Tokenisation et portée PCI : ce que les jetons font et ne font pas

Ce qu'est un jeton, précisément

Le PCI SSC définit la tokenisation comme « un processus par lequel le numéro de compte principal (NCP) est remplacé par une valeur substitutive appelée « jeton » », la dé-tokenisation étant le processus inverse consistant à échanger un jeton contre son NCP. La sécurité d'un jeton individuel « repose principalement sur l'impossibilité de déterminer le NCP original en ne connaissant que la valeur substitutive ». Les règles fondamentales de Visa utilisent une définition plus étroite pour les jetons de réseau : un Jeton est « un type d'identifiant de paiement émis conformément à la spécification de tokenisation de paiement EMV – cadre technique », un Demandeur de jeton est une entité inscrite auprès d'un Fournisseur de service de jeton pour initier des demandes de jetons de paiement, et un Fournisseur de service de jeton est une entité qui fournit un jeton à un demandeur de jeton. EMVCo décrit un jeton de paiement EMV comme une valeur alternative unique qui est « contrainte dans son utilisation » — par exemple à un commerçant, un appareil ou un scénario de paiement précis.

Les jetons de réseau se comportent différemment lors de l'autorisation

En vertu des règles de Visa, si une transaction est initiée avec un jeton, elle doit être soumise pour autorisation en ligne, et Visa se réserve le droit de refuser, au nom d'un émetteur, une transaction initiée avec un jeton lorsque le jeton ne respecte pas les exigences de contrôle de domaine de la spécification de tokenisation de paiement EMV. Cette restriction de domaine est l'essentiel : un jeton de réseau volé est lié à un contexte hors duquel il ne peut pas être utilisé. Un jeton de passerelle ou de coffre-fort, par contre, est une référence à l'intérieur du système d'un seul fournisseur sans statut au niveau du réseau, et c'est le type que la plupart des commerçants entendent par « carte en dossier ». Les deux sont utiles; ils ne sont pas interchangeables, et un fournisseur qui prétend offrir de la tokenisation peut offrir l'un ou l'autre.

Ce que la tokenisation fait à la portée de la norme PCI DSS

Les règles de portée du PCI SSC sont précises. Tous les éléments du système et du processus de tokenisation, y compris la dé-tokenisation et le stockage du NCP, font partie de l'environnement des données de titulaire de carte et sont dans la portée. Tout composant de système ou processus ayant accès au système de tokenisation ou au processus de tokenisation/dé-tokenisation est dans la portée, tout comme tout ce qui se trouve dans ou connecté à l'environnement des données de titulaire de carte. Les composants qui génèrent un jeton en échange d'un NCP, ou qui échangent un NCP contre un jeton, sont dans la portée. Les systèmes adéquatement segmentés du système de tokenisation et de l'environnement des données de titulaire de carte, qui stockent, traitent ou transmettent uniquement des jetons, et qui ne traitent aucune donnée de titulaire de carte ni donnée d'authentification sensible, « peuvent être considérés hors de l'environnement des données de titulaire de carte et possiblement hors portée ». Notez les réserves dans les propres termes du Conseil.

Les conditions rattachées au statut hors portée

Pour que les jetons et les systèmes qui les détiennent soient hors portée, le Conseil liste des conditions qui doivent toutes être respectées : la récupération du NCP à partir du jeton ne doit pas être réalisable sur le plan informatique en ne connaissant que le jeton, plusieurs jetons ou d'autres combinaisons jeton-NCP; le NCP ne peut pas être récupéré même si le jeton et ses systèmes sont compromis; ces systèmes sont segmentés de tout ce qui peut soumettre une demande de dé-tokenisation, atteindre le coffre-fort ou les clés, ou accéder aux données de saisie du jeton; ils ne sont pas connectés au système de tokenisation ni à l'environnement des données de titulaire de carte et ne détiennent aucun identifiant permettant de s'y authentifier; ils ne traitent aucune donnée de titulaire de carte par un autre canal; et les systèmes qui détenaient auparavant des données de titulaire de carte ont été examinés pour confirmer que toutes les traces ont été supprimées de façon sécurisée. Cette dernière condition est celle qu'on saute le plus souvent, car c'est de l'archéologie plutôt que de l'architecture.

Obtenir la réduction de portée maximale

Les propres recommandations du Conseil valent la peine d'être suivies à la lettre : remplacez le stockage du NCP par des jetons partout où c'est possible; limitez l'existence du NCP au point de capture et au coffre-fort de données de carte; réduisez au minimum le nombre de composants qui touchent le NCP avant la tokenisation; assurez-vous que le NCP n'est pas présent dans le même environnement que les jetons à l'extérieur du coffre-fort; retirez toutes les données de titulaire de carte des systèmes sources une fois tokenisées; préférez une solution où le NCP ne peut pas être récupéré une fois qu'un jeton a été émis, afin que les remboursements, les rétrofacturations et le suivi de fidélité fonctionnent sans que le commerçant n'accède au NCP; appliquez une séparation des tâches entre les utilisateurs et les administrateurs de jetons; et combinez la tokenisation avec le chiffrement point à point afin que les seuls NCP dans l'environnement se trouvent à l'intérieur d'un appareil de point d'interaction sécurisé approuvé PTS. Le Conseil note aussi que lorsqu'un jeton peut être utilisé pour générer une transaction, des mesures supplémentaires peuvent être nécessaires contre l'utilisation frauduleuse du jeton lui-même.

Usage unique, usages multiples, et récupérer vos jetons

Le Conseil distingue les jetons à usage unique, qui représentent typiquement une transaction, des jetons à usages multiples, qui représentent un NCP précis et font toujours correspondre ce NCP à la même valeur de jeton dans le système — ce qui rend possible la facturation récurrente et l'historique client. Cette correspondance réside chez le fournisseur qui l'a émise, alors la portabilité est une question commerciale à régler avant l'intégration plutôt qu'à l'annulation. Notre guide sur le transfert de cartes stockées entre processeurs couvre la migration elle-même, et les commerçants devraient réviser leur utilisation des jetons dans le cadre de la validation annuelle de la portée PCI DSS pour confirmer que les données de titulaire de carte ne peuvent pas être récupérées à l'extérieur de l'environnement des données de titulaire de carte défini.