Norme de sécurité des données (DSS) d’industrie de carte de paiement (PCI)

  • Article

Présentation du PCI DSS

La PCI DSS (norme de sécurité des données de l’industrie des cartes de paiement) est une norme mondiale de sécurité des informations conçue pour empêcher la fraude via un contrôle accru des données de carte de crédit. Les organisations de toutes tailles doivent se conformer aux normes PCI DSS si elles acceptent les cartes de paiement des cinq principales marques de cartes de crédit : Visa, MasterCard, American Express, Discover et le Japan Credit Bureau (JCB). La conformité avec la norme PCI DSS est requise pour toute organisation qui stocke, traite ou transmet un paiement et les données du titulaire de la carte.

Microsoft et la norme PCI DSS

Microsoft a réalisé une évaluation PCI DSS annuelle en utilisant un évaluateur qualifié approuvé (QSA) en matière de sécurité. Les auditeurs ont examiné les environnements Microsoft Azure, Microsoft OneDrive Entreprise et Microsoft Office SharePoint Online, notamment la validation de l’infrastructure, du développement, des opérations, de la gestion, du support et des services dans l’étendue. La norme PCI DSS désigne quatre niveaux de conformité basés sur un volume de transaction. Azure, OneDrive Entreprise et SharePoint Online sont certifiés compatibles aux termes de PCI DSS version 3.2, fournisseur de services Niveau 1 (le volume le plus élevé de transactions, plus de 6 millions par an).

Cette évaluation a abouti à une attestation de conformité (AoC), disponible pour les clients, et à un rapport de conformité (RoC) publié par l’évaluateur QSA. La période d’effet pour la conformité commence au passage de l’audit et à la réception de l’attestation AoC de l’évaluateur, et elle se termine un an après la date de signature de l’attestation AoC par ce dernier.

Les clients qui veulent développer un environnement du titulaire de la carte ou un service de traitement de la carte peuvent tirer profit de ces validations dans beaucoup des parties sous-jacentes, réduisant ainsi l'effort et les coûts associés à l'acquisition de leur propre certification PCI DSS.

Il est important de comprendre que les status de conformité PCI DSS pour Azure, OneDrive Entreprise et SharePoint Online ne se traduisent pas automatiquement en certification PCI DSS pour les services que les clients créent ou hébergent sur ces plateformes. Les clients sont responsables de s’assurer de se conformer aux exigences PCI DSS.

Plateformes et services du cloud computing de Microsoft dans le champ d’application

  • Azure et Azure Government
  • Intune
  • Microsoft Defender for Cloud Apps
  • Microsoft Defender pour point de terminaison
  • Microsoft Graph
  • Office 365
  • OneDrive Entreprise et SharePoint Online (États-Unis uniquement)
  • Le Service Cloud PowerApps, en tant que service autonome, ou inclus dans un plan ou une suite Office 365 ou encore Dynamics 365
  • Power Automate : en tant que service autonome, ou inclus dans un plan ou une suite Office 365 ou encore Dynamics 365
  • Service Cloud Power BI en tant que service autonome, ou inclus dans un plan ou une suite Office 365

Azure, Dynamics 365, et PCI DSS

Pour plus d’informations sur la conformité à Azure, Dynamics 365 et d’autres services en ligne, consultez l’offre PCI DSS d’Azure .

Office 365 et PCI DSS

Office 365 environnements

Microsoft Office 365 est une plateforme cloud hyperscale mutualisée et une expérience intégrée d’applications et de services disponibles pour les clients de plusieurs régions du monde. La plupart des services Office 365 permettent aux clients de spécifier la région où se trouvent leurs données client. Microsoft peut répliquer des données client vers d’autres régions au sein de la même zone géographique (par exemple, les États-Unis) pour la résilience des données, mais Microsoft ne répliquera pas les données client en dehors de la zone géographique choisie.

Cette section couvre les environnements Office 365 suivants :

  • Logiciel client (client): logiciel client commercial en cours d’exécution sur les appareils clients.
  • Office 365 (commercial) : service cloud Office 365 public commercial disponible dans le monde entier.
  • Cloud de la communauté du secteur public Office 365 (GCC) : le Service cloud Office 365 GCC est disponible pour le gouvernement fédéral, d’état, local et tribaux des États-Unis, et pour les sous-traitants qui détiennent ou traitent des données pour le compte du gouvernement des États-Unis.
  • Cloud de la communauté du secteur public Office 365 - Haut (GCC High): le Service cloud Office 365 GCC High est conçu conformément aux instructions des exigences de contrôle de sécurité de niveau 4 du Ministère de la défense (DoD) et prend en charge les informations fédérales et de défense strictement réglementées. Cet environnement est utilisé par les agences fédérales, la Base industrielle de défense (DIB) et les sous-traitants du secteur public.
  • Office 365 DoD (DoD): le Service cloud Office 365 DoD est conçu conformément aux contrôles de niveau 5 des directives de sécurité et prend en charge des réglementations fédérales et de défense strictes. Cet environnement est destiné à une utilisation exclusive par le département de la Défense des États-Unis.

Utilisez cette section pour vous aider à respecter vos obligations de conformité entre les secteurs réglementés et les marchés mondiaux. Pour savoir quels services sont disponibles dans quelles régions, consultez l’articleInformations sur la disponibilité internationale etOù vos données client Microsoft 365 sont stockées. Pour plus d’informations sur l’environnement cloud Office 365 Secteur public, consultez l’article Environnement cloud pour le secteur public Office 365 .

Votre organisation est entièrement responsable de la conformité avec toutes les lois et réglementations applicables. Les informations fournies dans cette section ne constituent pas des conseils juridiques et vous devez consulter des conseillers juridiques pour toute question concernant la conformité réglementaire de votre organisation.

L’applicabilité d’Office 365 et des services dans l’étendue

Utilisez le tableau suivant pour déterminer l’applicabilité de vos services et abonnements Office 365 :

l’applicabilité Les Services dans l’étendue
Commerciale OneDrive Entreprise, SharePoint Online

Audits, rapports et certificats d’Office 365

Questions fréquemment posées

Pourquoi la page de couverture attestation de conformité (AoC) indique-t-elle « Septembre 2022 » ?

La date de septembre 2022 sur la page de garde correspond à la date de publication du modèle AoC. Reportez-vous à la Section 2 pour obtenir la date de l’évaluation.

Quelle est la relation entre PA DSS et PCI DSS ?

La PA DSS (Payment Application Data Security Standard) est un ensemble d’exigences qui sont conformes à la PCI DSS et remplace les Meilleures Pratiques de la Demande de Paiement du Visa, tout en consolidant également les exigences de conformité des autres principaux émetteurs de carte. PA DSS aide les fournisseurs de logiciel à développer des applications tierces qui stockent, traitent ou transmettent des données de paiement de détenteur de carte dans le cadre d’un processus de règlement ou d’autorisation de carte. Afin d’atteindre efficacement leur conformité PCI DSS, les détaillants doivent utiliser des applications certifiées PA DSS. PA DSS ne s’applique pas à Azure.

Qu'est-ce qu'un acquéreur et Azure en utilise-t-il un ?

Un acquéreur est une banque ou autre entité qui traite des transactions de carte de paiement. Azure n’offre pas de traitement de carte de paiement en tant que service et n’utilise donc pas un acquéreur.

À quelles organisations et à quels marchands la PCI DSS s'applique-t-elle ?

Cela s’applique à toute société, quelle que soit la taille ou le nombre des transactions, qui accepte, transmet ou stocke des données de détenteur de carte. Cela signifie que si un client vient à payer une société en utilisant une carte de débit ou de crédit, alors les exigences PCI DSS s’appliquent. Les sociétés sont validées à un des quatre niveaux basés sur le volume total de transactions sur une période de 12 mois. Le Niveau 1 s’adresse aux sociétés qui traitent plus de 6 millions de transactions par an, le Niveau 2 pour 1 à 6 millions de transactions et le Niveau 3 pour 20 000 à 1 million de transactions, enfin le Niveau 4 concerne un nombre de transactions inférieur à 20 000.

Quelle est l’étendue de OneDrive Entreprise et de SharePoint Online ?

Pour l’instant, seuls les fichiers et documents téléchargés sur OneDrive Entreprise et SharePoint Online seront conformes au standard PCI DSS.

Utiliser le Gestionnaire de conformité Microsoft Purview pour évaluer vos risques

Le Gestionnaire de conformité Microsoft Purview est une fonctionnalité de la portail de conformité Microsoft Purview qui vous aide à comprendre la posture de conformité de votre organization et à prendre des mesures pour réduire les risques. Le Gestionnaire de Conformité offre un modèle Premium pour la création d’une évaluation de ce règlement. Recherchez le modèle sur la page modèles d’évaluation dans le Gestionnaire de Conformité. Découvrez comment créer des évaluations dans le Gestionnaire de Conformité.

Ressources