PCI DSS v4 : réussir sa mise en conformité monétique

Toute organisation qui stocke, traite ou transmet des données de cartes de paiement — banques émettrices et acquéreuses, processeurs, fintechs, grands commerçants — doit se conformer au standard PCI DSS. La version 4, qui a définitivement remplacé la v3.2.1, n'est pas un simple toilettage : elle rehausse durablement le niveau d'exigence, avec une montée en charge progressive de ses nouvelles exigences devenues obligatoires depuis le 31 mars 2025.

Ce qui change vraiment avec la v4

• Authentification renforcée : MFA généralisée pour tous les accès à l'environnement des données de cartes (CDE), pas seulement les accès administrateurs.
• Mots de passe et comptes : exigences durcies, revue régulière des comptes et des droits.
• Sécurité du e-commerce : inventaire et contrôle d'intégrité des scripts de pages de paiement, détection des attaques de type skimming (exigences 6.4.3 et 11.6.1).
• Surveillance continue : revue des journaux automatisée, détection des échecs de contrôles.
• Approche personnalisée : possibilité de répondre à l'objectif d'une exigence par un contrôle alternatif documenté et testé.

Notre méthode : réduire le périmètre d'abord

Le coût de la conformité PCI DSS est proportionnel à la taille du périmètre. Avant d'empiler les contrôles, il faut réduire l'environnement des données de cartes : segmentation réseau stricte, tokenisation, externalisation du traitement vers des prestataires certifiés. Un périmètre divisé par deux, c'est un audit divisé par deux — et des risques réellement réduits.

Vient ensuite la mécanique de preuve : chaque exigence doit être démontrable à l'évaluateur (QSA) par des configurations, des journaux et des procédures à jour. Les organisations qui réussissent traitent PCI DSS comme un programme permanent — avec un responsable identifié et des contrôles automatisés — et non comme un sprint annuel avant l'audit.

Optima Advisory accompagne banques et fintechs ouest-africaines sur l'ensemble du cycle PCI DSS : cadrage du périmètre, remédiation technique, préparation à l'audit QSA et maintien de la conformité dans la durée.