En rappel : PCI conformité, serez-vous prêts avant le 1er mars 2018?

Petit rappel aux agences de voyages : il sera désormais obligatoire pour tous les détenteurs d'un numéro IATA transigeant des informations confidentielles (identité, cartes de crédit, etc.) d'être conforme avec les normes du Conseil de sécurité PCI d'ici le 1er mars 2018, quelle que soit la taille de leurs opérations.

L'Association canadiennes des agences de voyage (ACTA), en coopération avec l'entreprise spécialisée dans le support à la certification PCI DSS Accel PCI, a présenté hier un webinaire visant à aider les commerçants dans la conformisation de leur entreprise dans les délais prévus par l'Association internationale du transport aérien.

Manon Martel, directrice régionale, services aux membres, Québec de l'ACTA, expliquait d'emblée que "certains membres de l'association trouvent que la conformité PCI est un sujet complexe, qui les mélange, et c'est largement du au fait qu’il y a beaucoup de variables dépendant notamment de la taille de l’entreprise".

Voici donc un survol des procédures entourant la conformité PCI ainsi que quelques trucs pour s'y retrouver.

Qu’est-ce que PCI DSS?

La norme de sécurité des données de l'industrie des cartes de paiement (PCI DSS) est une norme mondiale visant à protéger les informations confidentielles contre le vol. Il s'agit d'une série de standards en sécurité visant à assurer que les marchands qui traitent les informations de carte de crédit maintiennent un environnement sécuritaire

"80% des crimes commis sur l'Internet sont liés aux cartes de crédit et aux pratiques frauduleuses", rappelait Manon Martel. "Les pertes étaient évaluées à 11 milliards de dollars pour 2017 seulement, et c'est sans compter l'aspect du vol de données personnelles, au-delà de la fraude à proprement parler".

Même pour les agences qui ne débitent pas les cartes de crédits?

La norme PCI DSS est disponible pour passer en revue gratuitement à https://www.pcisecuritystandards.org/pci_security.

Dès le 1er mars 2018, la norme PCI DSS s'appliquera à toute organisation acceptant des données de carte de paiement indépendamment de la taille ou du nombre de transactions acceptées, de la méthode de transmission ou de stockage des données de titulaire de carte.

Le spécialiste PCI, James Barnard, directeur de projets pour ACCEL PCI, est catégorique : les agences de voyages doivent elles aussi être conformes même si elles ne font que transmettre les informations de paiement au tour-opérateur ou à un fournisseur.

"Aussitôt que vous manipulez des cartes de crédits, vous êtes une courroie de transmission dans le paiement, vous êtes impliqués dans le processus. Il faut s’impliquer le moins possible afin de remplir les critères les moins élevés SAQ. Mais à la moindre implication, il faut être conforme, même si c’est le tour-opérateur qui débite la carte".

Quel sont les types de carte de crédit couvert par PCI DSS ?

Aux fins de PCI DSS, seules les cartes de crédit American Express, Discover, JCB International, Mastercard et Visa sont couvertes. Les cartes INTERAC sont actuellement exclues.

Comment se conformer?

Pour devenir conforme, un marchand doit d'abord mettre en place les items suivants :

1. Déployer un ensemble de documents sur la façon de réagir et protéger des données confidentielles.
2. Former annuellement sur la sensibilisation à la sécurité informatique et sur les crimes modernes tout le personnel en contact avec des données de carte.
3. S’assurer que des contrôles adéquats sont en place sur la façon dont les cartes sont acceptées.
4. Dans certains cas, des tests sont aussi requis.
5. De plus, les marchands devront démontrer une fois par an à l'acquéreur qu'ils ont déployé les mesures appropriées en fournissant un auto-questionnaire.

Toute la documentation se trouve ici : https://fr.pcisecuritystandards.org/minisite/env2/

Pour démontrer leur conformité, les agents de voyages doivent fournir à IATA une copie de leur attestation SAQ (auto-questionnaire). Le questionnaire d’orientation initial prend approximativement 30-35 minutes. Une fois votre SAQ défini, Vous sélectionner votre forfait de correspondant. Typiquement, le processus prendra entre 8-10 heures afin de suivre les formations, lire la documentation, faire des tests le cas échéant et compléter l'auto-questionnaire.

Au niveau de la procédure, il faut savoir qu'il n’y a pas de certification clairement définie : la preuve de conformité est l'auto-questionnaire SAQ signé. Il est promordial de conserver ces documents afin de garder une trace du processus de complétion.

Des rabais pour l'assitance Accel PCI aux membres de l'ACTA

Dans le cadre l'entente entre Accel PCI et l'ACTA, les membres de l'association pourront bénéficier d'un rabais de 20 % tant à l'étape du questionnaire initial pour identifier l'auto-questionnaire SAQ adapté ainsi qu’au forfait de support pour la méthode pas à pas de support à la conformité.

Accel-PCI gère un portail de certification fournissant des exemples de documentation et une méthode pas à pas simplifiée, en plus de fournir des services (questionnaire d'orientation, documentation, formation vidéo, système e-learning) qui sont destinés aux petits marchands, particulièrement ceux de l'industrie de voyage.

Pour toute question, n'hésitez pas à contacter un membre de l'équipe ACTA au 888-257-2282 ou encore Ryan Rees de Accel PCI au 438-821-0486 ou ryan.rees@accel-pci.com.