PCI
La sécurité du commerce électronique est une priorité pour TPL. Pour garantir cela, nous sommes fiers d'annoncer que nous sommes entièrement conformes au PCI DSS. Dans un effort accru pour protéger l'intégrité des informations personnelles, le Conseil de Sécurité PCI impose aux entreprises en ligne une série de réglementations visant à sécuriser les achats en ligne. TPL respecte toutes les spécifications définies par le Conseil des Normes de Sécurité PCI avec excellence – nous avons démontré que la gestion de la sécurité, les politiques de sécurité, l'architecture réseau et la conception logicielle sont protégées et exemptes de vulnérabilités susceptibles d'entraver nos ventes en ligne.
Quelles sont les normes PCI ?
La norme de sécurité des données de l'industrie des cartes de paiement (Payment Card Industry Data Security Standard, PCI DSS) est un ensemble largement accepté de politiques et de procédures visant à optimiser la sécurité des transactions effectuées avec des cartes de débit, de crédit ou de paiement et à protéger les titulaires de cartes contre l'utilisation abusive de leurs informations personnelles. Le PCI DSS a été créé conjointement en 2004 par quatre grandes sociétés de cartes de crédit : Visa, MasterCard, Discover et American Express.
Le PCI DSS définit et traite six objectifs principaux.
Premièrement, un réseau sécurisé doit être maintenu pour effectuer des transactions. Cette exigence inclut l'utilisation d'un pare-feu suffisamment puissant pour être efficace sans perturber inutilement les titulaires de cartes ou les commerçants. De plus, les identifiants tels que les numéros d'identification personnelle (PIN) et les mots de passe ne doivent pas inclure les paramètres par défaut fournis par les vendeurs. Les clients doivent pouvoir modifier ces données facilement et fréquemment.
Deuxièmement, les informations des titulaires de cartes doivent être protégées, où qu'elles soient stockées. Les dépôts contenant des informations critiques telles que les dates de naissance, les noms de jeune fille des mères, les numéros de sécurité sociale, les numéros de téléphone et les adresses e-mail doivent être sécurisés contre le piratage. Lorsque les données des titulaires de cartes sont transmises via des réseaux publics, elles doivent être efficacement cryptées. Le cryptage numérique est essentiel pour toutes les formes de transactions par carte de crédit, en particulier dans le commerce électronique.
Troisièmement, les systèmes doivent être protégés contre les attaques de pirates informatiques à l'aide de logiciels antivirus à jour, de programmes antispyware et d'autres solutions antimalware. Toutes les applications doivent être exemptes de bogues et de vulnérabilités qui pourraient conduire au vol ou à la modification des informations des titulaires de cartes. Les mises à jour de sécurité fournies par les logiciels et les systèmes d'exploitation doivent être régulièrement installées pour garantir le plus haut niveau possible de gestion des vulnérabilités.
Quatrièmement, l'accès aux informations et aux fonctionnalités des systèmes doit être limité et contrôlé. Les titulaires de cartes ne doivent fournir des informations aux entreprises que lorsque ces dernières ont besoin de ces informations pour protéger leurs données et effectuer efficacement une transaction. Toute personne utilisant un ordinateur sur le système doit se voir attribuer un nom ou un numéro d'identification unique et confidentiel.
Cinquièmement, les réseaux doivent être surveillés en permanence et régulièrement audités pour garantir que toutes les mesures et procédures de sécurité sont en place, fonctionnent correctement et sont à jour. Par exemple, les programmes antivirus et antispyware doivent être dotés de leurs dernières versions. Ces programmes doivent analyser fréquemment, voire en continu, toutes les données échangées, toutes les applications, toute la mémoire vive (RAM) et tous les supports de stockage.
Sixièmement, une politique officielle de sécurité des informations doit être définie, maintenue et respectée en toutes circonstances et par toutes les parties concernées. Des mesures coercitives, telles que des audits et des sanctions en cas de non-conformité, peuvent être nécessaires.