Conformité PCI : ce que ça veut dire concrètement dans un petit commerce

Un courriel arrive de votre fournisseur de traitement : vous devez « compléter votre conformité PCI ». Aucune explication de ce que c'est, un lien vers un formulaire de plusieurs pages, et une échéance. La réaction la plus courante est de cliquer au hasard jusqu'à ce que ça passe.

Mauvaise idée, et pas seulement pour des raisons de principe. Voici ce que la démarche demande réellement, et pourquoi il vaut la peine d'y consacrer une heure sérieuse plutôt que dix minutes distraites.

Ce que c'est, et ce que ce n'est pas

La norme PCI DSS est une norme de sécurité publiée par le PCI Security Standards Council, l'organisme mis sur pied par les grands réseaux de cartes. Elle s'applique à toute entreprise qui accepte, traite, stocke ou transmet des données de carte de paiement.

Ce n'est pas une loi québécoise ni canadienne. Il s'agit d'une exigence contractuelle : elle vous lie parce que votre entente de traitement l'exige, pas parce qu'un inspecteur peut se présenter à votre porte. La distinction compte pour savoir à qui vous rendez des comptes, soit votre acquéreur, et non un ministère.

Votre fournisseur ne s'en occupe pas non plus tout seul. Un terminal conforme installé dans un commerce dont le mot de passe du routeur n'a jamais été changé ne rend pas ce commerce sécuritaire. La norme couvre votre environnement, pas seulement votre appareil.

Le questionnaire dépend de votre façon d'encaisser

Pour un petit commerce, la validation passe presque toujours par un questionnaire d'auto-évaluation, ce que le Council appelle un SAQ. Il en existe plusieurs versions, et la bonne dépend entièrement de la manière dont l'argent entre chez vous.

Quelques exemples parmi les types destinés aux commerçants :

• Le SAQ A vise les commerçants sans carte présente, en ligne, par courrier ou par téléphone, qui ont entièrement confié le traitement des données de carte à des fournisseurs tiers conformes, sans jamais stocker, traiter ni transmettre ces données eux-mêmes.
• Le SAQ A-EP vise les commerçants en ligne qui sous-traitent le paiement, mais dont le site peut influencer la sécurité de la transaction.
• Le SAQ C-VT vise ceux qui saisissent les transactions une à une au clavier dans un terminal virtuel fourni par un tiers conforme, sans stockage électronique des données de carte.
• Le SAQ D est le questionnaire résiduel : il s'applique aux commerçants qui ne correspondent à aucun autre type, notamment ceux qui stockent des données de carte.

Si vous ne savez pas lequel vous concerne, le Council lui-même vous renvoie à votre banque acquéreuse ou au réseau de cartes. C'est une question légitime à poser, et la réponse devrait être écrite.

Remplir le mauvais questionnaire ne vous met pas en conformité. Ça vous fait attester de choses qui ne s'appliquent pas à votre commerce.

Les bases, sans jargon

Le Council publie un guide destiné spécifiquement aux petits commerçants, le Guide to Safe Payments, qui ramène l'essentiel à des gestes concrets. Les plus utiles dans un commerce de quartier :

• Ne jamais écrire un numéro de carte sur papier, dans un carnet, sur une commande ou dans un courriel, et détruire ce qui existe déjà.
• Changer tous les mots de passe par défaut : routeur, caisse, système de vidéosurveillance, comptes d'administration.
• Séparer le réseau sans fil offert aux clients de celui qu'utilisent vos terminaux.
• Inspecter physiquement les terminaux : un lecteur trafiqué, un boîtier ajouté, un câble inconnu. C'est rare, mais ça se voit à l'œil.
• Donner à chaque employé son propre accès plutôt qu'un compte partagé, et retirer les accès des gens partis.
• Installer les mises à jour de vos appareils et de votre ordinateur de bureau.

Les questions à poser à vos fournisseurs

Le Council publie aussi une courte liste de questions à poser aux fournisseurs sur lesquels repose votre sécurité : le fournisseur de la caisse, celui du site web, celui qui vient réparer l'ordinateur, celui qui gère le réseau.

L'idée est simple. La plupart des petites entreprises ne gèrent pas elles-mêmes leur sécurité, elles l'achètent. Savoir qui est responsable de quoi est donc la moitié du travail. Demandez, par écrit, qui a un accès à distance à vos systèmes, avec quel compte, et comment cet accès est protégé.

Par où commencer lundi

Faites d'abord une chose : établissez comment les données de carte circulent chez vous. Où entre le numéro, par quel appareil, vers quel fournisseur, et où quelque chose est-il conservé ? Si vous ne pouvez pas dessiner ce chemin sur une feuille, aucun questionnaire ne sera rempli correctement.

Ensuite, demandez à votre fournisseur de traitement quel questionnaire s'applique à votre situation et à quelle fréquence il doit être refait. Ces deux réponses vous évitent la moitié des mauvaises surprises.