Qu’est-ce que la norme PCI DSS ? Présentation, exigences et avantages

Découvrez la norme de sécurité des données de l’industrie des cartes de paiement (PCI DSS), élaborée conjointement afin de simplifier la mise en conformité des commerçants et des prestataires de services de paiement.

Publié pour la première fois en 2004, le PCI DSS est un ensemble de normes de sécurité élaborées par cinq grandes marques de cartes de paiement afin de protéger les données de paiement contre le vol et l’exploitation frauduleuse. Toute entreprise ou organisation qui traite des données de cartes de paiement, que ce soit pour les traiter, les transmettre ou les stocker, doit respecter les normes PCI DSS sous peine de graves conséquences, notamment des sanctions financières, des poursuites judiciaires ou la résiliation de ses comptes marchands.

Quel est l’objectif de la norme PCI DSS ?

La norme PCI DSS a été élaborée afin de promouvoir et de renforcer la sécurité des données des comptes de paiement, ainsi que de faciliter l’adoption généralisée de mesures cohérentes de sécurité des données à l’échelle mondiale. Elle définit un socle d’exigences techniques et opérationnelles visant à protéger les données des comptes de paiement et à préserver les consommateurs comme les entreprises contre la fraude financière et les atteintes à leur réputation.

L’un des principaux objectifs de la norme PCI DSS est de protéger les données des titulaires de cartes contre tout accès non autorisé et toute utilisation abusive potentielle. Cela inclut les numéros de compte principaux, les noms des titulaires de cartes, les dates d’expiration et d’autres informations sensibles. Cette norme vise également à réduire au minimum le risque de violations de données susceptibles d’entraîner un accès non autorisé aux informations relatives aux cartes de paiement ou leur vol. En mettant en œuvre les contrôles PCI DSS, les organisations contribuent également à prévenir et à détecter les activités frauduleuses liées aux transactions par carte de paiement.

Il est important de noter que les exigences de la norme PCI DSS évoluent au fil du temps afin de tenir compte des nouvelles menaces de sécurité, des avancées technologiques et des changements dans le paysage réglementaire. Consultez les dernières exigences sur le PCI Security Standard Council site web.

Quatre sources courantes de vulnérabilités liées à la conformité PCI DSS

La conformité à la norme PCI DSS exige des organisations qu’elles traitent un éventail de vulnérabilités potentielles afin de garantir la sécurité des données des titulaires de cartes. Voici quatre domaines de vulnérabilité courants auxquels les organisations doivent remédier pour maintenir leur conformité à la norme PCI DSS.

• Systèmes de point de vente (PDV) : Les systèmes de PDV traitent des données sensibles de cartes de paiement lors des transactions et sont exposés à diverses vulnérabilités susceptibles d’entraîner des violations de données et des accès non autorisés. De nombreux systèmes de PDV fonctionnent sur du matériel et des logiciels obsolètes qui ne bénéficient pas toujours de mises à jour de sécurité régulières, ce qui crée des vulnérabilités que les attaquants peuvent exploiter. Ces derniers peuvent également tirer parti d’identifiants et de mots de passe faibles ou définis par défaut sur les systèmes de PDV. En outre, les systèmes de PDV font souvent appel à des intégrations tierces. Si ces fournisseurs tiers appliquent des pratiques de sécurité insuffisantes ou si la chaîne d’approvisionnement présente des vulnérabilités, cela peut engendrer des risques pour l’ensemble du système.
• Réseaux sans fil non sécurisés : Ils peuvent constituer un point d’entrée potentiel permettant à des attaquants de compromettre les données sensibles des titulaires de cartes, car des personnes non autorisées peuvent facilement accéder aux réseaux sans fil non sécurisés pour se connecter aux systèmes de point de vente (POS) et à d’autres appareils traitant les informations de cartes de paiement. En outre, le trafic sans fil peut ne pas être chiffré, exposant ainsi les données transmises à l’interception et à l’écoute clandestine.
• Contrôles d’accès et authentification insuffisants : Lorsque les contrôles d’accès ne sont pas suffisamment robustes, des personnes non autorisées peuvent accéder à des ressources sensibles, ce qui accroît le risque de violations de données, d’activités non autorisées et d’autres incidents de sécurité. Par exemple, le recours à des mots de passe simples sans exigences de complexité ou à des comptes utilisateurs mal gérés qui ne permettent pas de vérifier efficacement l’identité des utilisateurs peut entraîner la consultation, la modification ou l’exfiltration non autorisée d’informations de paiement sensibles. La norme PCI DSS souligne également l’importance de l’authentification multifacteur (MFA) pour renforcer la sécurité des contrôles d’accès. Conformément au principe du moindre privilège, les utilisateurs et les systèmes doivent disposer uniquement du niveau d’accès ou des autorisations nécessaires à l’exécution de leurs tâches. Les droits d’accès doivent être adaptés aux rôles, responsabilités et fonctions propres à chaque poste.
• Chiffrement, tokenisation et stockage des données inadéquats : L’absence de mesures robustes de chiffrement, de tokenisation et de stockage sécurisé des données peut entraîner une non-conformité à la norme PCI DSS et accroître le risque de violations de données et de compromission des informations sensibles relatives aux cartes de paiement. Le chiffrement de bout en bout garantit que les informations de paiement sensibles sont chiffrées dès leur saisie (au point de vente) et le restent tout au long de leur acheminement à travers différents systèmes et réseaux, jusqu’à leur destination, où le destinataire utilise la clé appropriée pour déchiffrer les données. Les informations de paiement peuvent également être tokenisées, un processus qui consiste à remplacer les données sensibles, telles que les numéros de carte bancaire, par des valeurs de substitution non sensibles appelées jetons. Lorsqu’une transaction de paiement a lieu, les données réelles du titulaire de la carte sont remplacées par un jeton unique qui n’a aucune valeur intrinsèque et qui est inutilisable par les attaquants n’ayant pas accès au système de tokenisation. Le chiffrement et la tokenisation contribuent tous deux à empêcher l’écoute clandestine ou l’interception par des acteurs malveillants et à préserver la confidentialité des données des titulaires de carte.

Les six principes de la norme PCI DSS

La norme PCI DSS définit un socle d’exigences techniques et opérationnelles visant à protéger les données des comptes de paiement. Ces exigences sont détaillées dans les six principes PCI DSS suivants.

1. Créer et maintenir un réseau et des systèmes sécurisés

La protection des données des titulaires de cartes commence par la mise en place d’une infrastructure réseau sécurisée. Cela implique notamment d’utiliser des pare-feu pour contrôler et surveiller le trafic entre les réseaux et limiter les accès non autorisés. La microsegmentation est une autre stratégie de sécurité recommandée. Elle consiste à diviser un réseau en petits segments distincts afin de renforcer la sécurité en contrôlant le trafic latéral « est-ouest » au sein du réseau, ainsi qu’au niveau des applications ou des charges de travail, pour réduire la surface d’attaque potentielle. Il est également essentiel d’adopter de bonnes pratiques de gestion des vulnérabilités afin de garantir que les systèmes disposent des derniers correctifs et sont à jour.

2. Protéger les données des titulaires de carte

Ce principe porte sur le chiffrement et la protection des données des titulaires de cartes lors de leur transmission et de leur stockage, afin d’empêcher tout accès non autorisé aux informations sensibles. Cette exigence impose l’utilisation d’une cryptographie robuste pour protéger les données des titulaires de cartes lors de leur transmission sur des réseaux publics, ainsi que l’élaboration de politiques de conservation des données visant à éviter le stockage de données d’authentification sensibles après autorisation. Les politiques de protection des données imposent également le masquage ou la troncature des numéros de compte principaux (PAN) afin de réduire au minimum le risque d’accès non autorisé et d’exposition des informations sensibles des titulaires de cartes. Conformément aux exigences de la norme PCI DSS, seuls les six premiers et les quatre derniers chiffres d’un PAN peuvent être affichés lorsque celui-ci est visible.

3. Maintenir un programme de gestion des vulnérabilités

Le maintien d’un environnement sécurisé exige d’identifier et de corriger régulièrement les vulnérabilités. Cela implique notamment d’effectuer régulièrement des analyses de vulnérabilité, qui signalent aux entreprises les failles préexistantes dans leur code, ainsi que des tests d’intrusion, qui permettent de déterminer si un accès non autorisé ou toute autre activité malveillante est possible en simulant des attaques réelles afin d’évaluer l’efficacité des mesures de sécurité existantes. Il est essentiel de corriger rapidement toute faiblesse détectée lors de ces analyses ou tests afin de prévenir une éventuelle compromission des systèmes et des données de titulaires de cartes qu’ils peuvent contenir. En outre, les organisations sont tenues d’élaborer et d’appliquer des directives de codage sécurisé, telles que celles définies par des organismes comme l’OWASP, afin d’éviter l’introduction de vulnérabilités au cours du cycle de vie du développement logiciel.

4. Mettez en œuvre des mesures strictes de contrôle des accès

Restreindre l’accès aux composants du système et aux données des titulaires de cartes permet d’empêcher tout accès par des personnes ou des systèmes non autorisés. La norme PCI DSS impose de limiter l’accès en fonction du besoin d’en connaître, selon le principe dit du moindre privilège, qui veut qu’un utilisateur ou un système n’ait accès qu’aux données, ressources et applications spécifiques nécessaires à l’accomplissement d’une tâche donnée. De même, les contrôles d’accès basés sur les rôles (RBAC) limitent l’accès au système aux utilisateurs autorisés en fonction de leur rôle au sein de l’organisation. Ces politiques exigent que les contrôles d’accès soient régulièrement réexaminés et mis à jour afin de tenir compte des changements de personnel et de rôles. Elles prévoient également la mise en œuvre de l’authentification multifacteur (MFA) pour accéder aux systèmes et aux données des titulaires de cartes, ainsi que l’amélioration des politiques et des bonnes pratiques en matière de mots de passe.

5. Surveiller et tester régulièrement les réseaux

La surveillance et les tests continus sont essentiels pour détecter les incidents de sécurité et y répondre rapidement. Cela implique de mettre en œuvre des mécanismes de journalisation, d’effectuer régulièrement des tests de sécurité et d’examiner en permanence l’activité du réseau. Les outils de surveillance du réseau comprennent également des systèmes de détection d’intrusion (IDS) et des systèmes de prévention des intrusions (IPS), qui analysent et évaluent l’intégrité du trafic réseau afin d’identifier les schémas d’attaque, les activités anormales et les utilisations non autorisées. Les organisations doivent également établir un plan de réponse aux incidents et des procédures d’urgence, et veiller à ce que ces processus soient régulièrement testés.

6. Maintenir une politique de sécurité de l’information

La norme PCI DSS exige également que les organisations établissent et maintiennent une politique de sécurité complète définissant le cadre de protection des données des titulaires de cartes et orientant les pratiques de sécurité au sein de l’organisation. Cette politique doit être documentée, régulièrement réexaminée et mise à jour afin de tenir compte des évolutions technologiques et des processus métier. Les organisations doivent également veiller à ce que leurs employés connaissent les politiques et procédures de sécurité et soient formés à leur application.

Comprendre les exigences de la norme PCI DSS

Le respect des 12 exigences PCI DSS suivantes est essentiel pour permettre aux organisations d’établir une posture de sécurité robuste, de protéger les données des titulaires de cartes et de réduire au minimum le risque de violations de données.

1. Installer et maintenir des contrôles de sécurité du réseau. Les contrôles de sécurité du réseau (NSC), tels que les pare-feu et autres technologies de Network security, sont des points d’application des politiques réseau qui contrôlent généralement le trafic entre au moins deux segments de réseau logiques ou physiques (ou sous-réseaux). Les NSC font office de barrière entre le réseau interne sécurisé et les réseaux externes, et contrôlent le trafic entrant et sortant selon des règles ou politiques de sécurité prédéfinies afin d’empêcher tout accès non autorisé aux données des titulaires de cartes.
2. Appliquez des configurations sécurisées à tous les composants du système. La modification des configurations par défaut permet de sécuriser les systèmes dès le départ en réduisant le risque d’accès non autorisé, car les mots de passe et paramètres par défaut sont bien connus des attaquants. N’utilisez pas les valeurs par défaut fournies par les éditeurs pour les mots de passe système et les autres paramètres de sécurité.
3. Protéger les données de titulaires de cartes stockées. Les organisations sont tenues de chiffrer les données de titulaires de cartes stockées afin de les protéger contre tout accès non autorisé, même en cas de violation, rendant ainsi les données volées illisibles sans les clés de déchiffrement appropriées.
4. Protégez les données des titulaires de carte à l’aide d’un chiffrement robuste lors de leur transmission sur des réseaux ouverts et publics. Cette mesure protège contre l’interception et les accès non autorisés pendant la transmission des données.
5. Protégez tous les systèmes et réseaux contre les logiciels malveillants. La mise à jour régulière des logiciels antivirus et l’utilisation d’outils antimalware permettent de prévenir, détecter et supprimer les logiciels malveillants, réduisant ainsi le risque de compromission.
6. Développer et maintenir des systèmes et des logiciels sécurisés. Développez des applications en intégrant la sécurité dès leur conception, en insistant sur l’importance des pratiques de codage sécurisé et de la maintenance continue des systèmes et des applications. Mettez régulièrement à jour les logiciels et appliquez les correctifs afin de remédier aux vulnérabilités susceptibles d’être exploitées par des attaquants.
7. Limiter l’accès aux composants du système et aux données des titulaires de carte en fonction des besoins métier. Les contrôles d’accès limitent l’accès aux données des titulaires de carte aux seules personnes dont les fonctions l’exigent. Cela réduit le risque d’accès non autorisé et aide les organisations à respecter le principe du moindre privilège.
8. Identifier les utilisateurs et authentifier l’accès aux composants du système. Attribuer des identifiants uniques et des mots de passe robustes pour authentifier les utilisateurs. Cela permet de garantir que seules les personnes autorisées peuvent accéder aux données des titulaires de carte. L’authentification multifacteur peut ajouter une couche de sécurité supplémentaire.
9. Restreindre l’accès physique aux données des titulaires de cartes. Les contrôles d’accès physique, tels que les restrictions d’entrée et la vidéosurveillance, contribuent à empêcher les personnes non autorisées d’accéder physiquement aux systèmes qui stockent les données des titulaires de cartes.
10. Consignez et surveillez tous les accès aux composants du système et aux données des titulaires de carte. Les fichiers journaux, les systèmes de détection et de prévention des intrusions, ainsi que d’autres outils de suivi contribuent à une surveillance continue efficace, permettant aux organisations de détecter les activités suspectes et d’y répondre rapidement.
11. Tester régulièrement la sécurité des systèmes et des réseaux. Les tests proactifs, notamment les évaluations des vulnérabilités et les tests d’intrusion, permettent d’identifier et de corriger les failles de sécurité avant que des attaquants ne puissent les exploiter.
12. Soutenez la sécurité de l’information au moyen de politiques et de programmes organisationnels. Mettez en œuvre une politique de sécurité complète visant à assurer une conformité continue, qui définit les règles et les lignes directrices relatives à la protection des données des titulaires de carte, et veillez à ce que l’ensemble du personnel en ait connaissance, soit formé à son application et la respecte.

Niveaux de conformité à la norme PCI DSS

Les niveaux de conformité PCI sont répartis en quatre catégories en fonction du volume total des transactions par carte de crédit, carte de débit et carte prépayée sur une période de 12 mois. Les organisations doivent déterminer avec précision leur volume de transactions et respecter les exigences du niveau correspondant afin d’assurer et de maintenir leur conformité à la norme PCI DSS. Il est essentiel de maintenir le niveau de conformité approprié pour sécuriser les transactions de commerce électronique, préserver un environnement sûr pour les données des titulaires de carte et prévenir d’éventuelles violations de données.

Niveau 1 : entreprises effectuant plus de 6 millions de transactions par an

Le niveau 1 de conformité PCI est le niveau PCI DSS le plus élevé et le plus strict. Il vise à garantir le plus haut niveau de sécurité aux entreprises qui stockent, transmettent ou traitent des données de cartes de paiement. En outre, les commerçants et prestataires de services, quelle que soit leur taille, qui ont subi une violation de données ou une cyberattaque ayant entraîné la compromission de données de cartes de paiement ou de titulaires de cartes doivent satisfaire aux exigences du niveau 1 de la norme PCI. La validation PCI de niveau 1 nécessite la production annuelle d’un rapport de conformité (ROC) par un évaluateur de sécurité qualifié (QSA) ou un évaluateur de sécurité interne. Elle impose généralement aussi des tests d’intrusion, qui consistent à simuler des cyberattaques réelles contre des systèmes informatiques et des applications afin d’en détecter les vulnérabilités. La validation PCI de niveau 1 exige également une analyse trimestrielle du réseau par un prestataire d’analyse agréé (ASV).

Niveau 2 : entreprises traitant entre 1 et 6 millions de transactions par an

Les commerçants de niveau 2 PCI DSS doivent effectuer une évaluation de conformité une fois par an à l’aide d’un questionnaire d’auto-évaluation (SAQ) et faire réaliser des analyses trimestrielles de leur réseau par un prestataire d’analyse agréé (ASV). Ils doivent également remplir le formulaire d’attestation de conformité (AOC). Comme pour le niveau 1, certains commerçants de niveau 2 peuvent être tenus d’effectuer des tests d’intrusion. Un audit PCI DSS sur site n’est pas requis pour les commerçants de niveau 2, sauf s’ils ont subi une violation de données ou une cyberattaque compromettant des données de carte bancaire ou de titulaire de carte.

Niveau 3 : entreprises réalisant entre 20 000 et 1 million de transactions e-commerce par an

Les commerçants de niveau 3 de la norme PCI DSS doivent remplir chaque année le questionnaire SAQ approprié et faire réaliser chaque trimestre une analyse de leur réseau par un prestataire ASV. Ils doivent également remplir et soumettre un formulaire AOC.

Niveau 4 : entreprises effectuant moins de 20 000 transactions de commerce électronique ou jusqu’à 1 million d’autres transactions par an

Les commerçants PCI de niveau 4 doivent remplir chaque année le questionnaire d’auto-évaluation (SAQ) approprié, et une analyse trimestrielle de la sécurité du réseau externe par un prestataire de services d’analyse agréé (ASV) peut être exigée. Le commerçant doit également remplir et soumettre un formulaire d’attestation de conformité (AOC). Tous les fournisseurs de cartes ne disposent pas d’une classification de niveau 4.

Avantages de la conformité à la norme PCI DSS

Le respect des 12 exigences de la norme PCI DSS est essentiel pour renforcer la sécurité des données et contribuer à la conformité globale. Ensemble, ces exigences forment un cadre complet visant à protéger les données des titulaires de cartes et à prévenir les failles de sécurité.

La conformité à la norme PCI DSS témoigne d’un engagement à protéger les données sensibles des titulaires de cartes. Elle garantit aux clients que les informations relatives à leur carte bancaire sont traitées selon les normes de sécurité les plus strictes et renforce leur confiance dans la capacité de l’entreprise à protéger leurs données personnelles. En outre, les entreprises qui respectent la norme PCI DSS sont mieux armées pour se défendre contre les actions en justice et les sanctions réglementaires liées à une sécurité insuffisante des données.

Le maintien de la conformité à la norme PCI DSS offre d’autres avantages à long terme à mesure que les technologies et les enjeux de sécurité évoluent. Le respect des exigences de la norme PCI DSS permet aux organisations de rester vigilantes, d’être mieux préparées à prévenir les attaques avancées et sophistiquées, et de s’adapter plus rapidement à l’évolution des cybermenaces. La conformité à la norme PCI DSS favorise également, au sein de l’organisation, une culture axée sur la sécurité qui va au-delà de la simple conformité et encourage des efforts continus pour renforcer les pratiques de sécurité des données.

À titre d’exemple de la manière dont la norme PCI DSS peut contribuer à instaurer (et à rétablir) la confiance des clients, en 2012, Global Payments, une importante société de traitement des paiements, a subi une violation de données ayant entraîné un accès non autorisé à des informations sensibles relatives aux cartes de paiement. Cette violation a touché environ 1,5 million de cartes de crédit et de débit, suscitant des inquiétudes quant à la sécurité des transactions de paiement. Global Payments a immédiatement pris des mesures pour circonscrire la violation et a ouvert une enquête afin de déterminer l’ampleur de la compromission. Les forces de l’ordre, notamment l’United States Secret Service, ont participé à l’enquête.

En réponse à cette violation de données, Global Payments s’est engagée à renforcer son infrastructure de sécurité et à mettre en œuvre des mesures supplémentaires afin d’éviter que des incidents similaires ne se reproduisent. L’entreprise s’est également engagée à faire de l’obtention et du maintien de la conformité aux exigences de la norme PCI DSS une priorité, ce qui a contribué à rassurer ses clients et ses parties prenantes quant aux mesures concrètes prises par Global Payments pour sécuriser les données de paiement.

En remédiant de manière proactive aux vulnérabilités de sécurité, en investissant dans des mesures de sécurité renforcées et en se mettant en conformité avec la norme PCI DSS, Global Payments a démontré sa volonté de rétablir la confiance. L’engagement de l’entreprise en faveur de la transparence, ses investissements dans la sécurité et sa mise en conformité avec la norme PCI DSS ont joué un rôle déterminant dans le rétablissement de la confiance des clients et la restauration de sa réputation dans le secteur du traitement des paiements.

Défis liés à la conformité PCI DSS

Complexité des exigences

La mise en œuvre des 12 exigences de la norme PCI DSS peut poser de nombreux défis aux organisations, car des ressources adéquates, tant humaines que technologiques, sont nécessaires pour assurer et maintenir la conformité à cette norme. Les organisations de toutes tailles peuvent avoir des difficultés à définir précisément et à limiter le périmètre de leur mise en œuvre, mais cela s’avère particulièrement complexe pour les petites entreprises disposant de budgets et d’une expertise limités, ainsi que pour celles dont les systèmes existants doivent être mis à niveau afin de respecter les normes PCI DSS en vigueur. Les entreprises font souvent appel à des prestataires tiers pour différents aspects de la mise en œuvre, mais veiller à ce que ces prestataires respectent les exigences de la norme PCI DSS et sécuriser la chaîne d’approvisionnement constitue également une responsabilité majeure.

Maintenance continue

Le maintien de la conformité à la norme PCI DSS est un processus continu qui nécessite une surveillance, des tests et des évaluations réguliers. Les organisations doivent donc rester vigilantes et mettre régulièrement à jour leurs mesures de sécurité et leurs politiques de gestion des correctifs. Le maintien de la conformité implique également de s’engager durablement à tester régulièrement les systèmes et processus de sécurité, notamment en réalisant des tests d’intrusion approfondis et des évaluations des vulnérabilités. Ces opérations peuvent mobiliser des ressources importantes, poser des difficultés logistiques et, à terme, peser sur les ressources disponibles.

Implications financières

Le paysage de la cybersécurité évolue constamment, avec l’apparition régulière de nouvelles menaces toujours plus sophistiquées. Pour assurer leur conformité à la norme PCI DSS, les entreprises doivent surveiller et analyser en permanence les menaces afin de comprendre ces risques et de les anticiper. L’identification et l’atténuation des vulnérabilités zero-day constituent également un défi majeur pour le maintien de la conformité PCI DSS, car il s’agit de failles de sécurité inconnues que les acteurs malveillants exploitent avant que les fournisseurs aient la possibilité de publier des correctifs. L’amélioration continue et la volonté de se tenir informé des dernières tendances en matière de sécurité sont essentielles pour relever efficacement le défi que représente l’anticipation des menaces émergentes, tout en veillant à ce que la conformité PCI DSS s’adapte à la nature évolutive des cybermenaces.

Évolution du paysage des menaces

Le paysage de la cybersécurité évolue constamment, avec l’apparition régulière de nouvelles menaces toujours plus sophistiquées. Pour assurer leur conformité à la norme PCI DSS, les entreprises doivent surveiller et analyser en permanence les menaces afin de comprendre ces risques et de les anticiper. L’identification et la correction des vulnérabilités zero-day constituent également un défi majeur pour le maintien de la conformité PCI DSS, car il s’agit de failles de sécurité inconnues que les acteurs malveillants exploitent avant que les fournisseurs aient pu publier des correctifs. L’amélioration continue et la volonté de se tenir informé des dernières tendances en matière de sécurité sont essentielles pour anticiper efficacement les menaces émergentes, tout en veillant à ce que la conformité PCI DSS s’adapte à la nature évolutive des cybermenaces.

Avis d’experts et ressources

Consultez le site du PCI Security Standard Council web pour obtenir les dernières informations sur les exigences de conformité à la norme PCI DSS, les formations et les qualifications, ainsi que pour accéder à des professionnels qualifiés PCI. Le site propose également une vaste bibliothèque de ressources comprenant une FAQ, un glossaire et un guide pratique de référence rapide PCI DSS.

Comment F5 peut vous aider

La conformité à la norme PCI DSS est essentielle pour les organisations qui traitent des transactions par carte bancaire, car ses exigences contribuent à garantir la sécurité des données des titulaires de cartes, la protection des réseaux de transaction, ainsi que la surveillance et les tests obligatoires des systèmes de sécurité. F5 propose une gamme de produits, services et solutions de sécurité des applications pour aider votre organisation à atteindre et à maintenir la conformité à la norme PCI DSS. En outre, les services F5 Distributed Cloud sont conformes à la norme PCI DSS en tant que fournisseur de services de niveau 1.

F5 propose également une expertise de référence en matière de sécurité des applications et de stratégies de protection, ainsi que des analyses et des perspectives, par le biais des recherches, F5 Labs analyses, articles de blog et rapports.