La norme de stockage des données de cartes de crédit fait peau neuve

Le lancement de la nouvelle version de la norme PCI DSS (Payment Card Industry Data Security Standard) en octobre devrait être accueilli avec soulagement par les commerçants en ligne. La norme de stockage des données de cartes de crédit a reçu une réponse plutôt mitigée depuis son lancement en 2006.

La nouvelle version tiendra compte de la plupart des commentaires glanés au cours de ces deux dernières années et devrait être plus claire, à en croire Bob Russo, directeur général du PCI Security Standards Council.

« Plutôt que de publier une norme totalement nouvelle, nous avons choisi de sortir une révision de la norme 1.1, de façon à ne pas induire de changements majeurs dans la manière dont les utilisateurs devront l’appliquer », explique-t-il. « Plus tard, lorsque nous passerons à la version 2.0, nous introduirons probablement des changements importants, mais [dans cette version] nous avons fait le choix de clarifier la norme et de consolider un certain nombre d’exigences secondaires. »

Le seul changement notable concerne l’ajout d’une exigence explicite: toutes les transmissions sans fil des données d’un détenteur de carte doivent être cryptées via des réseaux publics. Et ce conformément aux meilleures pratiques du secteur. A cela s’ajoute l’obligation que tous les logiciels antivirus fonctionnent sur tous les systèmes d’exploitation et gérent toutes les variétés de malware.

Selon Bob Russo, le passage entre les deux versions se fera en douceur, ce qui signifie que les entreprises qui déploient actuellement la version 1.1 n’auront pas à modifier leurs plans pour adopter la nouvelle norme. Les propositions actuelles concernant le DSS 1.2 sont en cours d’examen et une version finale devrait être publiée début octobre.

Traduction de l’article New PCI DSS details released de Vnunet.com en date du 21 août 2008.