Sommes-nous concernés par PCI DSS Niveau 1 — quel niveau s'applique à notre volume de transactions ?

Regardez bien si votre site utilise une iframe ou s'il charge une bibliothèque JavaScript en direct, c'est capital. Si c'est une redirection pure ou une iframe standard, c'est le SAQ A : une vingtaine de cases oui/non à cocher et c'est plié. Par contre si le formulaire de carte est rendu sur votre propre domaine, il faut le SAQ A-EP, et là vous aurez l'obligation de faire des scans de vulnérabilité trimestriels par un ASV.

Le cabinet de conseil vous a fait du pur marketing de la peur. Ça fait 15 ans que je gère des infrastructures e-commerce, je n'ai jamais vu une seule PME sous la barre des 6 millions passer en Level 1. Le formulaire envoyé par la banque est très probablement un modèle standard envoyé pour les contrôles annuels de routine. Demandez à votre conseiller bancaire quel est votre type de SAQ, ne vous lancez pas dans des frais d'audit inutiles.

Les notifications transmises par les banques découlent généralement de la réglementation de la BDDK et de la mise à jour annuelle des inventaires requise par les réseaux de cartes internationaux. Il vous suffira de répondre à votre banque par un courrier officiel précisant votre volume de transactions, le fait que vous ne stockez aucune donnée de carte et que les données du porteur transitent directement par l'infrastructure d'un établissement de paiement agréé.

Avez-vous déjà eu par le passé des soupçons de fuite de données bancaires depuis votre système ou une vague inhabituelle de chargebacks signalée par les banques ? Car même avec un faible volume de transactions les réseaux de cartes peuvent, par décision administrative, reclasser en Level 1 une entreprise chez qui une faille de sécurité a été détectée. Si ce n'est pas votre cas, ce devis est totalement injustifié.

on utilise aussi un TPE virtuel, mais ce formulaire SAQ, on le télécharge où et on le remet à qui ? du coup il faut obligatoirement la signature d'un expert externe pour le remplir ou la signature du responsable de l'entreprise suffit ?

Avant de dépenser le moindre centime, allez sur le tableau de bord de votre passerelle de paiement. La plupart des établissements de paiement fournissent gratuitement dans l'onglet conformité leur propre certificat PCI DSS ainsi qu'une déclaration SAQ préremplie à votre nom. Vous la téléchargez, vous l'envoyez à la banque et en général ça règle le problème direct.

On a vécu exactement la même chose l'an dernier avec un volume similaire. On a rempli le formulaire SAQ A, on l'a tamponné, envoyé à la banque et l'affaire était réglée. On a juste fait faire un scan externe de vulnérabilités deux fois par an pour notre site, et ça nous a coûté environ 6.000 TL au total. 180.000 TL, c'est clairement une arnaque.

La solution qui semble bon marché finit souvent par coûter cher. Le fait que la sauvegarde soit accessible sur le même réseau et avec la même identité en fait une cible potentielle.

Voilà, désolé si je me suis étendu.

Exact. Si vous grondez les fausses alertes, plus personne ne signalera rien.

Corrigez-moi si je me trompe.

La solution qui semble bon marché finit souvent par coûter cher. La plupart des incidents ne viennent pas d'une faille, mais d'un mot de passe divulgué.

J'espère que cela vous sera utile.

Ce sujet est archivé.

Je pense différemment. Si le chemin de notification est long, la notification n'arrive pas ; une notification manquante signifie un événement détecté tardivement.

J'espère que cela vous sera utile.

ne manquez rien : Si vous ne formalisez pas cela par écrit dès le départ des dispuets éclateront plus tard.

il y a aussi un aspect mesure à considérer puis si vous grondez les fausses alertes, plus personne ne signalera rien.

prendre une mesure sans faire d'inventaire, c'est laisser une porte ouverte sans le savoir.

Ce qui est écrit correspond exactement à ce que nous avons vécu. La sécurité n'est pas absolue ; c'est rendre l'attaque trop coûteuse pour valoir l'effort.

Je suis aussi curieux de savoir si d'autres font autrement.

Je suis d'accord. Lors de la prise de décision, écrivez aussi le pire scénario pas seulement le meilleur.

Une modification des coordonnées bancaires n'est jamais confirmée par le canal d'origine. Corrigez-moi si je me trompe.

Cette approche a un coût dont on ne parle pas. Aucun processus sans suivi ne s'améliore, car vous ne savez pas quoi corriger.

Si vous avez des questions, écrivez-moi je répondrai au mieux.

résumé rapide pour les nouveaux : Tout va bien les trois premiers mois, les problèmes arrivent au quatrième.

c'est confirmé par l'expérience.