L'environnement des données relatives aux titulaires de cartes (CDE) désigne les mécanismes qui traitent, transmettent ou stockent les informations relatives aux titulaires de cartes bancaires au sein d'une entreprise. Il s'agit plus précisément de toutes les composantes du système qui sont directement impliquées dans le traitement des données des titulaires de carte : logiciels, matériel et toutes les autres procédures ou politiques qui affectent la sécurité des transactions par carte bancaire et des données.

Vous trouverez ci-dessous un aperçu de tout ce que vous devez savoir sur l'environnement CDE : le rôle qu'il joue dans les paiements, son fonctionnement, ainsi que la manière dont les entreprises peuvent instaurer un environnement de paiement robuste, sûr et fiable.

Sommaire

• Quel est le rôle de l'environnement CDE dans le secteur des cartes de paiement ?
  
• Composantes, exigences et types de données au sein de l'environnement CDE
  
• Exigences de la norme ICD DSS applicables à un environnement CDE
  
• Comment créer et maintenir un environnement CDE sécurisé
  
• Comment traiter une violation de l'environnement CDE
  

Quel est le rôle de l'environnement CDE dans le secteur des cartes de paiement ?

L'environnement CDE désigne l'infrastructure dans laquelle les données des cartes de paiement sont traitées, stockées ou transmises au sein d'une entreprise. Cet environnement comprend tous les systèmes techniques et opérationnels qui traitent les données relatives aux cartes de paiement. Vous trouverez dans cet article un descriptif de quelques-unes des fonctionnalités importantes assurées par l'environnement CDE au sein de l'écosystème des paiements.

• Protection des données des titulaires de carte : les entreprises exploitent l'environnement CDE pour protéger les informations de paiement des clients contre les accès non autorisés et les violations de données. En 2021, plus de 4 100 violations de ce genre ont été recensées, selon un rapport de Flashpoint et Risk Based Security. Le fait de disposer d'un environnement dédié permet aux entreprises de concentrer leurs mesures de sécurité là où elles sont le plus nécessaires.

• Conformité aux normes : les entités qui traitent les données des titulaires de carte doivent se conformer à la norme de sécurité des données de l'industrie des cartes de paiement (PCI DSS), et l'environnement CDE est précisément le point sur lequel elles dirigent leurs efforts de conformité pour respecter ces obligations.

• Atténuation des risques : l'environnement CDE permet aux entreprises d'identifier et de réduire les risques liés aux données des cartes de paiement. Compte tenu des répercussions potentielles d'une violation de données, il est fondamental de protéger ces données. À titre d'exemple, sur l'année 2013, une importante violation de cartes bancaires s'est produite au détriment de la société Target, occasionnant plus de 290 millions de dollars de pertes cumulées et une chute du cours des actions.

• Confiance des clients : un environnement CDE sécurisé peut renforcer la confiance des clients en leur prouvant que leurs informations de paiement sont en sécurité.

• Maintien de l'intégrité des transactions : l'environnement CDE assure que les transactions ont lieu de manière sûre et précise, en maintenant l'intégrité du processus de paiement.

• Évitement des implications légales et financières : les violations de données peuvent donner lieu à des poursuites judiciaires et à des pertes financières de grande ampleur. Les entreprises s'appuient donc sur l'environnement CDE pour se prémunir contre de telles menaces.

Une entreprise qui traite des données de cartes de paiement en l'absence de stratégie CDE efficace met en péril sa santé financière et sa réputation. Nous allons voir plus loin comment élaborer un plan réfléchi pour réduire au maximum les risques et tirer pleinement parti des avantages.

Composants, exigences et types de données au sein de l'environnement CDE

Un environnement CDE se décline en une série de composants qui interagissent pour traiter les informations sensibles relatives aux cartes de paiement. Voici un aperçu de ces composants, des exigences relatives à leur protection et des types de données traités.

Composants

• Matériel informatique : cette catégorie regroupe les serveurs et les postes de travail qui exécutent les logiciels de traitement des paiements. Elle concerne également les composants réseau tels que les routeurs, commutateurs ou pare-feu qui dirigent et protègent les données lors de leur déplacement entre différents réseaux.
  
• Terminaux de paiement : il s'agit des dispositifs physiques installés dans les points de vente qui permettent de glisser, d'insérer ou de présenter les cartes de paiement des clients.
  
• Systèmes de stockage : zones dans lesquelles les données relatives aux cartes de paiement sont conservées, qu'il s'agisse de fichiers numériques, de bases de données ou de sauvegardes. Cette catégorie comprend les supports amovibles tels que les clés USB ou les sauvegardes sur bande magnétique.
  
• Applications : logiciels qui traitent les paiements, y compris les systèmes de point de vente et les plateformes de paiement en ligne.
  
• Contrôles d'accès : ces systèmes sont conçus pour authentifier l'identité des utilisateurs accédant à l'environnement CDE par le biais d'un accès physique aux zones sécurisées et d'un accès numérique aux systèmes de données.
  

Exigences

• Chiffrement des données : les données relatives aux cartes de paiement doivent être chiffrées au moyen de normes cryptographiques puissantes, notamment lorsqu'elles sont transmises sur des réseaux ouverts ou publics.
  
• Gestion d'accès : seules les personnes autorisées doivent disposer d'un accès à l'environnement CDE, et toutes leurs activités doivent être journalisées et surveillées.
  
• Sécurité physique : l'accès physique à l'environnement CDE doit être contrôlé et surveillé, et les points d'entrée doivent être protégés contre tout accès illicite.
  
• Tests réguliers : des analyses et des tests d'intrusion réguliers sont nécessaires pour identifier et corriger les vulnérabilités.
  
• Politiques de conservation et d'élimination des données : les entreprises doivent mettre en place des politiques claires en ce qui concerne la durée de conservation des données des titulaires de carte, ainsi que les procédures de suppression sécurisée de ces dernières lorsqu'elles ne sont plus nécessaires.
  
• Gestion des fournisseurs : si des tiers ont accès à l'environnement CDE, ils doivent eux aussi se conformer à ces exigences de sécurité.
  

Types de données

• Informations relatives au titulaire de carte : il s'agit du nom du titulaire, du numéro, de la date d'expiration et du code de service de la carte. Ces informations figurent souvent au recto d'une carte de paiement.
  
• Données d'authentification sensibles : cette catégorie s'applique à des éléments tels que le code de sécurité de la carte (ou code de vérification de la carte (CVV), ou CVV2), les numéros d'identification personnels (PIN), ainsi que les données relatives à la bande magnétique ou à la puce, dont le rôle est d'authentifier les titulaires de carte et d'autoriser les transactions.
  

L'environnement CDE doit être une préoccupation prioritaire pour toute entreprise qui traite les paiements de ses clients, quel que soit le secteur d'activité, le volume de paiement ou les autres facteurs de risque en jeu. Les entreprises qui maîtrisent les composantes de leur environnement CDE et respectent les exigences de sécurité peuvent protéger efficacement les informations relatives aux titulaires de carte contre les violations et les abus.

Exigences de la norme PCI DSS pour un environnement CDE

La norme PCI DSS énonce des lignes directrices pour la sécurisation des données des cartes de paiement au sein de l'environnement CDE. Ces normes complètes et détaillées visent à protéger les données des titulaires de carte, depuis l'utilisation de la carte jusqu'à la finalisation du processus de transaction et au-delà. Voici une analyse détaillée de ces principales exigences.

• Installation et maintien de configuration du pare-feu : les pare-feu agissent comme des gardiens de l'accès à l'environnement CDE. Ils doivent être correctement configurés et gérés de manière à contrôler le trafic réseau entrant et sortant sur la base d'un ensemble de règles qui garantissent le blocage des accès non autorisés.

• Modification des valeurs par défaut des mots de passe et des paramètres de sécurité du système communiqués par le fournisseur : les systèmes sont souvent livrés avec des mots de passe et des paramètres par défaut qui peuvent être aisément détournés. Avant de connecter les systèmes, les entreprises doivent remplacer ces paramètres implicites par des mots de passe et des configurations à la fois uniques et complexes.

• Protection des données stockées sur les titulaires de carte : si une entreprise conserve des données relatives à des titulaires de carte, celles-ci doivent être chiffrées au moyen de méthodes reconnues. L'accès à ces données doit être légitimé par des politiques strictes de conservation des données qui édictent leur durée de rétention et les procédures claires requises pour leur suppression.

• Chiffrement de la transmission des données des titulaires de carte sur les réseaux publics : du fait que les données sont susceptibles d'être interceptées durant leur transmission, elles doivent être chiffrées au moyen de méthodes cryptographiques puissantes chaque fois qu'elles sont envoyées sur des réseaux aisément accessibles, tels qu'Internet.

• Utilisation et actualisation régulière d'un logiciel antivirus : les logiciels antivirus protègent les systèmes contre les programmes malveillants. Ils doivent être appliqués à tous les systèmes couramment ciblés par les logiciels malveillants, et leur mise à jour régulière constitue une obligation essentielle.

• Développement et maintien de systèmes et d'applications sécurisés : les entreprises doivent protéger tous les composants des systèmes contre les vulnérabilités en installant des correctifs de sécurité. Lorsque les entreprises développent des applications, la sécurité doit faire partie de leurs considérations principales.

• Accès aux données des titulaires de carte selon le strict besoin de savoir : il convient que les entreprises appliquent le principe du moindre privilège, en vertu duquel des individus ne doivent avoir accès qu'aux données, ressources et fonctions absolument nécessaires à l'exécution de leurs missions.

• Attribution d'un identifiant unique à chaque personne ayant accès à un ordinateur : cette mesure permet de retracer les actions accomplies sur des données et des systèmes stratégiques, ce qui contribue au maintien de l'obligation de rendre compte de ses actes.

• Restriction de l'accès physique aux données des titulaires de carte : des protections physiques doivent être prévues afin d'empêcher que des personnes non autorisées n'accèdent aux systèmes et aux composants de stockage des données. Ces mesures comprennent notamment des verrous, des contrôles d'accès et des mécanismes de surveillance.

• Suivi et contrôle de tous les accès aux ressources du réseau et aux données des titulaires de carte : les mécanismes de journalisation et de suivi des activités des utilisateurs sont importants pour détecter, prévenir et réagir aux violations.

• Test régulier des systèmes et processus de sécurité : les systèmes et les processus de sécurité doivent être mis à l'essai périodiquement afin de s'assurer qu'ils sont correctement configurés et protègent efficacement les données des titulaires de carte.

• Instauration d'une politique relative à la sécurité des informations : les entreprises doivent établir et maintenir une politique formelle qui porte sur des technologies, des programmes de sensibilisation et une sécurité des informations, en s'appuyant sur une structure de gestion claire. Elles doivent ensuite communiquer cette politique à l'ensemble de leur personnel et de leurs sous-traitants.

Le respect de ces exigences permet d'instaurer un environnement sécurisé de traitement des données des titulaires de carte, qui protège les entreprises et leurs clients contre les violations de données tout en maintenant la confiance et l'intégrité. La conformité à la norme PCI DSS atteste de la volonté d'une entreprise de démontrer son engagement en faveur de la sécurité. De plus, elle s'inscrit dans un objectif plus large qui vise à créer un environnement de paiement sécurisé.

Comment créer et maintenir un environnement CDE sécurisé

Que supposent la mise en place et le maintien d'un environnement CDE bien protégé ? Voici un aperçu de la procédure nécessaire.

• Définition de la portée de l'environnement CDE : identifiez l'ensemble des systèmes, personnels et processus qui stockent, traitent ou transmettent des données relatives aux titulaires de carte. Cartographiez les flux de données afin de vous assurer qu'aucune partie de cet environnement n'est négligée.

• Segmentation du réseau : isolez l'environnement CDE des autres ressources du réseau afin d'en restreindre l'accès. Vous diminuerez ainsi le nombre de systèmes susceptibles d'interagir avec l'environnement CDE, d'où un moindre nombre de vecteurs d'attaque potentiels.

• Protection des données par chiffrement : appliquez un chiffrement puissant lors du stockage et de la transmission des données des titulaires de carte. Le chiffrement agit comme un verrou qui rend les données illisibles par des tiers non autorisés et non détenteurs de la clé requise.

• Contrôle des accès : veillez à ce que seul le personnel autorisé ait accès à l'environnement CDE. Pour ce faire, il convient de procéder à une vérification appropriée des identités, via des identifiants uniques et des méthodes d'authentification robustes.

• Sécurité physique : sécurisez les lieux physiques de l'environnement CDE, tels que les locaux fermés à clé, les caméras de surveillance ou les systèmes de contrôle d'accès, contre toute entrée non autorisée.

• Maintien des systèmes de sécurité : assurez-vous que les applications de sécurité telles que les pare-feu, les logiciels antivirus et les systèmes de détection d'intrusion sont à jour afin de vous prémunir contre les nouvelles menaces.

• Élaboration et mise en pratique de politiques de sécurité : rédigez des politiques claires qui définissent les attentes en matière de sécurité et instruisez votre personnel en conséquence. Prévoyez des procédures applicables aux opérations quotidiennes qui comprennent des instructions détaillées sur la réaction face aux incidents de sécurité, ainsi que la conduite d'audits réguliers.

• Surveillance et journalisation de l'ensemble des activités : mettez en œuvre des mécanismes de journalisation destinés à consigner l'identité des personnes ayant accédé à l'environnement CDE, ce qu'elles ont fait et quand elles ont agi. Consultez régulièrement ces fichiers journaux afin de déceler toute activité suspecte.

• Test des mesures de sécurité : procédez régulièrement à des essais tels que des analyses de vulnérabilité et des tests d'intrusion, de manière à déceler et à corriger les faiblesses en matière de sécurité.

• Réponse aux violations : élaborez un plan d'intervention en cas d'incident, qui indique comment réagir à une violation de la sécurité. Ces mesures doivent notamment prévoir des stratégies de confinement, des plans de communication et des mesures visant à prévenir les incidents ultérieurs.

• Révision et amélioration régulières : la sécurité est un processus de longue haleine. Pour vous adapter aux nouvelles menaces, passez en revue et mettez régulièrement à jour vos contrôles, politiques et procédures de sécurité.

• Diligence raisonnable à l'égard des fournisseurs : si des tierces parties ont accès à l'environnement CDE, examinez-les minutieusement et assurez-vous qu'elles respectent les exigences en matière de sécurité.

Un environnement CDE bien protégé exige une surveillance ininterrompue, une actualisation régulière des défenses et une culture de sensibilisation à la sécurité menée au sein de l'ensemble de l'entreprise.

Comment gérer une violation de l'environnement CDE

Malgré une planification et une maintenance des plus minutieuses, il est quasiment inévitable que des failles se produisent un jour. La nature de la fraude évolue en permanence et même les meilleures approches en matière de CDE présentent des vulnérabilités. Aucune stratégie de CDE ne saurait être complète sans un solide plan de gestion des violations lorsque celles-ci se produisent.

• Réponse et confinement immédiats : détectez la violation de données et endiguez-la immédiatement. Pour cela, vous devez isoler les systèmes affectés afin d'éviter toute perte de données supplémentaire. Si, par exemple, la brèche se trouve sur un serveur spécifique, celui-ci doit être déconnecté du réseau.

• Évaluation et analyse de la violation : menez des investigations approfondies pour déterminer l'ampleur de la violation. Vous devez notamment identifier la nature des données compromises, la manière dont la violation s'est produite et la durée de l'exposition. Différents outils et techniques d'analyse scientifique peuvent contribuer à cette étude.

• Notification des parties concernées : lors du traitement d'une violation de l'environnement CDE, la transparence est un enjeu essentiel. L'entreprise doit aviser tous les clients concernés et les informer de la nature de la violation, des données compromises et des mesures prises par l'entreprise pour y remédier. En outre, certaines exigences légales peuvent imposer à une entreprise de notifier l'attaque aux organismes de régulation.

• Consultation d'experts en droit et en conformité : le conseiller juridique de l'entreprise doit évaluer les conséquences de la violation et veiller à ce que toutes les lois et réglementations pertinentes soient respectées. Il est particulièrement important de travailler avec des experts, car les lois relatives aux violations de données varient selon les régions et les secteurs d'activité.

• Perfectionnement des mesures de sécurité : en fonction des conclusions des enquêtes menées, l'entreprise doit mettre en œuvre des mesures de sécurité améliorées qui visent à mieux prévenir de futures violations. Il peut s'agir de mettre à jour les logiciels, de renforcer les pare-feu ou encore d'améliorer les méthodes de chiffrement.

• Formation et sensibilisation des employés : les violations sont souvent dues à des erreurs humaines. Il est important de sensibiliser les employés aux règles de bonne pratique en matière de sécurité des données ainsi qu'à l'importance de protéger les informations des clients.

• Gestion des relations publiques : l'entreprise doit communiquer ouvertement sur les mesures qu'elle prend pour remédier à la violation et prévenir d'autres incidents.

• Surveillance continue : après avoir contré les conséquences immédiates de la violation, les entreprises doivent surveiller leurs systèmes en permanence afin d'intercepter instantanément toute activité inhabituelle.

• Révision et actualisation du plan d'intervention en cas d'incident : à la suite d'une violation, les entreprises doivent passer en revue leur plan d'intervention d'urgence et le mettre à jour en fonction des enseignements retirés. Cette mesure permet d'améliorer la préparation face à d'éventuels incidents supplémentaires.

• Soutien et assistance aux clients : les entreprises doivent porter assistance aux clients affectés, par exemple par le biais de services de surveillance du crédit ou d'une ligne de support téléphonique pour les demandes de renseignements.

Tout au long de ce processus, les entreprises doivent concentrer leur action sur la précision et la responsabilité, en prenant des mesures proactives destinées à rétablir la confiance et à garantir la sécurité des données de leurs clients.