu.
-
Faciliter les mises à jour logicielles sécurisées à distance
Si l’application de paiement permet des mises à jour à distance, celles-ci doivent être effectuées de manière sécurisée afin d’éviter tout accès non autorisé.
-
Assurer un accès à distance sécurisé à l’application de paiement
Tout accès à distance à l’application de paiement doit être sécurisé.
-
Chiffrer le trafic sensible sur les réseaux publics
Les données sensibles transmises sur les réseaux publics doivent être chiffrées pour éviter toute interception.
-
Chiffrer tous les accès administratifs non-consoles
L’accès administratif à l’application de paiement doit être chiffré s’il est effectué via un réseau.
-
Fournir aux clients, aux revendeurs et aux intégrateurs une documentation pédagogique et des programmes de formation actualisés
Les éditeurs de logiciels doivent fournir une documentation et une formation suffisantes pour que les utilisateurs finaux puissent mettre en place puis gérer leurs applications de paiement en toute sécurité.
Comment obtenir la conformité PA-DSS
1. Évaluez la demande de paiement
La première étape de la mise en conformité avec la norme PA-DSS consiste en une évaluation approfondie de l’application de paiement au regard de ses exigences.
2. Remédiez aux vulnérabilités identifiées
Toute vulnérabilité identifiée lors de l’évaluation doit être traitée et corrigée.
3. Validation
Une fois les vulnérabilités corrigées, un PA-QSA (Payment Application Qualified Security Assessor) doit valider l’application.
4. Élaboration du rapport
L’assesseur établit un rapport de validation qui est ensuite envoyé au PCI SSC.
5. Affichage sur le site web du PCI SSC
Une fois que le PCI SSC a accepté le rapport, l’application de paiement est répertoriée sur son site web comme étant conforme à la norme PA-DSS.
Pour les entreprises
Il est essentiel pour les entreprises développant ou utilisant des applications de paiement de comprendre et d’implémenter la norme PA-DSS. Elle permet non seulement de garantir le traitement sécurisé des données sensibles des titulaires de cartes, mais aussi d’aider les entreprises à montrer leur engagement en ce qui concerne la sécurité de leurs clients. En suivant les étapes décrites, les entreprises peuvent se mettre en conformité avec la norme PA-DSS et contribuer à un environnement de paiement plus sûr.
