Le stockage des informations de carte bancaire des clients est une obligation qui s'impose à la majorité des entreprises, mais il n'est pas toujours simple de trouver la solution idéale. Elles sont tenues de respecter les exigences et les réglementations en vigueur, mais la gestion continue de cette conformité doit se faire sans sacrifier l'expérience client ni leur propre efficacité opérationnelle. La fraude à la carte bancaire constitue un problème courant et majeur : aux États-Unis, par exemple, 65 % des titulaires d'une carte bancaire ont été victimes d'une fraude. Pour les entreprises, un stockage sécurisé des données de cartes bancaires de leurs clients permet de s'en protéger efficacement.

Cet article présente la norme de sécurité de l'industrie des cartes de paiement (PCI DSS) qui fait référence en matière de stockage des informations de carte bancaire des clients et donne un aperçu des bonnes pratiques à adopter.

Sommaire

• Principes du stockage des informations de carte bancaire
  
• Définition de la norme PCI DSS
  
• Normes PCI relatives au stockage des informations de carte bancaire
  
• Bonnes pratiques en matière de stockage des informations de carte bancaire
  
• Stockage des informations de carte bancaire : difficultés et solutions
  
• La réponse proposée par Stripe
  

Principes du stockage des informations de carte bancaire

Le stockage des informations de carte bancaire des clients consiste pour les entreprises à conserver les numéros de carte de crédit ou de débit et les informations d'identification associées. Les quatre catégories de données généralement conservées par les entreprises sont le nom du titulaire de la carte, le numéro de compte principal (Primary Account Number ou PAN), la date d'expiration et le code de service.

Il existe différents systèmes de stockage des informations de carte bancaire et ils comportent généralement des systèmes de stockage des données dédiés, des techniques de chiffrement et de tokenisation ainsi que des outils de prévention des pertes de données (Data Loss Prevention ou DLP).

Présentation de la norme PCI DSS

La norme PCI DSS est constituée d'un ensemble de normes de sécurité applicables à l'acceptation, au traitement, au stockage et à la transmission des informations de carte bancaire par les entreprises. Elle protège les données des titulaires de carte bancaire contre la fraude et le vol, et toute entité qui gère des transactions par carte bancaire doit s'y conformer. La norme PCI DSS est gérée par le Conseil de sécurité de l'industrie des cartes de paiement (Payment Card Industry Data Security Standards Council), mis en place par les principaux réseaux de cartes bancaires tels que Visa, Mastercard, American Express, Discover et JCB. Les entreprises qui s'y conforment limitent le risque de fuite de données et s'assurent de la sécurisation de leurs transactions par carte bancaire.

Normes PCI relatives au stockage des informations de carte bancaire

Les exigences de la norme PCI DSS en matière de stockage des informations de carte bancaire par les entreprises sont les suivantes.

• Limiter l'étendue du stockage de données : conservez uniquement les données des titulaires de carte nécessaires aux activités de l'entreprise. Ne stockez pas de données d'authentification sensibles une fois la procédure d'autorisation terminée, même chiffrées. Sont concernées les données relatives à la bande magnétique, au code de validation de la carte bancaire ou au numéro d'identification personnel (Personal Identification Number ou PIN).

• Protéger les données stockées : chiffrez toutes les données des titulaires de carte, y compris le numéro de compte principal (PAN) qui doit être rendu illisible, quel que soit le support de stockage utilisé, à l'aide d'un processus tel que le chiffrement.

• Limiter l'accès aux données : l'accès aux données des titulaires de carte doit être limité aux personnes dont les fonctions l'exigent. Mettez en place une politique de « besoin d'en connaître » en ce sens.

• Créer des identifiants uniques : attribuez un identifiant unique à chaque personne dont l'ordinateur accède aux données des titulaires de cartes. En cas de fuite de données, il est ainsi possible d'en déterminer l'origine.

• Protéger les lieux de stockage des données : protégez les lieux de stockage des titulaires de carte. Mettez en place un système de surveillance ainsi qu'un accès limité aux zones concernées et protégez les systèmes de stockage.

• Définir des politiques de conservation et de suppression des données : développez une politique de conservation des données qui prévoit leur suppression dès qu'elles ne sont plus utiles. Supprimez-les et veillez à ce qu'elles soient irrécupérables.

• Utiliser des clés de chiffrement : prévoyez et mettez en place des protocoles de sécurité et de chiffrement fort tels que Secure Sockets Layer (SSL)/Transport Layer Security (TLS) ou Internet Protocol Security (IPSEC) afin de protéger les données sensibles des titulaires de carte pendant leur transmission sur des réseaux publics ouverts.

Bonnes pratiques en matière de stockage des informations de carte bancaire

Les entreprises peuvent emprunter plusieurs chemins pour se conformer aux exigences de conformité PCI. De bonnes pratiques aideront les entreprises à protéger les informations de carte bancaire de leurs clients et à garantir la conformité PCI de façon à préserver l'expérience utilisateur.

• Limiter l'étendue du stockage de données : conservez uniquement les données des titulaires de carte requises et évitez de conserver des données sensibles, sauf si elles sont absolument nécessaires. La réduction du volume de données stockées peut limiter les risques et simplifier vos efforts en matière de respect de la conformité.

• Adoptez une norme de chiffrement avancé : utilisez un protocole AES (Advanced Encryption Standard) avec une clé de 256 bits pour chiffrer les données des titulaires de carte stockées. Cette méthodologie constitue une bonne pratique et répond largement aux exigences minimales de conformité.

• Mettez en place un chiffrement de bout en bout (E2EE) : au-delà des pratiques de base, déployez un chiffrement E2EE pour préserver les données des titulaires de carte du point de capture au point d'entrée dans l'environnement de traitement sécurisé.

• Améliorez les mécanismes de contrôle d'accès : utilisez une authentification multifactorielle et des contrôles d'accès granulaires basés sur les rôles pour vous assurer que seul le personnel autorisé peut accéder aux données sensibles des titulaires de carte. Mettez également en place une piste d'audit pour tous les accès et les mesures prises.

• Intégrez des outils DLP : mettez en place des stratégies DLP afin de suivre et de contrôler les transferts de données, de prévenir une exfiltration de données non autorisée et de vous assurer que les données des titulaires de carte ne sont pas stockées ni distribuées de façon inadéquate.

• Effectuez des tests de sécurité réguliers : pour identifier et corriger les failles de sécurité potentielles de façon proactive, réalisez des tests de pénétration sophistiqués et procédez à des évaluations des vulnérabilités en allant au-delà des exigences de la norme PCI DSS.

• Envisagez d'utiliser des techniques de tokenisation avancée : pensez à utiliser une tokenisation dynamique, dans laquelle les tokens varient pour chaque transaction, afin de constituer une couche de sécurité supplémentaire et de réduire encore l'exploitabilité des données interceptées.

• Automatisez la surveillance de la conformité : utilisez des outils automatisés pour surveiller en permanence la conformité avec les normes PCI DSS et détecter et corriger rapidement tout écart.

• Utilisez une architecture Zero Trust : adoptez un cadre de sécurité Zero Trust qui présuppose que tous les utilisateurs, y compris internes, peuvent éventuellement compromettre les données des titulaires de carte, et appliquez des principes de vérification stricte et d'accès restreint.

• Examinez la possibilité d'adopter des outils de chiffrement post-quantiques : pour vous protéger contre les menaces émergentes de l'informatique quantique,réfléchissez à une possible intégration d'algorithmes de chiffrement post-quantiques.

• Élaborez un plan de réponse : vous devez disposer d'un plan de réponse aux incidents de sécurité. En cas de fuite de données, vous devez être en mesure d'identifier le problème rapidement, d'y remédier et de limiter les dommages éventuels.

Stockage des informations de carte bancaire : difficultés et solutions

Le stockage des informations de carte bancaire est étroitement lié à de nombreux aspects de l'expérience client, à l'accès aux produits et aux services ainsi qu'au niveau de gestion des données client par l'équipe interne. Indépendamment de leur degré de sophistication, les systèmes de stockage généreront de la complexité. Voici les défis à relever les plus courants en la matière et les solutions possibles.

Évolutivité

• Défi : à mesure que les volumes de transactions augmentent, il peut s'avérer difficile de conserver un niveau de performance élevé et de préserver la conformité PCI. Une évolutivité limitée peut affecter l'expérience client et l'efficacité opérationnelle.
  
• Solution : mettez en place des architectures de bases de données aux capacités de traitement élevées en lecture ou en écriture, et dans le même temps, veillez à préserver la cohérence et la conformité des données. Utilisez des solutions basées sur le Web en mesure de faire évoluer dynamiquement le temps de réponse à une demande fluctuante, et préservez ainsi les performances sans compromettre la sécurité.
  

Intégration des anciens systèmes

• Défi : de nombreuses entreprises utilisent d'anciens systèmes qui ne sont pas conçus pour répondre aux exigences de la norme PCI DSS. Des écarts de conformité et des lacunes en matière de sécurité peuvent donc apparaître.
  
• Solution : utilisez des couches d'abstraction de base de données ou des architectures orientées services pour intégrer les anciens systèmes et ainsi minimiser l'accès direct aux données des titulaires de carte. Envisagez de remplacer ou de moderniser les anciens systèmes au fil du temps par le biais des microservices ou de la conteneurisation afin d'en améliorer l'agilité et la conformité.
  

Confidentialité des données au-delà les frontières

• Défi : les réglementations en matière de protection des données varient selon les régions, et les exigences en matière de conformité sont plus strictes lorsque les entreprises stockent des données de titulaires de carte au-delà les frontières.
  
• Solution : mettez en place des solutions de résidence des données qui traitent et stockent les données conformément aux réglementations locales. Utilisez des systèmes de stockage et de traitement des données basées sur la géolocalisation afin d'acheminer et de stocker automatiquement les données en fonction du lieu où se trouve le titulaire de la carte et dans le respect des exigences de conformité régionales.
  

Menaces avancées pour la sécurité

• Défi :les tactiques d'attaque évoluent en permanence. Les entreprises doivent donc lutter contre des cyberattaques et des menaces persistantes avancées (Advanced Persistent Threats ou APT) de plus en plus sophistiquées.
  
• Solution : adoptez une approche multicouche de la sécurité comprenant des mécanismes avancés de détection et de réponse aux menaces, tels que les analyses comportementales basées sur l'IA, afin d'identifier et de réduire les menaces en temps réel. Actualisez régulièrement les plans de réponse aux incidents et de reprise d'activité pour faire face aux nouveaux types de cybermenaces.
  

Normes de conformité évolutives

• Défi : les normes PCI DSS et les exigences réglementaires associées évoluent constamment. La nécessité de préserver la conformité peut donc constituer une contrainte permanente.
  
• Solution : établissez un programme de surveillance continue de la conformité qui s'appuie sur des outils automatisés de reporting et de suivi de la conformité. Participez de façon proactive à des forums et mettez en place des collaborations dans votre secteur d'activité afin de rester informé des nouvelles normes et d'intégrer les bonnes pratiques à votre stratégie de conformité.
  

Qualité et cohérence des données

• Défi : il peut être difficile de garantir l'intégrité et la cohérence des données des titulaires de carte entre différents systèmes et environnements de stockage en particulier dans les architectures distribuées.
  
• Solution : mettez en place de solides cadres de gouvernance des données, et utilisez des outils de gestion de la qualité afin de préserver la précision et la cohérence de ces dernières. Utilisez des techniques de synchronisation et de réplication des données qui possèdent les propriétés d'atomicité, de cohérence, d'isolement et de durabilité (conformité ACID) nécessaires afin de préserver l'intégrité des données.
  

La réponse proposée par Stripe

Stripe peut alléger la charge des entreprises en matière de conformité PCI DSS. Un traitement des paiements par l'intermédiaire de Stripe les dispense de cette gestion directe des données sensibles de carte bancaire. L'étendue de leurs responsabilités en matière de conformité est donc réduite en conséquence. Stripe est un fournisseur de services PCI certifié de niveau 1, le niveau le plus élevé en matière de conformité PCI. Elle gère la majorité des tâches de sécurisation des données de carte bancaire. Les fonctionnalités de Stripe présentées ci-dessous sécurisent les données des titulaires de carte et aident les entreprises à préserver leur conformité PCI.

• Tokenisation : pour éviter d'exposer les informations de carte bancaire sensibles, les services de tokenisation proposés par Stripe les remplacent par des identifiants uniques (tokens) qui peuvent être stockés et utilisés en toute sécurité lors des transactions.

• Chiffrement de bout en bout (E2EE) : Stripe chiffre les données sensibles du point de capture au point de traitement au sein d'un environnement sécurisé. Ce chiffrement de bout en bout minimise le risque d'interception des données pendant la transmission.

• Évolutivité : l'infrastructure de Stripe repose sur une plateforme cloud conçue pour gérer des volumes de transactions importants sans compromettre les performances. Les entreprises peuvent développer leurs opérations sans se préoccuper de la préservation de la conformité et du respect des normes de sécurité.

• Intégration aux systèmes modernes et anciens : Stripe prend en charge des interfaces de programmation d'application(API). L'intégration aux systèmes modernes et anciens est donc facilitée. Cette flexibilité permet aux entreprises de moderniser leur traitement des paiements sans avoir besoin de restructurer en profondeur leurs systèmes existants.

• Surveillance continue et actualisations régulières : Stripe procède à une surveillance continue de ses systèmes afin de repérer les menaces éventuelles et réactualise régulièrement ses mesures de sécurité de manière à pouvoir traiter les vulnérabilités émergentes. Les fonctionnalités de sécurité incluent des algorithmes d'apprentissage automatique qui détectent et préviennent la fraude.

• Conformité à l'échelle internationale : Stripe opère dans le monde entier et peut aider les entreprises à gérer les aspects complexes de la résidence des données et de la conformité régionale à l'international.

• Gouvernance des données : l'infrastructure de Stripe prend en charge l'intégrité et la cohérence des données.

Les entreprises qui font confiance à Stripe pour sécuriser le stockage des informations de carte bancaire, le chiffrement des données, la conformité et l'évolutivité de l'infrastructure peuvent consacrer davantage de temps à leurs activités essentielles. En savoir plus sur les normes de sécurité appliquées par Stripe