Le besoin de sécuriser les paiements augmente avec les améliorations technologiques

Le besoin de solutions de paiement conformes à la norme PCI devrait être une priorité pour tout fournisseur, détaillant ou organisation qui prend des paiements par carte. Des plus grands détaillants d’entreprise au restaurant local dans la rue, chaque commerçant qui accepte les paiements par carte de crédit - en ligne et hors ligne - est tenu de se conformer aux exigences de la norme de sécurité des données PCI (DSS).

Le PCI DDS est un ensemble de pratiques générales et de lignes directrices établies par le PCI Security Standards Council (PCI SSC), une organisation à but non lucratif qui garantit que les informations sur le titulaire de la carte (numéro de carte, nom, date d’expiration, numéro CVV) sont transmises, stockées et traitées en toute sécurité. PCI SSC établit les exigences techniques et opérationnelles pour tout fournisseur ou commerçant qui accepte ou traite les transactions de paiement, ainsi que pour les fabricants et les développeurs impliqués dans la production d’appareils ou d’applications qui sont utilisés dans ces transactions.

La façon dont votre entreprise prouve la conformité PCI dépendra du nombre de transactions que vous traitez chaque année et si vous êtes un commerçant ou un fournisseur de services.

Niveaux marchands

• Niveau 1 : plus de 6 millions de transactions par année ; validé par une vérification annuelle, ainsi que des analyses trimestrielles et des tests de pénétration
• Niveau 2 : 1 à 6 millions de transactions par année ; validé par l’auto-attestation annuelle, ainsi que par des balayages trimestriels et des tests de pénétration
• Niveau 3 : 20 000 à 1 million de transactions par année ; validé par l’auto-attestation annuelle, ainsi que par des balayages trimestriels et des tests de pénétration
• Niveau 4 : Moins de 20 000 transactions par année ; validé par l’auto-attestation annuelle, ainsi que par des balayages trimestriels et des tests de pénétration

Niveaux de fournisseur de services

• Niveau 1 : Plus de 300 000 transactions par année ; validé par une vérification annuelle, ainsi que des analyses trimestrielles et des tests de pénétration
• Niveau 2 : Moins de 300 000 transactions par année ; validé par l’auto-attestation annuelle, ainsi que par des balayages trimestriels et des tests de pénétration

Les vérifications annuelles sont plus complexes et plus complexes que les autoévaluations. En règle générale, plus vous avez de données sur les titulaires de carte, plus vous devrez faire de travail pour les sécuriser correctement. Cependant, en intégrant des solutions de paiement validées de bout en bout conformes à la norme PCI, vous serez en mesure de rationaliser votre liste d’exigences pour adhérer à PCI DDS.

La norme d’or dans les solutions de paiement conformes à la norme PCI

Le cryptage point à point (P2PE) et la tokenisation sont apparus comme deux options de sécurité de paiement qui aident à sécuriser les informations de carte de crédit et à limiter la quantité de données exposées au commerçant. Définissons ce que chacun signifie et comment leur adaptation peut aider à atténuer certaines des pressions auxquelles sont confrontés les commerçants, en particulier.

P2PE

Cela crypte (protège) les données de carte de paiement au point d’interaction (PI), par exemple lorsque vous placez votre carte EMV à puce dans un lecteur en tant que registre, jusqu’à ce qu’elles atteignent le point de terminaison sécurisé où elles sont traitées pour le paiement et que la validation soit retournée au commerçant (c’est-à-dire que le paiement est approuvé). Le chiffrement convertit les données de la carte en une forme inintelligible - toute personne qui intercepte les données après le cryptage ne devrait pas avoir les moyens de rétablir les données à leur forme d’origine.

Tokenisation

La tokenisation sécurise les transactions en remplaçant les informations de paiement par des symboles d’identification uniques qui conservent toutes les informations essentielles sur les données sans compromettre leur sécurité. Ces jetons permettent aux entreprises de provisionner des comptes clients, de configurer des paiements planifiés et de gérer les paramètres de paiement sans gérer à chaque fois les informations sensibles sur les titulaires de carte.

Les jetons utilisent une clé publique et privée pour fonctionner. La clé publique permet la création de jetons, tandis que la clé privée permet au commerçant d’émettre des paiements uniques ou récurrents. Cette forme de sécurité de paiement permet de s’assurer que les données des titulaires de carte sont stockées en toute sécurité et réduit le nombre de fois que les informations de paiement sont transmises sur Internet.

La tokenisation gagne en popularité. L’utilisation de portefeuilles numériques et de codes QR ne sont que deux exemples de la technologie en action qui gagne du terrain. En outre, vous pouvez configurer des jetons de différentes manières : vous pouvez avoir un jeton configuré à partir de votre smartphone, d’une montre intelligente ou même de votre voiture qui peut ensuite fournir des paiements à un fournisseur spécifique ou plusieurs.

Pourquoi devrais-je utiliser des solutions de paiement conformes à la norme PCI ?

Lorsqu’elle est correctement implémentée, l’utilisation d’une solution P2PE répertoriée pci SSC - installée de manière PCI, adhérant au manuel PCI et approuvée par un auditeur approuvé PCI - offre plusieurs avantages :

1. Réduit le risque de perte de données de carte de paiement : Les données sont chiffrées au point d’intérêt et ne peuvent pas être déchiffrées dans votre environnement
2. Réduit l’étendue de votre portée d’évaluation PCI DSS : Vous pouvez considérer que tout système de point de vente connecté, votre réseau et d’autres composants/appareils partageant ce réseau sont hors de portée
3. Simplifie la conformité PCI DSS : Moins d’exigences PCI DSS applicables, une évaluation de la conformité simplifiée et une réduction potentielle du coût du maintien de la conformité.

Pour de nombreux détaillants, les efforts pour continuer à déployer des solutions de paiement conformes à la norme PCI sont entravés par des contraintes budgétaires, une technologie de paiement en constante évolution et, au cours des deux dernières années, la pandémie mondiale. Les commerçants sont invités à traiter les paiements par carte de plus en plus de façons - en magasin et en ligne - et doivent toujours être en mesure de sécuriser ces données et de répondre aux exigences PCI. Beaucoup doivent faire tout cela avec potentiellement moins de financement en raison du ralentissement économique soulevé sur tout le monde des problèmes liés à COVID.

Mais ne pas respecter la conformité PCI s’accompagne également de coûts élevés. Par exemple, un grand détaillant américain a exposé les données de paiement de 70 millions de clients.

Que se passe-t-il si je ne m’y conforme pas ?

En cas de violation de données, les dommages causés par un système de paiement non conforme peuvent être importants.

• Amendes : Après une violation, les sites Web non conformes peuvent être contraints de payer de lourdes amendes par les organismes de réglementation

• Suspension des cartes de crédit : Si vous rencontrez une violation de données, les régulateurs PCI peuvent révoquer votre capacité à accepter les paiements par carte de crédit

• Examen médico-légal obligatoire : Vous devrez peut-être subir un examen médico-légal coûteux et fastidieux avec un enquêteur judiciaire PCI approuvé (FSI)

• Responsabilité pour les accusations de fraude : Il est possible que vous soyez responsable d’une poursuite pour fraude si les données sensibles de vos clients ont été volées

• Coûts de remplacement des cartes de crédit : Les coûts de réémission des cartes de crédit (y compris l’expédition, la communication et l’activation) peuvent vous être transférés par les émetteurs de cartes

• Notification et surveillance du crédit : Vous devrez peut-être informer tous les clients d’une violation de la sécurité et fournir aux clients concernés des services de surveillance du crédit

• Réévaluation de la conformité PCI : Enfin, vous devrez peut-être subir une réévaluation PCI complète pour retrouver la capacité d’accepter les cartes de crédit

TRG fournit des solutions de sécurité des paiements

Chez TRG, nous nous engageons à « rendre la technologie simple », en particulier dans les solutions de mobilité d’entreprise, de point de vente et de traitement des paiements. La sécurité des paiements de TRG est alimentée par MRK Technologies, une société sœur de TRG sous l’égide de TruWest Companies. MRK Technologies apporte des décennies d’expérience, ainsi que les personnes, le processus et la procédure pour fournir des résultats inégalés.
Notre portefeuille combiné d’expérience et d’expertise nous fournit les informations d’identification nécessaires pour mettre en œuvre les solutions de paiement conformes à la norme PCI dont vous avez besoin :

• Fournisseur certifié de solutions PCI P2PE

• QIR et CTGA Personnel sur le personnel

• CERTIFIÉ PCI PIN ANSI TR-39 Niveau 3

• ESO enregistré, parrainé par Wells Fargo et Bank of America

• Fournisseur de services validé par l’entremise de VISA®

• Membre du Pci Security Standards Council

• Installation d’injection de clés terminales de paiement

TRG travaille également comme une extension de votre équipe pour fournir une suite de solutions pour surveiller, conseiller, alerter et répondre aux menaces de sécurité de l’information 24/7/365. Avec TRG, vous ne recevez pas seulement des recommandations et des suggestions de produits de sécurité , vous obtenez un accès direct à l’expertise et à l’expérience collectives de nos professionnels chevronnés de la sécurité de l’information.

Avec la suite la plus complète de services de gestion du cycle de vie du secteur, nous offrons d’autres services tels que notre support de gestion unifiée des terminaux (UEM) pour vous aider à optimiser pleinement votre programme de mobilité d’entreprise sur une large gamme d’appareils et de systèmes d’exploitation. Nos services sur site sont adaptés aux exigences de chaque client et sont soutenus par nos techniciens experts.

Connectez-vous à TRG pour en savoir plus sur la mise en œuvre de solutions de paiement conformes à la norme PCI afin de protéger les données des titulaires de carte et de traiter efficacement vos évaluations de conformité.