PCI DSS v4.0

Définition

PCI DSS v4.0, publiée par le PCI Security Standards Council en mars 2022 et devenue pleinement obligatoire pour la majorité de ses exigences depuis fin mars 2025, est la version en vigueur du standard de sécurité des données de l'industrie des cartes de paiement, applicable à toute organisation qui stocke, traite ou transmet des données de titulaires de cartes bancaires. Cette révision majeure introduit l'approche personnalisée (customized approach), qui permet désormais à une organisation de démontrer la satisfaction d'une exigence de sécurité par une méthode alternative de son choix, à condition d'en documenter rigoureusement l'efficacité équivalente auprès de son auditeur QSA, offrant une flexibilité technique inédite comparée à l'approche définie (defined approach) traditionnelle qui imposait une mise en œuvre prescriptive unique. La version 4.0 renforce significativement les exigences d'authentification, en généralisant l'obligation de l'authentification multifacteur à l'ensemble des accès à l'environnement de données de cartes plutôt qu'aux seuls accès administratifs comme dans les versions antérieures, et en imposant des exigences de complexité de mot de passe accrues. Le chiffrement est également renforcé, avec des exigences précisées sur la protection cryptographique des données de cartes en transit sur les réseaux publics et internes. La norme introduit enfin une exigence de programme continu de sensibilisation à la sécurité et une fréquence accrue de certains contrôles, comme les scans de vulnérabilités authentifiés.