Barbacane Security - Mots-de-passe

            # Barbacane Security
            Securite de l'information, securite des paiements, cybersecurite

            - [Home](index.html)
            - [A propos](index.html#about)
            - [Services](index.html#services) 
            - [Papiers](papiers_home.html)
            - [Contact](#contact)

            Introduction a PCI DSS

				## Presentation de PCI DSS			
				PCI DSS veut dire: **P**ayment **C**ard **I**ndustry **D**ata **S**ecurity **S**tandard ou, en francais, Standard de Securite des Donnees de l’Industrie du Paiement par Carte. C’est un ensemble d’exigences de securite dont l’objectif est d’assurer la confidentialite des donnees qu’on trouve sur une carte de paiements et la disponibilite des systemes qu’on met en oeuvre afin de securiser ces donnees. Le standard ne traite pas les concepts de disponibilite ni d’integrite des donnees carte.

				Afin de reduire le risque de fraude, chacune des marques de carte de paiement prominentes a d’abord essaye de mettre en place son propre standard mais il est rapidement devenu evident que ce n’etait pas une situation gerable. Visa, Mastercard, American Express, Discover et JCB ont donc mis en place une organisation chargee de creer un standard commun avec son ecosysteme. C’est la raison d’etre du PCI SSC (PCI Security Standards Council). Depuis peu, Union Pay (Chine) a rejoint les marques fondatrices. Chacune des marques de carte de paiement a sont propre programme de securite base sur le standard PCI DSS. C’est pour ca que chaque publication de PCI SSC est validee par les marques de carte. Je developperai le sujet un peu plus tard.

				## A qui s’applique PCI DSS?
				PCI DSS s’applique a toute organisation/environnement qui traite, et/ou stocke, et/ou transmet  des donnees carte. Il s’applique aussi a ceux qui peuvent impacter la securite  d’un environnement qui traite, stocke, transmet des donnees carte, cela se voit quand l’organision a sous-traite la gestion d’une ou plusieurs exigences.

					| Fonction | Fonction | PCI DSS s'applique |
| --- | --- | --- |
| Traite |  | oui |
| Stocke |  | oui |
| Transmet |  | oui |
| Impacte la securite |  | oui |

				Il peut y avoir des exceptions, par exemple, si un environnement recoit des **PAN** remplaces par des « tokens » (valeur de substitution) generes par un autre environnement et que votre environnement n’a aucun moyen de retrouver le PAN associe, alors PCI DSS ne s’applique pas au PAN. Dans tous les cas, il faut prendre conseil aupres d’un auditeur PCI DSS, de sa banque si on est un marchand ou directement de la marque de carte de paiement avec laquelle on a un contrat.

				Note: PAN veut dire **« Primary Account Number »**, le long numero (16 chiffres en general) sur la face avant d’une carte de paiements.

				## Qui decide si je dois etre conforme a PCI DSS?
				Voici qui decide si et comment vous devez valider votre conformite a PCI DSS:

				   Il y a plusieurs cas:
				   
						**Vous etes un marchand:**    
						C’est votre banque (votre acquereur) qui va evaluer votre profil de risques en fonction de votre volume annuel de transactions et, eventuellement d’autres criteres. Les regles pour ceci sont dictees par les marques de carte.
						
					**Vous etes un fournisseur de service et vous traitez avec une marque de carte:**    
						C’est celle-ci qui decide.
					- **Vous etes un fournisseur de service et vous impactez la securite d’une autre organisation qui est certifiee PCI DSS:**    vous pouvez etre inclus dans l’audit de votre client ou vous faire certifier pour les exigences que vous prenez en compte au nom de votre client. Dans ce dernier cas il vaut mieux s’adresser a une societe d’audit PCI DSS afin d’etre conseille.

				## Vous avez dit donnees de cartes de paiement?
				
				Avant d’aller plus loin, penchons nous sur les donnnees d’une carte de paiement:
					
					|  | La face avant de la carte - Logos : il peut y avoir un ou deux logos de marque de carte, dans le deuxieme cas cela veut dire que deux marques de carte peuvent traiter les paiement effectues par cette carte. L’aiguillage se fait au niveau des processeurs de paiement. - Le long numero: c’est ce qu’on appelle le PAN (Primary Account Number). - Le nom du porteur (ou titulaire) de la carte - La date de fin de validite de la carte. Ici, decembre 2029 - La puce electronique: c’est un veritable ordinateur assurant des fonctions de cryptographie et de stockage des donnees de la carte. |
| --- | --- |
|  | La face arriere - Des pistes magnetiques contenant toutes les donnees de la carte. Ceci n’existera bientot plus. - La signature du porteur de la carte. Aussi appelee a disparaitre. - Le code de verification – code secret utilise pour les ventes a distance - Le PIN – code secret utilise pour les paiements sur place. Ce code n’est pas visible sur la carte mais stocke. |
				
				## Un peu plus de vocabulaire:

				Le PAN, nom du porteur, date de fin de validite forment les donnees du porteur de carte.

				Le code de verification, le PIN et le contenu des donnees sur la puce et les pistes magnetiques forment les donnees d’authentification sensibles.

				L’ensemble des donnees de la carte s’appelle les donnees de compte de la carte.

				Nous reviendrons plus tard sur les exigences de securisations de ce donnees.

                ### About Us
                Nous sommes des professionnels de la cybersecurite et de la securite des paiements, prets a vous assister.

                ### Contact Info
                Email: info@barbacane_secu.com

                ### Website Information
                Derniere mise a jour: 7 sept 2026

                ### Lien vers cette page en 
                [format markdown(.md)](PCI_DSS_Intro.md" target="_blank" rel="noopener noreferrer)