ISO 27001 vs PCI DSS : Quel Référentiel de Sécurité Choisir ?

Toute organisation qui traite des paiements en Asie du Sud-Est finit par croiser les deux référentiels, souvent dans le même trimestre. Une banque demande votre certificat ISO 27001 lors de l’onboarding fournisseur. Votre banque acquéreuse exige en même temps des preuves de conformité PCI DSS. Les deux conversations se ressemblent, toutes deux impliquent des auditeurs, des contrôles et des cycles annuels, et il est tentant d’en conclure qu’elles sont interchangeables.

Elles ne le sont pas. Comprendre la différence importe, car traiter l’un comme un substitut de l’autre gaspille soit de l’argent en certification inutile, soit vous expose à des pénalités des réseaux de cartes. Cet article explique ce que chaque référentiel exige réellement, où ils se recouvrent, et pourquoi les mener ensemble coûte moins cher que les mener séparément.

ISO 27001 : un cadre de gouvernance pour piloter la sécurité de l’information #

ISO/IEC 27001 définit comment une organisation pilote la sécurité de l’information, quel que soit son métier. Son cœur est un système de management de la sécurité de l’information (SMSI) : un cycle documenté d’évaluation des risques, de sélection des contrôles, d’exploitation, de mesure et d’amélioration.

Deux caractéristiques la définissent :

Elle est fondée sur les risques. La norme ne dit pas quel pare-feu acheter ni à quelle fréquence corriger. Elle exige que vous identifiiez vos risques, décidiez quels contrôles de son catalogue de l’Annexe A (et au-delà) les traitent, et justifiiez ces décisions. Deux organisations peuvent toutes deux détenir des certificats valides tout en exploitant des ensembles de contrôles très différents, car leurs risques diffèrent.

Elle est certifiée par des organismes accrédités. La certification est délivrée par un organisme certificateur accrédité à l’issue d’un audit de Phase 1 et de Phase 2. Une fois certifié, vous entrez dans un cycle de trois ans avec audits de surveillance annuels, puis recertification. Le certificat est reconnu internationalement, et c’est pourquoi les équipes achats l’adorent : il répond à des dizaines de lignes de questionnaires de risque fournisseur avec un seul PDF.

La contrepartie de cette flexibilité est l’abstraction. Un certificat ISO 27001 dit à un partenaire que vous pilotez la sécurité de façon systématique. Il ne lui dit pas qu’une sauvegarde technique précise existe avec une force définie.

PCI DSS : exigences opérationnelles prescriptives pour les données de titulaires de carte #

PCI DSS existe pour un seul objectif : protéger les données de cartes de paiement. Les réseaux de cartes (Visa, Mastercard, Amex, JCB, UnionPay et autres) le publient via le PCI Security Standards Council, et la conformité s’impose contractuellement par les banques acquéreuses et les processeurs de paiement.

Son caractère est presque l’inverse de l’ISO 27001 :

Il est prescriptif. La version actuelle, v4.x, détaille des exigences concrètes dans douze familles : contrôles de sécurité réseau, configurations système sécurisées, protection des données de compte stockées, chiffrement en transit sur les réseaux publics, défenses contre les logiciels malveillants, contrôle d’accès, sécurité physique, journalisation et supervision, tests de sécurité réguliers. Là où l’ISO dit « pilotez le risque d’accès non autorisé », le PCI dit des choses comme « rendre tous les systèmes non fiables pour l’authentification après 15 minutes d’inactivité » ou spécifie des intervalles de test exacts.

Il se limite au périmètre des données de titulaires de carte (CDE). Tout commence par définir où vivent, circulent et se connectent les données de cartes. Les systèmes connectés au CDE entrent dans le périmètre ; les systèmes correctement segmentés à part peuvent en sortir. La réduction du périmètre est donc l’activité à plus forte valeur de la plupart des programmes PCI : moins de systèmes dans le périmètre signifie moins de preuves, moins d’heures d’évaluation et un coût courant plus faible.

La validation est annuelle et propre au rôle. Selon le volume de transactions et les règles des réseaux de cartes, une organisation valide par un Report on Compliance (ROC) signé par un Qualified Security Assessor, ou par un questionnaire d’auto-évaluation (SAQ) appuyé par des scans trimestriels ASV. Il n’existe pas de « certificat » au sens ISO : il y a une attestation de conformité liée à un instant donné.

Face à face #

Là où ils se recouvrent #

Malgré des philosophies différentes, une grande partie du travail sous-jacent est commune. Les deux référentiels exigent :

• Contrôle d’accès avec moindre privilège et identification unique
• Chiffrement des données sensibles en transit et des secrets stockés
• Journalisation, supervision et synchronisation horaire
• Gestion des vulnérabilités et discipline de correction
• Segmentation des environnements sensibles
• Sensibilisation à la sécurité et politiques documentées avec cycles de revue
• Planification et tests de réponse aux incidents

En pratique, cela signifie qu’un contrôle bien construit une fois satisfait généralement les deux auditeurs, à condition de le mapper délibérément. Les organisations qui souffrent sont celles qui construisent les contrôles deux fois, une par auditeur, parce que personne n’a maintenu de mappage entre les référentiels.

Une manière pratique de mener les deux #

Pour une fintech thaïlandaise ou toute entreprise régionale acceptant les cartes tout en visant des clients grands comptes, la séquence qui fonctionne est :

1. S’ancrer sur l’ISO 27001 pour la gouvernance. Construisez le SMSI, le registre des risques, le corpus de politiques et le rythme de revue direction. Cela devient le système d’exploitation de tout le reste.
2. Superposer le PCI DSS sur le CDE. Définissez le périmètre étroitement, appliquez les exigences prescriptives dans cette frontière et documentez le mappage de chaque exigence PCI vers les contrôles du SMSI.
3. Partager le pipeline de preuves. Une plateforme de journalisation, un processus de gestion des vulnérabilités, un calendrier de revues d’accès alimentant les deux programmes. Les évaluations deviennent alors des exercices de vérification plutôt que des projets.
4. Valider selon les deux calendriers. Les audits de surveillance ISO et l’attestation annuelle PCI tombent à des moments différents de l’année si vous le planifiez ; utilisez cet espacement pour corriger les constats de l’un avant l’arrivée de l’autre.

Fait ainsi, le coût marginal d’ajouter le PCI DSS à un programme ISO 27001 existant, ou inversement, reste bien inférieur au coût de construire l’un des deux ex nihilo. Mal fait, vous payez deux fois et avez encore des lacunes.

Alors lequel vous faut-il ? #

Posez-vous deux questions. Touchez-vous des données de cartes de paiement ? Alors le PCI DSS s’applique, point : ce n’est pas optionnel, et votre acquéreur le confirmera par écrit aux moments les moins opportuns. Vos clients grands comptes, vos banques ou vos régulateurs attendent-ils une gouvernance de sécurité démontrable ? Alors l’ISO 27001 supprime toute une catégorie de friction achats.

La plupart des organisations du paiement finissent par avoir besoin des deux. La bonne nouvelle est qu’ils se renforcent mutuellement : l’ISO vous donne la discipline de management, le PCI vous donne la profondeur opérationnelle là où passe l’argent.

En tant que cabinet QSA actif, nous délivrons évaluations d’écarts et audits QSA PCI DSS aux côtés du conseil en conformité réglementaire, y compris le mappage conjoint des programmes pour que vous satisfassiez les deux référentiels depuis un seul jeu de contrôles. Ou planifiez une session d’ingénierie et de scoping pour parler de votre situation spécifique.