Consultant sécurité PCI DSS

Le PCI DSS (Payment Card Industry Data Security Standard) est le référentiel imposé par les réseaux Visa, Mastercard, Amex, Discover et JCB à toute entité qui stocke, traite ou transmet des données de cartes bancaires. La version PCI DSS v4.0 est la cible obligatoire.

Le métier en quelques mots

Le consultant PCI DSS intervient sur l'ensemble du cycle de mise en conformité :

• Définition du scope et identification du CDE (Cardholder Data Environment).
• Choix du SAQ approprié (A, A-EP, B, B-IP, C, C-VT, D, P2PE).
• Pilotage de l'audit annuel mené par un QSA.
• Coordination des ASV scans trimestriels et des pentests semestriels.
• Application des 12 requirements et des nouveaux customized approaches v4.0.
• Préparation des ROC (Report on Compliance) ou AOC (Attestation of Compliance).

Compétences clés

• Maîtrise des 12 exigences PCI DSS v4.0 et des 64 milestones de la version future-dated.
• Connaissance des flux cartes (autorisation, capture, settlement, refund).
• Tokenisation et chiffrement point-à-point (P2PE).
• Segmentation réseau du CDE vs reste du SI.
• Gestion des clés cryptographiques (HSM, dual control, split knowledge).
• MFA, authentification forte sur les accès au CDE.
• Détection d'intrusion sur le CDE, FIM (File Integrity Monitoring).

Certifications recommandées

• PCI Professional (PCIP) — entrée de gamme.
• PCI ISA (Internal Security Assessor) pour les profils internes.
• PCI QSA (Qualified Security Assessor) pour les auditeurs accrédités.
• PA-QSA pour l'évaluation des applications de paiement.
• P2PE QSA pour les solutions point-à-point.
• CISSP, CISA en complément.

Cadre légal

PCI DSS est un standard contractuel (et non une loi) imposé par les acquéreurs et schemes. En cas de brèche, les pénalités peuvent atteindre plusieurs centaines de milliers d'euros par mois, complétées par les obligations RGPD (notification CNIL si données personnelles).

Types de missions

• Gap analysis PCI DSS v4.0 et plan de remédiation.
• Réduction du scope : tokenisation, externalisation à un PSP, P2PE.
• Préparation d'audit QSA annuel.
• Mise à jour AOC / SAQ pour les e-commerçants.
• Sécurisation d'environnements PSP ou de plateformes BNPL.
• Customized approach v4.0 pour les exigences difficilement applicables.
• Tests d'intrusion segmentation annuels.

Évolution de carrière

1. Analyste sécurité paiement junior.
2. Consultant PCI DSS confirmé (3-5 ans).
3. ISA / QSA accrédité.
4. Lead PCI ou Compliance Manager paiement.
5. Head of Payment Security ou CISO PSP.

Spécificités sectorielles

• E-commerçants : SAQ A si redirection vers PSP, SAQ D si tunnel intégré.
• PSP / acquéreurs : audit ROC complet par un QSA externe.
• Retail physique : terminaux PIN PED approuvés, P2PE.
• Banques émettrices : exigences complémentaires (3-D Secure 2, EMV).

En conclusion

Avec l'explosion du paiement digital, le BNPL, l'instant payment et l'open banking, la conformité PCI DSS devient un sujet continu et stratégique pour toute la chaîne du paiement.

Vous êtes consultant PCI DSS et cherchez votre prochaine mission ? Rejoignez ForTeam IT.