Classer les exigences de sécurité des services de paiement en Suisse

Vérifier les exigences de sécurité des services de paiement

Il convient d'abord de déterminer quelles données un service de paiement traite. Les données des titulaires de cartes déclenchent l'application du standard PCI DSS, les données personnelles relèvent de la loi sur la protection des données, et les établissements agréés sont soumis en outre à la surveillance de l'Autorité fédérale de surveillance des marchés financiers (FINMA). Ces cadres réglementaires coexistent et doivent faire l'objet de preuves distinctes.

Le Payment Card Industry Data Security Standard (PCI DSS) est la norme de sécurité valable dans le monde entier des principales sociétés internationales de cartes de crédit. Elle s'applique à toutes les entreprises qui stockent, traitent ou transmettent des données de titulaires de cartes, y compris les commerçants, les prestataires de services de paiement, les institutions financières et les fournisseurs de services.

La norme comprend douze exigences : pare-feu, changement de mot de passe après la livraison d'un logiciel, protection des données de cartes stockées, transmission chiffrée, protection antivirus, systèmes et applications sécurisés, accès aux données restreints, identifiants utilisateur individuels, accès physique limité, journalisation, examens de tous les systèmes et processus de sécurité ainsi que politiques de sécurité de l'information.

Demandez au fournisseur quels systèmes traitent les données des titulaires de cartes, qui peut y accéder et quelles preuves il fournit pour le PCI DSS. Faites-vous expliquer la délimitation du système et les systèmes connectés, même si ceux-ci ne traitent pas eux-mêmes de données de titulaires de cartes.

Depuis le 1er septembre 2023, la loi révisée sur la protection des données (LPD), l'ordonnance sur la protection des données (OPD) et l'ordonnance sur les certifications en matière de protection des données (OCPD) sont en vigueur. La LPD protège les données personnelles des personnes physiques, non celles des personnes morales, et englobe également le profilage. Clarifiez où le fournisseur traite les données personnelles et comment il satisfait à ses obligations d'information.

Les failles de sécurité devraient être recensées, évaluées et corrigées selon une procédure établie. Demandez comment le fournisseur détecte les vulnérabilités, hiérarchise les corrections et prouve leur mise en œuvre ; les responsabilités et les voies d'escalade doivent être décrites de manière compréhensible.

Surveillance et exigences de sécurité : vérifier les preuves

La loi sur les établissements financiers (LEF, RS 954.1) régit depuis le 1er janvier 2020 les conditions d'autorisation et les exigences organisationnelles pour les établissements financiers. L'ordonnance sur les établissements financiers (OEF) les précise ; l'ordonnance sur les organisations de surveillance (OOS) est entrée en vigueur conjointement avec la LEF et l'OEF le 1er janvier 2020. Les banques restent soumises à la loi sur les banques (LB).

Pour les intermédiaires financiers, le domaine de la LBA s'ajoute : les gestionnaires de fortune indépendants étaient soumis à l'autorégulation par des organisations professionnelles (OAR), tandis que les trustees n'étaient pas réglementés, sauf dans le domaine de la LBA. Clarifiez à quel régime le fournisseur est soumis et qui contrôle son respect.

Les cyberrisques font partie des risques opérationnels les plus importants pour les établissements financiers ; la FINMA a renforcé sa surveillance. Dans son rapport annuel 2024, elle traite des cyberrisques et de l'externalisation conjointement.

La circulaire FINMA 2023/1 « Risques opérationnels et résilience – Banques » est en vigueur depuis le 1er janvier 2024 et concrétise la pratique de surveillance en matière de risques opérationnels, en particulier les risques TIC, les données critiques et les cyberrisques. Pour les établissements financiers, la LEF régit les conditions d'autorisation et les exigences organisationnelles ; pour les services de paiement, il convient de vérifier les exigences d'autorisation et d'organisation applicables dans chaque cas.

Le principe de proportionnalité s'applique à la circulaire : les exigences doivent être mises en œuvre en fonction de la taille, de la complexité, de la structure et du profil de risque de l'établissement. Les banques et maisons de titres des catégories 4 et 5 de la FINMA ainsi que les établissements relevant du régime des petites banques peuvent bénéficier d'allègements.

En principe, chaque entreprise est tenue d'effectuer une auto-évaluation conformément aux prescriptions du fournisseur de cartes de crédit. Selon le volume d'affaires et le type d'utilisation des données des titulaires de cartes, des questionnaires doivent être remplis et des mesures telles que des analyses de vulnérabilités ou un rapport d'audit par une entreprise habilitée doivent être prises.

À partir de plus de 6 millions de transactions par carte de crédit par an, après une attaque subie, après le classement en niveau 1 par une société de cartes ou après une compromission de données de cartes, des exigences plus strictes s'appliquent. Le respect peut être prouvé, entre autres, par des analyses de vulnérabilités ou un rapport d'audit par une entreprise habilitée.

Distinguez une présentation générale de la sécurité d'une preuve pour des exigences PCI DSS concrètes. Faites-vous expliquer quel service a été audité, quels systèmes sont inclus et quelles preuves sont pertinentes pour votre propre utilisation. La simple mention d'une norme ne suffit pas.

Évaluer les incidents et les voies de signalement chez les fournisseurs

Convenez avant la conclusion du contrat de la manière dont le fournisseur détecte les incidents de sécurité, les signale à votre organisation et vous assiste dans leur traitement. Consignez qui est responsable des deux côtés et quelles informations vous avez besoin en cas d'événement.

Depuis septembre 2020, la communication de surveillance 05/2020 précise l'obligation de signaler les cyberincidents. Jusqu'en 2021, un total de 95 cyberattaques ayant une importance significative pour les entités surveillées concernées ont été signalées. Le Moniteur des risques 2024 montre une augmentation de 30 % par rapport à l'année précédente des notifications reçues par la FINMA concernant des cyberattaques réussies ou partiellement réussies.

Un incident n'a pas besoin d'être entièrement réussi pour devenir pertinent. Vérifiez si les voies de signalement fonctionnent également en cas d'attaque partiellement réussie et si le fournisseur décrit de manière compréhensible les impacts sur vos données et prestations.

La classification nécessite des critères définis, une compétence établie et une procédure qui fonctionne même lorsque le système concerné n'est pas disponible. Les critères pour les incidents majeurs, les instances déclenchantes et les délais devraient être fixés par écrit avant un incident et être connus des parties impliquées.

Interrogez le fournisseur sur sa procédure de notification de sécurité et sur la manière dont les clients sont informés d'un incident pertinent. Le contrat et les canaux de contact devraient nommer clairement les responsabilités et les informations requises pour votre organisation.

Évolution des notifications de cyberattaques à la FINMA (2020–2024)

Tester le dispositif de sécurité et la restauration

Un concept de sécurité documenté n'est significatif que si les processus sont traçables en exploitation. Demandez comment le fournisseur vérifie ses procédures de réaction aux incidents et de restauration et comment il assure le suivi des lacunes identifiées.

Ce n'est pas seulement la défense technique qui est testée, mais l'interaction en cas de crise : qui décide, qui informe, par quels canaux l'escalade se fait, qui donne des informations à qui et comment la restauration est pilotée. Si ces processus n'existent que sur papier, seul l'exercice montrera si les coordonnées sont à jour, si la communication de remplacement fonctionne en dehors des systèmes compromis et si les responsabilités en cas d'absence sont réglées.

Demandez des indications traçables sur les vulnérabilités qu'un exercice a révélées et sur la manière dont les corrections en sont déduites. Un fournisseur devrait pouvoir expliquer qui est responsable des mesures et comment la mise en œuvre est contrôlée.

Le PCI DSS exige des routines pour l'examen de tous les systèmes et processus de sécurité. Demandez comment le fournisseur effectue les analyses de vulnérabilités et comment il fait attester les examens par des entreprises habilitées.

Évaluer les prestataires de services et les solutions de repli

Les services de paiement peuvent dépendre de systèmes externes et de prestataires de services. Déterminez lors du processus de sélection quelles parties de la prestation sont externalisées, quelles données y sont traitées et comment une panne pourrait affecter votre exploitation.

Les services de paiement doivent connaître leurs prestataires de services critiques et leurs accès. Pour les prestations externalisées, les mêmes questions se posent qu'en interne : qui a accès à quelles données et systèmes, et comment les accès sont-ils accordés et retirés ? Comment le prestataire signale-t-il les incidents à l'institution propre, et à quelle vitesse une prestation peut-elle être fournie à nouveau en urgence par soi-même ou chez un autre fournisseur ? Les réponses à ces questions doivent figurer dans l'accord.

Pour votre propre pilotage, il est recommandé de tenir un registre des dépendances critiques avec les points contractuels correspondants : droits d'instruction, droits de contrôle, obligations de notification en cas d'incidents et dispositions en cas de fin de contrat. Ainsi, en cas de crise, on sait quels leviers existent vis-à-vis de quel fournisseur.

Le PCI DSS s'applique également aux prestataires de services qui stockent, traitent ou transmettent des données de titulaires de cartes. Exigez des prestataires externalisés la même étendue de preuves qu'en interne et faites consigner contractuellement la délimitation du système.

Celui qui connaît ses dépendances critiques peut fournir des informations plus rapidement et de manière probante lors d'une analyse de scénarios comme lors d'un incident réel. Sans cette connaissance, les voies de signalement et les tests restent incomplets.

Classer les exigences de sécurité des services de paiement en Suisse

Pour le choix d'un service de paiement, deux questions sont centrales : quelles données le fournisseur traite-t-il, et quelles preuves apporte-t-il pour les exigences de sécurité qui y sont liées ? Pour les données de cartes, le PCI DSS est la norme de référence, pour les données personnelles la LPD, pour l'agrément la LEF et pour les banques la LB ; la circulaire FINMA 2023/1 concrétise la pratique de surveillance en matière de risques opérationnels.

Clarifiez d'abord quelles données et systèmes la prestation offerte touche. Demandez quelles exigences de sécurité le fournisseur applique à ces domaines et comment il prouve la mise en œuvre. Définissez avant la sélection quelles informations vous avez besoin en cas d'incident de sécurité et par quels canaux le fournisseur vous atteint.

Pour les données de cartes, la délimitation du système est un point de contrôle concret. Demandez quelles parties de la prestation ont été incluses dans l'évaluation PCI DSS et quelles preuves existent à cet égard. Incluez les systèmes connectés, même s'ils ne traitent pas eux-mêmes de données de titulaires de cartes.

Ne vous fiez pas uniquement à des déclarations générales ou à des dénominations de certificats. Exigez des preuves qui correspondent à la prestation concrète, aux données traitées et aux systèmes concernés. Pour les données de cartes, le fournisseur devrait prouver quelles exigences PCI DSS ont été évaluées.

Pour une offre transfrontalière, recensez séparément la prestation, les fournisseurs impliqués et les preuves de sécurité présentées dans chaque cas. Pour les fournisseurs dans la Principauté du Liechtenstein, la loi sur les services de paiement (LSP) du 6 juin 2019 s'applique, qui couvre la fourniture professionnelle de services de paiement. Ainsi, il reste traçable quelles déclarations se rapportent à quel service et à quels systèmes.

Pour la sélection des fournisseurs, des points de contrôle pratiques en découlent : étendue du traitement des données de cartes, systèmes connectés, preuves concernant le PCI DSS, la LPD, la LEF et la circulaire FINMA 2023/1 ainsi que des processus réglementés de gestion des incidents et de restauration. Consignez les questions ouvertes et clarifiez-les avant la conclusion du contrat.