Pour stocker les informations de la carte du client légalement et en toute sécurité, les entreprises doivent utiliser un chiffrement ou une jetonisation avancés pour protéger les données du titulaire de la carte, garantissant que les informations sensibles ne sont jamais conservées après l'autorisation. Ce processus est strictement régi à l'échelle mondiale par la norme de sécurité de l'industrie des cartes de paiement (PCI DSS), un ensemble obligatoire de cadres de sécurité établis par les principaux réseaux de cartes pour prévenir les violations de données et la fraude financière.

La fraude par carte de crédit est un problème grave et répandu : aux États-Unis, par exemple, 61 % des titulaires de cartes de crédit ont été victimes de fraude. Pour les entreprises, le stockage sécurisé des données des cartes des clients est une garantie importante contre la fraude.

Que contient cet article?

• Comment fonctionne le stockage des cartes ?
  
• Qu'est-ce que la conformité PCI DSS ?
  
• Normes PCI pour le stockage des cartes
  
• Bonnes pratiques pour le stockage des cartes
  
• Défis et solutions pour le stockage des cartes
  
• Comment Stripe peut vous aider
  

Principes du stockage des informations de carte bancaire

La sauvegarde des cartes désigne la conservation par les entreprises des informations relatives aux cartes de paiement de leurs clients, notamment les numéros des cartes de crédit et de débit et les détails d'identification associés. Les quatre catégories de données que les entreprises sauvegardent généralement sont le nom du titulaire de la carte, le numéro de compte principal (PAN), la date d'expiration et le code de service.

Les entreprises peuvent choisir parmi une variété de systèmes pour la sauvegarde des cartes, qui impliquent généralement des composants tels que des systèmes de stockage de données dédiés, des techniques de chiffrement et de jetonisation, ainsi que des outils de prévention de la perte de données (DLP).

La gestion interne des identifiants de paiement expose l'organisation à de graves responsabilités juridiques, à des audits de sécurité coûteux et à des dommages potentiels pour son image de marque en cas de violation. C'est pourquoi le commerce numérique moderne isole les données financières sensibles à l'aide d'un cadre en trois parties qui transfère le risque hors du réseau interne de l'entreprise :

• Interception : Des champs de texte sécurisés (comme les iFrames) s'intègrent directement sur la page de paiement, interceptant les données brutes de la carte au moment de la saisie, de sorte qu'elles contournent complètement les serveurs Web de l'entreprise.

• Jetonisation : Le prestataire de services de paiement verrouille les véritables informations de la carte dans un coffre-fort numérique hors site et hautement protégé, et génère une chaîne de caractères aléatoire et impossible à pirater appelée jeton.

• Sauvegarde : L'entreprise sauvegarde uniquement ce jeton inoffensif dans sa base de données clients et le transmet au prestataire pour autoriser en toute sécurité les transactions futures sans jamais manipuler de données financières brutes.

Qu’est-ce que la conformité PCI DSS?

La norme PCI DSS est un ensemble de normes de sécurité qui régissent la façon dont les entreprises doivent accepter, traiter, stocker et transmettre les informations de carte de crédit. Cette norme protège les données des titulaires de carte contre la fraude et le vol, et toute organisation qui gère des transactions par carte de crédit doit s'y conformer. La norme PCI DSS est gérée par le Payment Card Industry Security Standards Council, qui a été fondé par les principales sociétés de cartes de crédit telles que Visa, Mastercard, American Express, Discover et JCB. Se conformer à la norme PCI DSS aide les entreprises à réduire le risque de violation de données et à s'assurer que leurs transactions par carte sont sécurisées.

À proprement parler, la norme PCI DSS n'est pas une loi. Il n'y a aucune exigence légale en matière de conformité. Il s'agit plutôt d'une norme de sécurité développée par l'industrie. Cependant, la considérer uniquement comme une recommandation volontaire de l'industrie est une erreur critique. La norme PCI DSS fonctionne comme une exigence contractuelle obligatoire.

Les exigences juridiques privées sont écrites directement dans les accords avec les marchands et les conditions d'utilisation du service des entreprises que chaque entreprise doit signer avec les processeurs de paiement, les banques acquéreuses et les réseaux de marchands avant de pouvoir accepter les paiements électroniques. Si vous souhaitez traiter les cartes de crédit, vous êtes tenu par contrat de maintenir ces normes.

Normes PCI relatives au stockage des informations de carte

Les exigences de la norme PCI DSS en matière de stockage des informations de carte par les entreprises sont les suivantes.

• Limiter le stockage des données : Stockez uniquement les données du titulaire de la carte qui sont nécessaires aux besoins de l'entreprise. Ne stockez pas les données d'authentification sensibles après l'autorisation, même si elles sont chiffrées. Cela inclut les données telles que la piste magnétique complète, le code de validation de la carte ou le numéro d'identification personnel (NIP) / le bloc NIP.

• Protéger les données stockées : Chiffrez toutes les données stockées des titulaires de cartes, y compris le PAN, qui doivent être rendues illisibles partout où elles sont stockées à l'aide de méthodes telles que la cryptographie.

• Limiter l'accès aux données : L'accès aux données des titulaires de cartes doit être limité aux personnes dont l'emploi nécessite un tel accès. Mettez en œuvre une politique du besoin d'en connaître qui restreint l'accès.

• Créer des identifiants uniques : Attribuez un identifiant unique à chaque personne ayant accès à l'ordinateur aux données des titulaires de cartes. Après une violation de données, cela permet de savoir qui a accédé aux données.

• Protéger les emplacements physiques : Protégez les emplacements physiques où les données des titulaires de cartes sont stockées. Cela comprend des mesures telles que la surveillance, l'accès restreint aux zones de stockage des données et les systèmes de stockage sécurisés.

• Définir des politiques de conservation et d'élimination : Élaborez une politique de conservation des données qui supprime les données des titulaires de cartes dès qu'elles ne sont plus nécessaires. Supprimez ce type de données et assurez-vous qu'elles ne peuvent pas être récupérées.

• Utiliser des clés de chiffrement : Gérez et implémentez l'utilisation de protocoles de sécurité et de cryptographie forts tels que Secure Sockets Layer (SSL) / Transport Layer Security (TLS) ou Internet Protocol Security (IPSEC) pour protéger les données sensibles des titulaires de cartes pendant la transmission sur des réseaux ouverts et publics.

Bonnes pratiques en matière de stockage des informations de carte

Les entreprises peuvent emprunter plusieurs chemins pour se conformer aux exigences de conformité PCI. De bonnes pratiques aideront les entreprises à protéger les informations de carte de leurs clients et à garantir la conformité PCI de façon à préserver l'expérience utilisateur.

• Minimiser le stockage des données du titulaire de la carte : Stockez uniquement les informations requises sur le titulaire de la carte pour la facturation récurrente et évitez de conserver des données sensibles à moins que cela ne soit absolument nécessaire. Utilisez une API spécialisée pour les paiements des clients sans stocker les cartes. Réduire la quantité de données stockées peut minimiser les risques et simplifier les efforts de conformité.

• Adopter la norme de chiffrement avancée (AES) : Utilisez AES avec une clé de 256 bits pour le chiffrement lors du stockage des numéros de carte de crédit dans une base de données. Cette méthodologie s'aligne sur les meilleures pratiques actuelles et surpasse les exigences minimales de conformité.

• Implémenter le chiffrement de bout en bout (E2EE) : Au-delà des pratiques de chiffrement de base, déployez l'E2EE pour protéger les données des titulaires de cartes du point de capture jusqu'à ce qu'elles atteignent l'environnement de traitement sécurisé.

• Améliorer les mécanismes de contrôle d'accès : Utilisez l'authentification multifacteur et des contrôles d'accès précis basés sur les rôles pour vous assurer que seul le personnel autorisé peut accéder aux données sensibles des titulaires de cartes. Ayez une piste d'audit claire pour tous les accès et toutes les mesures prises.

• Intégrer les outils DLP : Mettez en œuvre des stratégies DLP pour surveiller et contrôler le transfert de données, empêcher l'exfiltration de données non autorisées et garantir que les données des titulaires de cartes ne sont pas stockées ou distribuées de manière inappropriée.

• Effectuer des tests de sécurité réguliers : Pour identifier et corriger de manière proactive les faiblesses potentielles en matière de sécurité, effectuez des tests d'intrusion sophistiqués et des évaluations de vulnérabilité au-delà des exigences standard PCI DSS. Créez une liste de contrôle PCI pour les développeurs.

• Envisager des techniques de jetonisation avancées : Envisagez d'utiliser la jetonisation dynamique, dans laquelle les jetons varient avec chaque transaction, pour fournir une couche de sécurité supplémentaire et réduire davantage l'utilité des données interceptées.

• Employer une surveillance de la conformité automatisée : Utilisez des outils automatisés pour surveiller en permanence la conformité aux normes PCI DSS et détecter et traiter rapidement tout écart.

• Utiliser une architecture zero trust : Adoptez un cadre de sécurité zero trust qui suppose que tous les utilisateurs, même ceux de l'organisation, pourraient potentiellement compromettre les données des titulaires de cartes. Appliquez des principes de vérification stricts et d'accès minimal.

• Explorer les outils de cryptographie résistants aux ordinateurs quantiques : Pour vous protéger contre les nouvelles menaces posées par l'informatique quantique, explorez l'intégration d'algorithmes cryptographiques résistants aux ordinateurs quantiques.

• Élaborer un plan d'intervention : Ayez un plan pour répondre aux incidents de sécurité. En cas de violation de données, vous devez être en mesure d'identifier rapidement le problème, de contenir la violation et d'atténuer les dommages potentiels.

Stockage des informations de carte : difficultés et solutions

Le stockage des cartes est étroitement lié à de nombreux aspects de l'expérience client, à la façon dont les produits et les services sont accessibles et à la façon dont l'équipe interne gère son engagement avec les données des clients. Même les systèmes de stockage de cartes les mieux conçus créeront une quantité considérable de complexité. Voici quelques défis courants et des solutions :

Concevoir un stockage de cartes évolutif avec la croissance des transactions

• Défi : À mesure que les volumes de transactions augmentent, il peut être difficile de maintenir des performances élevées et la conformité PCI. Les problèmes d'évolutivité peuvent avoir des répercussions sur l'expérience client et l'efficacité opérationnelle.
  
• Solution : Implémentez des architectures de base de données distribuées qui peuvent gérer des débits de lecture/écriture élevés tout en maintenant la cohérence des données et la conformité. Utilisez des solutions cloud élastiques qui peuvent répondre de manière dynamique aux fluctuations de la demande et maintenir les performances sans compromettre la sécurité.
  

Moderniser les systèmes hérités tout en maintenant la conformité PCI

• Défi : De nombreuses organisations utilisent des systèmes hérités qui ne sont pas conçus pour répondre aux normes PCI DSS. Cela peut créer des lacunes en matière de conformité et de sécurité.
  
• Solution : Utilisez des couches d'abstraction de données ou des architectures orientées services pour encapsuler les systèmes hérités, en minimisant l'accès direct aux données des titulaires de carte. Envisagez de remplacer ou de moderniser les systèmes hérités au fil du temps en utilisant des microservices ou la conteneurisation pour améliorer l'agilité et la conformité.
  

Gérer les données des cartes transfrontalières et les exigences régionales en matière de confidentialité

• Défi : Différentes régions ont des réglementations différentes en matière de protection des données, et les exigences de conformité augmentent pour les entreprises lorsqu'elles stockent les données des titulaires de carte au-delà des frontières.
  
• Solution : Implémentez des solutions de résidence des données qui traitent et stockent les données conformément aux réglementations locales. Utilisez le stockage et le traitement des données basés sur la géolocalisation pour router et stocker automatiquement les données en fonction du lieu de résidence du titulaire de la carte et conformément aux exigences de conformité régionales.
  

Se défendre contre les menaces de sécurité avancées

• Défi : Parce que les attaquants changent continuellement de tactique, les organisations doivent lutter contre des cyberattaques de plus en plus sophistiquées et des menaces persistantes avancées (APT) qui peuvent contourner les mesures de sécurité conventionnelles.
  
• Solution : Adoptez une approche de sécurité à plusieurs niveaux qui inclut des mécanismes avancés de détection et de réponse aux menaces, tels que l'analyse comportementale pilotée par l'IA pour identifier et atténuer les menaces en temps réel. Mettez régulièrement à jour les plans de réponse aux incidents et de reprise après sinistre pour faire face aux nouveaux types de cybermenaces.
  

Rester conforme à mesure que les normes PCI DSS changent

• Défi : Les normes PCI DSS et les exigences réglementaires connexes changent continuellement, et rester conforme peut être un défi permanent.
  
• Solution : Établissez un programme de surveillance continue de la conformité qui utilise des outils de suivi et de reporting automatisés. Participez à des forums de l'industrie proactifs et à des collaborations pour rester au fait des nouvelles normes et intégrer les meilleures pratiques dans votre stratégie de conformité.
  

Garantir des données de carte précises et cohérentes entre les systèmes

• Défi : Il peut être difficile d'assurer l'intégrité et la cohérence des données des titulaires de carte sur une variété de systèmes et d'environnements de stockage, en particulier dans les architectures distribuées.
  
• Solution : Implémentez des cadres de gouvernance des données solides et utilisez des outils de gestion de la qualité des données qui maintiennent l'exactitude et la cohérence des données. Utilisez des techniques de synchronisation des données et de réplication qui respectent les propriétés d'atomicité, de cohérence, d'isolement et de durabilité (ACID) pour maintenir l'intégrité des données.
  

Comment Stripe peut vous aider

Collaborer avec Stripe peut aider les entreprises à réduire le fardeau lié à la conformité PCI DSS. En traitant les paiements avec Stripe, les entreprises ne manipulent pas directement les informations sensibles des cartes. Stripe utilise plutôt une gamme de fonctionnalités de sécurité avancées pour protéger les données de paiement, ce qui réduit la portée des responsabilités de conformité de l'entreprise. Stripe est un fournisseur de services certifié PCI de niveau 1, le niveau le plus élevé de conformité PCI, et gère la majorité des tâches de sécurité des données de carte. Ces fonctionnalités de Stripe assurent la sécurité des données des titulaires de carte tout en aidant les entreprises à rester conformes aux normes PCI :

• Jetonisation : Le service de jetonisation de Stripe remplace les informations de carte sensibles par des identifiants uniques (jetons), qui peuvent être sauvegardés en toute sécurité et utilisés pour les transactions sans exposer les informations de la carte.

• Chiffrement de bout en bout (E2EE) : Stripe chiffre toutes les données sensibles depuis le point de capture jusqu'à leur traitement dans son environnement sécurisé. Ce chiffrement de bout en bout réduit le risque d'interception des données pendant la transmission.

• Évolutivité : L'infrastructure de Stripe repose sur une plateforme infonuagique conçue pour traiter de grands volumes de transactions sans compromettre les performances. Les entreprises peuvent se développer sans avoir à se soucier du maintien des normes de conformité et de sécurité.

• Intégration avec les systèmes modernes et hérités : Stripe offre une prise en charge étendue des API (interfaces de programmation d'applications), ce qui facilite l'intégration avec les systèmes modernes et existants. Cette flexibilité aide les entreprises à moderniser leur traitement des paiements sans avoir besoin de remanier en profondeur les systèmes existants.

• Surveillance continue et mises à jour : Stripe surveille en permanence ses systèmes pour détecter les menaces et met régulièrement à jour ses mesures de sécurité afin de faire face aux nouvelles vulnérabilités. Les fonctionnalités de sécurité incluent des algorithmes d'apprentissage automatique qui détectent et préviennent la fraude.

• Conformité mondiale : Stripe opère à l'échelle mondiale et peut aider les entreprises à gérer les complexités de la résidence des données et de la conformité régionale au-delà des frontières.

• Gouvernance des données : L'infrastructure de Stripe soutient l'intégrité et la cohérence des données.

En s'appuyant sur Stripe pour gérer la majeure partie de la responsabilité concernant la sauvegarde sécurisée des cartes, le chiffrement des données, la conformité et l'évolutivité, les entreprises peuvent consacrer plus de temps à leurs opérations de base. Apprenez-en plus sur les normes de sécurité de Stripe Billing.