L’environnement des données du titulaire de carte (CDE) désigne les mécanismes qui traitent, transmettent et stockent les renseignements des titulaires de cartes au sein d’une entreprise. Plus précisément, il s’agit de tous les composants du système qui participent directement au traitement des données des titulaires de cartes, à savoir les logiciels, le matériel informatique et toute autre procédure ou politique ayant une incidence sur la sécurité des transactions par carte de crédit et des données.

Ci-dessous, nous allons aborder ce que vous devez savoir sur le CDE : quel rôle il joue dans les paiements, comment il fonctionne et comment les entreprises peuvent mettre en place un environnement de paiement solide, sécurisé et fiable.

Contenu de cet article

• Quel rôle joue le CDE dans le secteur des cartes de paiement?
  
• Composants, exigences et types de données dans le CDE
  
• Exigences relatives à la norme PCI DSS pour un CDE
  
• Comment créer et maintenir un CDE sécurisé
  
• Comment gérer une violation de CDE
  

Quel est le rôle de l'environnement CDE dans le secteur des cartes de paiement ?

L'environnement CDE désigne l'infrastructure dans laquelle les données des cartes de paiement sont traitées, stockées ou transmises au sein d'une entreprise. Cet environnement comprend tous les systèmes techniques et opérationnels qui traitent les données relatives aux cartes de paiement. Vous trouverez dans cet article un descriptif de quelques-unes des fonctionnalités importantes assurées par l'environnement CDE au sein de l'écosystème des paiements.

• Protection des données des titulaires de carte : les entreprises exploitent l'environnement CDE pour protéger les informations de paiement des clients contre les accès non autorisés et les violations de données. En 2021, plus de 4 100 violations de ce genre ont été recensées, selon un rapport de Flashpoint et Risk Based Security. Le fait de disposer d'un environnement dédié permet aux entreprises de concentrer leurs mesures de sécurité là où elles sont le plus nécessaires.

• Conformité aux normes : les entités qui traitent les données des titulaires de carte doivent se conformer à la norme de sécurité des données de l'industrie des cartes de paiement (PCI DSS), et l'environnement CDE est précisément le point sur lequel elles dirigent leurs efforts de conformité pour respecter ces obligations.

• Atténuation des risques : l'environnement CDE permet aux entreprises d'identifier et de réduire les risques liés aux données des cartes de paiement. Compte tenu des répercussions potentielles d'une violation de données, il est fondamental de protéger ces données. À titre d'exemple, sur l'année 2013, une importante violation de cartes bancaires s'est produite au détriment de la société Target, occasionnant plus de 290 millions de dollars de pertes cumulées et une chute du cours des actions.

• Confiance des clients : un environnement CDE sécurisé peut renforcer la confiance des clients en leur prouvant que leurs informations de paiement sont en sécurité.

• Maintien de l'intégrité des transactions : l'environnement CDE assure que les transactions ont lieu de manière sûre et précise, en maintenant l'intégrité du processus de paiement.

• Évitement des implications légales et financières : les violations de données peuvent donner lieu à des poursuites judiciaires et à des pertes financières de grande ampleur. Les entreprises s'appuient donc sur l'environnement CDE pour se prémunir contre de telles menaces.

Une entreprise qui traite des données de cartes de paiement en l'absence de stratégie CDE efficace met en péril sa santé financière et sa réputation. Nous allons voir plus loin comment élaborer un plan réfléchi pour réduire au maximum les risques et tirer pleinement parti des avantages.

Composants, exigences et types de données dans le CDE

Au sein d’un CDE, plusieurs composants interagissent pour gérer les renseignements sensibles liés aux cartes de paiement. Voici un aperçu de ces composants, des exigences pour les protéger et des types de données qu’ils traitent :

Composants

• Matériel informatique : Cela comprend les serveurs et les postes de travail qui effectuent le traitement des paiements. Il englobe également les composants de réseau tels que les routeurs, les commutateurs et les pare-feu qui dirigent et protègent les données lorsqu’elles sont acheminées sur les réseaux.
  
• Terminaux de paiement : Il s’agit d’appareils physiques situés dans les points de vente dans lesquels les cartes de paiement des clients sont glissées, insérées ou présentées.
  
• Systèmes de stockage : Il s’agit des emplacements où les données des cartes de paiement sont conservées (fichiers numériques, bases de données ou sauvegardes). Cette catégorie comprend les supports amovibles tels que les clés USB et les bandes de sauvegarde.
  
• Domaines d’application : Il s’agit d’un logiciel qui traite les paiements, y compris les systèmes de point de vente et les plateformes de paiement en ligne.
  
• Contrôles d’accès : Il s’agit de systèmes conçus pour authentifier l’identité des utilisateurs qui accèdent au CDE, au travers d’un accès physique à des zones sécurisées et d’un accès numérique aux systèmes de données.
  

Exigences

• Chiffrement des données : Les données des cartes de paiement doivent être chiffrées en utilisant des normes cryptographiques strictes, en particulier lorsqu’elles sont transmises sur des réseaux ouverts ou publics.
  
• Gestion de l’accès : Seules les personnes autorisées doivent avoir accès au CDE, et leurs activités doivent être consignées et surveillées.
  
• Sécurité physique : L’accès physique au CDE doit être contrôlé et surveillé, et les points d’entrée doivent être protégés contre tout accès non autorisé.
  
• Essais réguliers : Des analyses et des essais d’intrusion réguliers sont nécessaires pour repérer et corriger les failles.
  
• Politiques de conservation et d’élimination des données : Les entreprises doivent mettre en place des politiques claires régissant la durée de conservation des données des titulaires de cartes et les procédures permettant de les éliminer en toute sécurité lorsqu’elles ne sont plus nécessaires.
  
• Gestion des fournisseurs : Si des tiers ont accès au CDE, ils doivent également respecter ces exigences de sécurité.
  

Types de données

• Renseignements sur le titulaire de la carte : Il s’agit notamment du nom du titulaire de la carte, du numéro de carte, de sa date d’expiration et du code de service, des renseignements que l’on trouve souvent au recto d’une carte de paiement.
  
• Données d’authentification sensibles : Cela s’applique à des éléments tels que le code de sécurité de la carte (le code de vérification de la carte [CVV] ou CVV2), les numéros d’identification personnels (NIP) et la bande magnétique ou données de la puce, qui sont utilisés pour authentifier les titulaires de cartes et autoriser les transactions.
  

Le CDE devrait être une préoccupation prioritaire pour toute entreprise qui traite des paiements clients, quels que soient son secteur d’activité, son volume de paiements ou d’autres facteurs de risque. Les entreprises qui comprennent les composants de leur CDE et respectent les exigences de sécurité peuvent protéger efficacement les renseignements des titulaires de carte contre les violations et les abus.

Exigences relatives à la norme PCI DSS pour un CDE

La norme PCI DSS fournit des repères pour la sécurisation des données de carte de paiement au sein du CDE. Ces normes complètes et détaillées sont conçues pour protéger les données des titulaires de cartes, de leur utilisation jusqu’à la fin du traitement de la transaction et au-delà. Voici une description détaillée des principales exigences :

• Installer et maintenir à jour la configuration du pare-feu : Les pare-feu jouent le rôle de gardiens du CDE. Ils doivent être correctement configurés et gérés pour contrôler le trafic du réseau entrant et sortant en fonction d’un ensemble de règles appliquées, garantissant ainsi le blocage des accès non autorisés.

• Modifier les valeurs par défaut communiquées par le fournisseur pour les mots de passe et les paramètres de sécurité du système : Les systèmes sont souvent livrés avec des mots de passe et des paramètres par défaut, qui peuvent être facilement exploités. Les entreprises doivent remplacer ces valeurs par défaut par des mots de passe et des configurations uniques et complexes avant que les systèmes ne soient reliés.

• Protéger les données des titulaires de cartes conservées : Si une entreprise conserve les données des titulaires de cartes, celles-ci doivent être chiffrées à l’aide de méthodes convenues. L’accès à ces données doit se faire sur justification, avec des politiques strictes de conservation des données régissant leur durée de conservation, et des procédures claires concernant leur suppression.

• Chiffrer la transmission des données des titulaires de cartes sur les réseaux publics : Étant donné que les données peuvent être interceptées pendant la transmission, elles doivent être chiffrées à l’aide de méthodes de chiffrement renforcées chaque fois qu’elles sont envoyées sur des réseaux facilement accessibles, à l’image d’Internet.

• Utiliser des logiciels antivirus et les mettre à jour régulièrement : Les logiciels antivirus aident à protéger les systèmes contre les programmes malveillants. Ils doivent être utilisés sur tous les systèmes qui sont fréquemment pris pour cibles par des logiciels malveillants, et mis à jour régulièrement.

• Développer des systèmes et des applications sécurisés et les maintenir à jour : Les entreprises doivent protéger tous les composants du système contre les vulnérabilités en installant des correctifs de sécurité. Lorsque les entreprises développent des applications, la sécurité doit être considérée comme primordiale.

• Donner accès aux données des titulaires de carte en cas de nécessité absolue : Les entreprises doivent appliquer le principe du moindre privilège, selon lequel les personnes n’ont accès qu’aux données, aux ressources et aux fonctions nécessaires à l’exécution de leur travail.

• Attribuer un identifiant unique à chaque personne ayant accès à l’ordinateur : Cela permet de retracer les actions sur les données et les systèmes clés jusqu’aux individus, ce qui contribue à maintenir la responsabilité.

• Restreindre l’accès physique aux données des titulaires de carte : Des protections physiques doivent empêcher les personnes non autorisées d’accéder aux systèmes et au stockage des données. Cela englobe les serrures, les contrôles d’accès et les mécanismes de surveillance.

• Assurer le suivi et la surveillance de tous les accès aux ressources du réseau et aux données des titulaires de cartes : Les mécanismes de journalisation et la capacité à suivre les activités des utilisateurs sont importants pour détecter et prévenir les violations, et pour agir en conséquence.

• Vérifier régulièrement les systèmes et les processus de sécurité : Les systèmes et processus de sécurité doivent être soumis à des essais réguliers en situation de crise pour s’assurer qu’ils sont correctement configurés et qu’ils protègent efficacement les données des titulaires de cartes.

• Mettre en place une politique qui traite de la sécurité de l’information : Les entreprises doivent définir et maintenir une politique formelle qui traite de la technologie, des programmes de sensibilisation et de la sécurité de l’information avec une structure de gestion claire, puis communiquer cette politique à tous les employés et sous-traitants.

Le respect de ces exigences contribue à créer un environnement sécuritaire pour le traitement des données des titulaires de cartes, qui protège les entreprises et leurs clients contre les violations de données tout en maintenant la confiance et l’intégrité. En se conformant à la norme PCI DSS, les entreprises démontrent leur engagement en matière de sécurité et soutiennent l’objectif plus large de créer un environnement de paiement sécurisé.

Comment créer et maintenir un CDE sécurisé?

Quelles étapes pour mettre en place et assurer la pérennité d’un CDE? Voici un aperçu du processus :

• Définir la portée du CDE : Identifiez l’ensemble des systèmes, des personnes et des processus qui stockent, traitent ou transmettent les données des titulaires de cartes. Cartographiez les flux de données pour vous assurer de ne négliger aucune partie de l’environnement.

• Segmenter le réseau : Isolez le CDE des autres ressources du réseau pour limiter l’accès. Cela réduit le nombre de systèmes qui peuvent interagir avec le CDE et minimise les vecteurs d’attaque potentiels.

• Recourez au chiffrement pour protéger les données : Utilisez un chiffrement renforcé pour le stockage et la transmission des données des titulaires de cartes. Le chiffrement agit comme un verrou, en rendant les données illisibles pour les parties non autorisées qui ne disposent pas de la bonne clé.

• Contrôler l’accès : Assurez-vous que seul le personnel autorisé a accès au CDE. Cela se fait grâce à une vérification d’identité appropriée, à l’aide d’identifiants uniques et de méthodes d’authentification renforcées.

• Sécurité physique : Protégez les emplacements physiques du CDE, tels que les salles verrouillées, les caméras de surveillance et les systèmes de contrôle d’accès, de toute entrée non autorisée.

• Maintenir à jour les systèmes de sécurité : Assurez-vous que les applications de sécurité telles que les pare-feu, les logiciels antivirus et les systèmes de détection d’intrusion sont à jour pour vous protéger contre les nouvelles menaces.

• Mettre en place et appliquer des politiques de sécurité : Rédigez des politiques claires qui définissent les attentes en matière de sécurité et formez le personnel en conséquence. Intégrez des procédures pour les opérations quotidiennes avec des instructions détaillées sur la façon de répondre aux incidents de sécurité et d’effectuer des vérifications régulières.

• Surveiller et consigner toutes les activités : Mettre en place des mécanismes de journalisation pour enregistrer qui accède au CDE, quand et dans quel but. Examinez régulièrement les journaux pour détecter toute activité suspecte.

• Mettre à l’épreuve les mesures de sécurité : Effectuez régulièrement des essais tels que des analyses de vulnérabilité et des essais d’intrusion pour repérer et corriger les failles de sécurité.

• Réagir en cas d’incident : Créez un plan d’intervention en cas d’incident qui précise comment réagir en cas d’atteinte à la sécurité. Il doit comprendre des stratégies d’endiguement, des plans de communication et des mesures pour empêcher d’autres incidents.

• Examiner et améliorer régulièrement les mesures prises : Assurer la sécurité est un processus continu. Pour vous adapter aux nouvelles menaces, examinez et mettez à jour régulièrement les contrôles, les politiques et les procédures de sécurité.

• Assurer une vérification préalable des fournisseurs : Si des tiers ont accès au CDE, procédez à une vérification minutieuse pour vous assurer qu’ils respectent les exigences de sécurité.

Un CDE sécurisé nécessite une surveillance continue, des mises à jour régulières des défenses et une culture de sensibilisation à la sécurité à l’échelle de l’entreprise.

Comment gérer une violation de CDE

Même avec une planification et une maintenance très minutieuses, des bris de sécurité peuvent se produire. La nature de la fraude évolue constamment, et même les meilleures approches en matière de CDE présentent des failles. Aucune stratégie de CDE n’est complète sans un plan solide de gestion des bris de sécurité.

• Répondre à la situation et enrayer le phénomène immédiatement : Détectez la violation des données et enrayez-la immédiatement. Autrement dit, il faut isoler les systèmes concernés pour éviter toute perte de données supplémentaire. Par exemple, si la violation concerne un serveur précis, ce dernier doit être déconnecté du réseau.

• Évaluer et analyser la violation : Menez une enquête approfondie pour déterminer l’étendue du problème. Il s’agit notamment de connaître les données consultées, la manière dont la violation s’est produite et la durée de l’exposition. Les outils et techniques d’investigation informatiques peuvent aider à cette analyse.

• Informer les parties concernées : La gestion d’une violation du CDE exige une grande transparence. L’entreprise doit informer tous les clients concernés de la nature de l’atteinte, des renseignements qui ont été compromis et des mesures qu’elle prend pour y remédier. En outre, il se peut que l’entreprise ait l’obligation légale d’informer les organismes de réglementation de la violation.

• Faire appel à des experts juridiques et de la conformité : Un conseiller juridique doit évaluer les conséquences de la violation et se conformer à toutes les lois et réglementations pertinentes. Il est particulièrement important de travailler avec des experts, car les lois sur les violations de données varient selon les régions et les secteurs.

• Renforcer les mesures de sécurité : En fonction des conclusions de l’enquête, l’entreprise doit mettre en œuvre des mesures de sécurité renforcées pour empêcher d’autres violations. Elle peut par exemple mettre à jour ses logiciels, renforcer les pare-feu et améliorer les méthodes de chiffrement.

• Former et sensibiliser les employés : Les violations sont souvent dues à une erreur humaine. Il est important de sensibiliser les employés aux meilleures pratiques en matière de sécurité des données et à l’importance de protéger les renseignements des clients.

• Gérer les relations publiques : L’entreprise doit communiquer ouvertement sur les mesures qu’elle prend pour remédier aux violations et empêcher d’autres incidents de survenir.

• Surveiller en continu : Après avoir traité les effets immédiats de la violation, les entreprises doivent surveiller en permanence les systèmes pour détecter immédiatement toute activité inhabituelle.

• Vérifier et mettre à jour le plan d’intervention en cas d’incident : À la suite d’une violation, les entreprises doivent vérifier leur plan d’intervention en cas d’incident et le mettre à jour en fonction des leçons apprises. Cela permet de mieux se préparer à d’autres incidents éventuels.

• Offrir soutien et assistance aux clients : Les entreprises doivent fournir un soutien aux clients concernés, par exemple une offre de services de surveillance du crédit ou une ligne d’assistance téléphonique pour les demandes de renseignements.

Tout au long de ce processus, les entreprises doivent se concentrer sur la précision et la responsabilité, en prenant des mesures proactives pour rétablir la confiance et assurer la sécurité des données des clients.