La réduction de votre degré
d’exposition au risque devrait être votre principale
préoccupation.
 Par
Marc Decary
Directeur de la sécurité des données,
Respect de la conformité
Solutions Moneris
La protection de l’information de votre
client est importante et peut aider votre entreprise à
créer et à maintenir une image positive, à
hausser la confiance du client et même à améliorer
votre résultat net. La sécurité des données
des titulaires de carte est votre responsabilité.
Tous les commerçants qui mettent en
mémoire, traitent ou transmettent des données
sur les titulaires de cartes, doivent se conformer à
la norme de sécurité des données de l’industrie
des cartes de paiement (la norme ICP). Cette norme existe
depuis décembre 2004 et depuis ce temps, tous les commerçants
doivent s’y conformer afin de protéger les données
sur les titulaires de carte et assurer la sécurité
des réseaux de paiement. Pour obtenir un complément
d’information sur la norme de sécurité
des données de l’industrie des cartes de paiement,
visitez www.moneris.com/fr/pci.
Au cours de la dernière année,
plusieurs importantes brèches à la sécurité
ont été médiatisées. Ceci a obligé
les consommateurs à être plus sensibilisés
que jamais à l’égard de la protection
de leurs données personnelles. Une brèche de
sécurité peut être dévastatrice
pour un commerçant. Les amendes et les frais encourus
à la suite d’une brèche peuvent avoir
de sérieuses répercussions financières
sur vos activités, et plus encore, si la brèche
est rendue publique; cela peut avoir une incidence négative
sur votre image de marque.
Voici les façons les plus efficaces de
réduire votre risque :
- Ne mettez pas en mémoire l’ensemble
des données de la bande magnétique.
Il est interdit de mettre en mémoire l’ensemble
des données de la bande magnétique sur une
carte de crédit. Si vous mettez en mémoire
ces données, non seulement vous ne vous conformez
pas à la norme ICP, mais vous vous mettez encore
plus à risque. La valeur de ces données pour
les pirates est très importante. Il est possible
de créer très facilement un double de la carte
qui semblera identique à la carte originale au moment
du processus d’autorisation.
- Ne mettez pas en mémoire le code de validation
de la carte (CVV2 / CVC2 /CID).
Le code de validation de la carte (aussi connu sous CVV2/CVC2/CID)
est un code de trois chiffres indiqué au verso d’une
carte de crédit. Ce code est utilisé lors
d’une transaction sans la présence de la carte
(commande postale, commande téléphonique ou
par commerce électronique) pour valider que le client
est en possession de la carte de crédit. Il est interdit
de mettre en mémoire cette information selon la norme
ICP.
- Mettez en mémoire seulement les données
sur les titulaires de carte dont vous avez besoin et protégez-les.
Les seules informations que vous pouvez mettre en mémoire
sont le numéro de la carte, la date d’échéance,
le nom du titulaire de carte et le code de service. Mettez
en mémoire seulement l’information dont vous
avez besoin. Si vous mettez en mémoire cette information,
assurez-vous que les données sont protégées
conformément à la norme ICP.
Plusieurs marchands utilisent des fournisseurs
de services tiers ou des applications de paiement de tiers
pour les aider au niveau du traitement des transactions de
paiement. C’est essentiel que vous confirmiez que les
services obtenus sont conformes aux exigences de la norme
ICP.
Un fournisseur de service est une entité
autre qu’un membre d’une marque de carte de paiement
ou un commerçant qui met en mémoire, traite
ou transmet de l’information sur les titulaires de carte.
Tous les fournisseurs de service doivent certifier qu’ils
sont conformes à la norme PCI. Visa et MasterCard publient
une liste des fournisseurs de service conformes sur leurs
sites Web respectifs. Pour consulter les listes, visitez Visa
Canada, Visa
USA, MasterCard
Worldwide.
Si vous utilisez un logiciel basé
sur des applications de paiement de tiers pour traiter vos
transactions, vous devez vous assurer que les applications
répondent aux exigences de conformité de la
norme PCI. Visa a élaboré des pratiques exemplaires
en matière d’applications de paiement (PABP)
pour permettre aux fournisseurs de logiciels de valider la
conformité de leurs applications en fonction de la
norme PCI pour ainsi supporter les commerçants. Vous
trouverez une liste des applications de paiement qui sont
conformes aux meilleures pratiques PABP sur le site Visa.
Marc Decary possède une vaste expérience
dans le secteur de l’industrie du traitement des paiements.
Il est présentement gestionnaire des programmes de
conformité de l’Association des cartes relativement
à la sécurité des données pour
nos commerçants.
|
