IT Glossary
PCI DSS protège les données de cartes de paiement chez tous ceux qui les manipulent. Découvrez ce qu'exige la version 4.0 en matière d'accès.
August 7, 2026
PCI DSS (Payment Card Industry Data Security Standard) est la norme de sécurité qui s'impose à toute organisation stockant, traitant ou transmettant des données de cartes de paiement. Elle est maintenue par le PCI Security Standards Council et appliquée contractuellement par les réseaux de cartes et les banques acquéreuses, et non par la loi. La version en vigueur est la 4.0, qui a remplacé la 3.2.1 le 31 mars 2024.
Les versions antérieures laissaient la fréquence de revue à l'interprétation. La version 4.0 l'énonce : les comptes utilisateurs et les privilèges d'accès associés sont réexaminés au moins tous les six mois, et la revue doit confirmer que l'accès reste adapté à la fonction occupée. Cette exigence est devenue obligatoire en mars 2025. Pour les entreprises qui pratiquent déjà des revues trimestrielles, cela ne change rien. Pour celles qui réexaminent une fois par an, c'est un écart qui apparaîtra à la prochaine évaluation.
Une entreprise européenne de commerce en ligne a délimité son environnement de données de porteurs de cartes à six systèmes et en réexamine les accès une fois par an. L'évaluation en version 4.0 réclame deux revues sur les douze derniers mois, compte par compte, avec la preuve que les accès inappropriés ont été retirés. Ajouter le second cycle est simple. Produire la preuve compte par compte, sur six systèmes et leurs rôles d'administration, est le point où l'approche manuelle cesse de tenir. Corma exécute ces campagnes et conserve la preuve de révocation attachée à chaque ligne.
Tout commerçant, prestataire de services ou processeur qui stocke, traite ou transmet des données de porteurs de cartes, à un niveau de validation défini par le volume annuel de transactions.
Non. C'est une norme contractuelle imposée par les réseaux de cartes via les banques acquéreuses. Le non-respect entraîne des pénalités, des frais majorés ou la perte de la capacité à traiter les cartes.
Au moins une fois tous les six mois, pour tous les comptes utilisateurs et les privilèges d'accès associés, au titre de l'exigence 7.2.4.
Oui, par la segmentation réseau et en ne stockant aucune donnée de porteur de carte. Réduire le périmètre est généralement la décision de conformité la moins coûteuse qu'une entreprise puisse prendre.
