WL SIPS DOCS

La solution Worldline Sips sécurise les données carte par un processus de tokenisation.

Le principe du tokeniser est d’associer un token unique pour un numéro de carte donné : ce token attribué est irréversible et ne permet pas de trouver le numéro de carte.

Le token est un numéro partagé par vous-même et Worldline Sips et remplace le numéro de carte de crédit (PAN) en toute sécurité.

L’utilisation des tokens est une méthode simple qui contribue au respect des normes PCI DSS.

Les messages échangés entre vous et Worldline Sips sont signés par des clés de chiffrement.

Les clés de la sécurité Worldline Sips garantissent :

• votre authentification ;
• la demande d'autorisation auprès de la banque du porteur de la carte ;
• la confidentialité des données, qui transitent chiffrées sur l'Internet ;
• l'intégrité des données échangées.

En fonction du type de connecteur utilisé, la sécurisation est soit assurée par une clé secrète (pour connecteurs HTTPS), soit par certificats X509 (utilisés pour sécuriser les connecteurs de type web-service).

L’utilisation d’un identifiant et d'un mot de passe permet d’accéder aux interfaces Worldline Sips avec les droits associés. L’utilisateur peut se déconnecter à tout moment. Pour garantir la sécurité de ses utilisateurs, la politique de sécurité mise en place impose les éléments suivants :

• saisie d'un nouveau mot de passe lors de la première connexion ;
• renouvellement fréquent du mot de passe (sa validité étant de trois mois) ;
• le mot de passe doit avoir une longueur minimum de 10 caractères et comporter obligatoirement :
  • au moins un caractère alphabétique,
  • au moins un caractère numérique,
  • au moins un caractère spécial,
• le mot de passe doit être différent des quatre derniers mots de passe utilisés.

Tous ces éléments contribuent à la sécurisation des données.

Les moyens sont mutualisés pour l’ensemble des clients des offres Worldline Sips : mêmes bases de données, mêmes serveurs applicatifs.

Chaque commerçant est attaché à une offre commerciale qui elle-même est attachée à une offre technique. Une fois passée l’étape de l’authentification à une application, c’est l’application elle-même qui assure le cloisonnement des commerçants et de ses boutiques.

La sécurisation des échanges de fichiers internes Worldline et externes client est assurée par notre passerelle de transfert de fichiers installée dans une bulle mutualisée soumise à l’ensemble des contraintes et procédures de gestion imposées par le standard PCI DSS.

Les échanges de données par transfert de fichiers sécurisés ou par services Web sécurisés mettent en œuvre :

• une authentification par identification (utilisateur / mot de passe) sur le serveur SFTP (Secure File Transfer Protocol) ;
• une protection des flux échangés par chiffrement SSL/TLS (TLS 1.2) pour les protocoles FTPS et PeSIT ;
• une protection des flux échangés par chiffrement SSH (bi-clés) pour SFTP.

Les flux de données Worldline Sips échangés via le Web sont sécurisés par l’utilisation du protocole HTTPS en TLS version 1.2.

Pour rappel le protocole HTTP (HyperText Transfer Protocol) qui permet de se connecter à un serveur Web et de faire transiter des données sur le Web n'est pas sécurisé, ce qui signifie qu'un tiers mal intentionné pourrait intercepter et lire lesdites données.

C’est pourquoi Worldline Sips utilise sa variante sécurisée, le protocole HTTPS (Secure HyperText transfer Protocol) qui ajoute un protocole SSL / TLS (Secure Socket Layer / Transport Layer Security) au protocole HTTP. Non seulement ce protocole supplémentaire assure l'intégrité et le chiffrement des données (ce qui les rend illisibles par un tiers) lors de leur transmission, mais il permet également d'authentifier le détenteur d'un certificat SSL / TLS utilisé sur un site Web, via l'apparition d'une icône "cadenas" à côté de l'URL dans le navigateur de l'utilisateur. Cette authentification se fait grâce à l'utilisation d'un certificat numérique X509 délivré par une autorité de certification (AC).

Le protocole TLS est constitué :

• d'une « négociation » entre le client et le serveur (« handshaking »), phase durant laquelle des algorithmes cryptographiques (aussi dénommés « suite de chiffrement ») sont négociés en fonction des possibilités du client et du serveur, avec création d'une clé de session à l'issue de cette phase ;
  Note: le serveur et le client sont authentifiés durant cette phase.
• d'une session durant laquelle la clé de session est utilisée pour échanger les données de manière sécurisée.

La solution Worldline Sips est déployée en bi-site permettant d’assurer un plan de reprise d’activité sur l’ensemble des couches, système et application.

Chaque composant technique Worldline Sips de chacun des sites ainsi que la plate-forme de transfert de fichiers sont redondés et sont configurés en équilibrage de charge.

Si un équipement unitaire est hors-service, la répartition de charge est automatiquement adaptée en éliminant du flux l'équipement défectueux.

Le plan de reprise d’activité sera déclenché pour faire face à des situations extrêmes de dysfonctionnement : incendie, dégât des eaux, accident majeur, phénomène sismique ou météorologique, crue, défaillance de climatisation, perte d'alimentation électrique, perte des moyens de télécommunication, panne matérielle (DRP), atteinte à la disponibilité du personnel (pandémie par exemple)...

Pour assurer la reprise ou la continuité des activités critiques, Worldline a mis en œuvre un BCP (Business Continuity Plan).

Ce plan de continuité ne se limite pas à la continuité des services/applications, il prend également en compte le repli des utilisateurs, le risque sanitaire (épidémie, pandémie), l'organisation permettant la gestion de crise (astreintes, cellules de crise...), la communication de crise, des mesures de contournement pour les métiers, des fonctions transverses (RH, logistique).

Des tests de plan de continuité d’activité sont réalisés chaque année et ont pour objectif de tester que toutes les URL de service Worldline Sips soient en capacité d’accueillir l’ensemble des flux sur un même site en cas d’incident majeur.

PCI DSS est un standard de sécurité international dont les objectifs sont d’assurer la confidentialité et l’intégrité des données des porteurs de cartes, et ainsi de sécuriser la protection des données carte et de transaction. Les commerçants ainsi que les prestataires de paiement sont tenus de s’y conformer, à des degrés divers en fonction de l’importance de leur activité.

Worldline est certifié PCI DSS et met en œuvre notamment les actions de sécurité suivantes :

• politique de sécurité du Système d’Information ;
• bâtiments surveillés et protégés par contrôle d’accès ;
• serveurs sécurisés et données sauvegardées ;
• Système d’Information audité régulièrement ;
• centres d’hébergement hautement sécurisés.

Worldline est ainsi responsable de la sécurité des données de porteurs de cartes, en revanche, la société n’est pas responsable de la conformité PCI DSS de ses clients.

Nous vous invitons à évoquer ce sujet avec votre établissement acquéreur.

Vous pouvez télécharger les AOC PCI de Worldline :

• AOC PCI-DSS
• AOC PCI-3DS

En tant que marchand vous êtes soumis à des obligations de conformité à PCI-DSS qui dépendent du nombre de transactions que vous traitez par an. Selon le cas, vous serez soit soumis à un audit, soit sollicité par votre banque acquéreur pour compléter un questionnaire d’auto-évaluation (SAQ, Self-Assessment Questionnaire).

Votre démarche vis-à-vis des SAQ se déroule donc en deux étapes :

PREMIÈRE ÉTAPE : DÉTERMINER LE NIVEAU AUQUEL VOUS APPARTENEZ

Que vous acceptiez quelques paiements par carte par an ou plusieurs millions, vous serez classé dans l'un des quatre niveaux suivants définis par les réseaux internationaux.

En cas de doute, prenez le nombre de transactions par marque de carte, contactez votre banque acquéreur et demandez la confirmation de votre niveau. Les banques acquéreurs ont le pouvoir de décision ultime sur les niveaux de leurs commerçants, de sorte que vous devez vérifier vos hypothèses avec votre banque.

DEUXIÈME ÉTAPE : DÉTERMINER CE QUE VOUS DEVEZ SOUMETTRE À VALIDATION.

Lorsque vous avez identifié le niveau auquel vous appartenez, vous pourrez déterminer ce que vous devez fournir à votre banque acquéreur.

Si vous êtes de niveau 2 à 4, vous devez remplir un questionnaire d’auto-évaluation adapté à votre activité. Les questionnaires d’auto-évaluation sont des documents contenant une série de questions auxquelles vous devez répondre.

Il existe trois types de SAQ couvrant l'offre Worldline Sips : A, A-EP et D.

Le RGPD (Règlement Général sur la Protection des Données) est un règlement mis en place par l'Union Européenne afin d'encadrer la collecte et le traitement des données à caractère personnel en Europe.

Il a pour missions de renforcer les droits des individus, de responsabiliser les différentes parties prenantes vis-à-vis du traitement des données et de crédibiliser la règlementation mise en place. Il s'inscrit en cela dans la continuité des missions de la CNIL (Commission nationale de l'informatique et des libertés), organisme administratif français créé en 1978 pour garantir le respect de la vie privée lors du traitement informatique des données personnelles.

En revanche, le RGPD met fin aux obligations antérieures de déclaration préalable auprès de ladite CNIL, puisque celle-ci peut désormais effectuer des contrôles à tout moment.

Pour garantir et prouver sa conformité en matière de protection des données personnelles, Worldline a suivi et mis en œuvre les 6 étapes-conseils de la CNIL :

1. nommer un délégué à la protection des données ;
2. cartographier les traitements des données ;
3. définir les actions correctives ;
4. analyser / gérer les risques ;
5. établir des procédures internes ;
6. documenter la conformité.