Tout ce que les hôtels doivent savoir sur la conformité à la norme PCI

La sécurité des données est importante, quel que soit votre secteur d'activité. Selon IBM Security, le coût moyen d'une violation de données est de 4,35 millions de dollars.

‍

Les impacts à plus petite échelle de la fraude, tels que le coût d'une violation de données pour une petite chaîne hôtelière, peuvent être désastreux. C'est pourquoi la conformité à la norme PCI DSS de votre hôtel est un petit prix à payer pour votre protection et celle de vos clients.

‍

Dans ce blog, nous allons explorer la conformité PCI, ce qu'elle est, pourquoi elle est importante et comment vous pouvez respecter les directives.

Qu'est-ce que la conformité PCI ?

Avant de passer à la définition exacte de la conformité PCI, voici un point à prendre en compte : Lorsque demandé par Shift Dans quelle mesure les voyageurs étaient préoccupés par la confidentialité et la sécurité de leurs données personnelles fournies aux hôtels, 55,6 % se sont dits quelque peu préoccupés. Vingt pour cent se sont dits très inquiets.

‍

C'est pourquoi la conformité à la norme de sécurité des données de l'industrie des cartes de paiement (PCI DSS) existe pour protéger les informations des détenteurs de cartes de paiement. Il comprend un ensemble détaillé de réglementations pour les entreprises qui gèrent les données des cartes de paiement.

‍

Il a été créé par le Payment Card Industry Security Standards Council (PCI SSC), une alliance des cinq principales sociétés de cartes de crédit : Visa, MasterCard, American Express, Discover et JCB.

‍

Toutes les entreprises qui gèrent des données de paiement, y compris les hôtels, doivent se conformer à la norme PCI DSS. Si vous ne le faites pas, les pénalités associées à un échec pourraient être énormes.

‍

Quelle est la différence entre la conformité PCI et la certification PCI ?

‍

Conformité PCI

La conformité PCI, créée par le PCI SSC, est un ensemble de directives que les entreprises doivent suivre lorsqu'elles acceptent, stockent, traitent et transmettent des cartes de paiement.

‍

Il est important de noter qu'il n'est pas illégal de ne pas être conforme à la norme PCI. Toutefois, si une violation se produit et que vous ne vous conformez pas, vous êtes responsable et pouvez encourir de lourdes sanctions.

‍

La conformité à la norme PCI est essentielle pour protéger vos clients et vous-même.

‍

Certification PCI

La certification PCI fait référence à un audit complet d'une entreprise visant à s'assurer qu'elle suit les procédures et directives appropriées en matière de protection des données. L'audit doit être effectué par un évaluateur de sécurité qualifié (QSA) tiers pour que vous soyez considéré comme conforme.

‍

Il s'agit d'un processus long, qui dure souvent jusqu'à six mois. Pendant cette période, l'évaluateur examinera comment le logiciel de votre hôtel a été développé, comment les développeurs sont formés et vos contrôles techniques/procéduraux.

‍

Pourquoi la conformité PCI est-elle importante pour les hôtels ?

Les violations de données peuvent nuire aux finances et à la réputation d'une entreprise. Si votre hôtel venait à subir une infraction, vous pourriez être poursuivi en justice par des clients, perdre votre fidélité et devoir payer de lourdes pénalités allant de 5 000$ à 100 000$ par mois.

‍

La conformité PCI vous aide à prévenir les violations de données et à renforcer la confiance de vos clients en vous et en votre capacité à traiter leurs données sensibles. C'est pourquoi il est important d'informer les clients que vous êtes conforme à la norme PCI.

En tant qu'hôtel, vous êtes particulièrement vulnérable dans les domaines suivants :

‍

• Commerce électronique
• Point de vente
• Réseau d'entreprise/interne
• Systèmes interconnectés
• Attaques physiques

‍

Raisons pour lesquelles un hôtel peut être non conforme à la norme PCI

Croyez-le ou non, vous pourriez être non conforme à la norme PCI sans même le savoir. Il est donc d'autant plus important de devenir un expert de la conformité à la norme PCI DSS et de ce que cela signifie pour votre entreprise.

Comme nous l'avons mentionné précédemment, si vous vous rendez compte que vous n'êtes pas en conformité, ne paniquez pas (trop). Ce n'est pas illégal, c'est juste risqué. L'avantage, c'est que vous reconnaissez la non-conformité et que vous puissiez y remédier. Voici quelques raisons pour lesquelles vous n'êtes peut-être pas en conformité :

‍

• Vous utilisez toujours du papier et Formulaires d'autorisation de carte de crédit en format PDF: Il s'agit d'une raison très courante de non-conformité à la norme PCI et il est surprenant de constater que de nombreux hôtels ne savent pas que les formulaires d'autorisation papier ou PDF ne sont pas conformes.
• Votre sécurité physique est laxiste : Votre sécurité physique joue un rôle important dans la protection des données des cartes de crédit de vos clients. Que vous ayez une équipe de sécurité ou non, assurez-vous que les membres du personnel sont toujours présents et formés à ce qu'il faut surveiller en cas de vol ou de comportement douteux.
• Votre politique en matière de mots de passe est faible : Les mots de passe trop courants ou partagés présentent un risque énorme pour vos réseaux. Assurez-vous que votre entreprise applique une politique stricte en matière de mots de passe afin d'empêcher les fraudeurs de deviner ou de pirater des comptes. Certaines entreprises exigent que leurs employés modifient régulièrement leur mot de passe, par exemple.
• Vous n'êtes pas soumis à des évaluations de sécurité régulières : En matière de conformité PCI, l'absence d'évaluations de sécurité régulières peut entraîner une violation. Les vulnérabilités de votre réseau ou de vos logiciels apparaissent et plus elles restent sans surveillance, plus vous risquez d'être victime de fraude.
• La formation de vos employés est insuffisante : En parlant de vulnérabilités, les fraudeurs peuvent cibler vos employés. Sans formation adéquate, les membres du personnel pourraient passer à côté des signes d'acte criminel.
• Votre logiciel ou votre matériel est obsolète : Il est possible que des logiciels ou du matériel plus anciens ne répondent pas aux normes PCI DSS actuelles et soient donc considérés comme non conformes.

‍

5 façons de rester conforme à la norme PCI

Heureusement, il existe plusieurs moyens de rester conforme à la norme PCI DSS, dont la plupart consistent à être proactif, à investir dans une technologie sécurisée et à adopter une approche axée sur la sécurité. Voici sept moyens de prévenir les violations de données (économisant ainsi beaucoup d'argent) :

‍

Débarrassez-vous des formulaires d'autorisation papier ou PDF

Les formulaires d'autorisation papier et PDF ne sont pas conformes. Il n'y a pas deux solutions. Passer à des solutions numériques sécurisées telles que Autorisations numériques de Canary et Enregistrement sans contact vous aidera à prévenir les fraudes et à améliorer l'expérience de vos clients. De plus, ces solutions vous aident à obtenir gain de cause dans les cas de rétrofacturation, le cas échéant.

‍

Voici comment fonctionnent les autorisations numériques : un lien unique vers un formulaire sécurisé est envoyé à chaque invité. Votre équipe reçoit un e-mail une fois que le client a saisi les informations de sa carte de crédit. Vous pouvez ensuite suivre chaque autorisation sur le tableau de bord Web de Canary.

‍

Canary utilise son propre ensemble d'outils (vérification des montants, vérification de l'identité, marquage IP et algorithme de détection des fraudes) pour détecter les fraudes et y mettre fin.

‍

‍

Vous voulez commencer à éliminer la fraude et les rétrofacturations ? Démo La solution d'autorisations numériques de Canary aujourd'hui !

‍

Création d'une politique interne de sécurité des données

Une politique interne de sécurité des données est un ensemble de directives et de procédures destinées à vos employés. Ils devraient expliquer comment traiter les informations sensibles. Une bonne politique interne de sécurité des données vous aide de plusieurs manières essentielles :

‍

• Définit les rôles et les responsabilités : Une politique bien conçue doit définir tous les rôles et responsabilités en matière de paiement et de traitement attribués aux membres du personnel. Il est ainsi plus facile de s'assurer que chaque employé comprend ce que l'on attend de lui.
• Établit des protocoles de sécurité : en matière de conformité PCI, des normes élevées devraient être la norme. Le fait de disposer d'un ensemble de protocoles de sécurité tels que des normes de cryptage garantit la protection permanente des données sensibles.
• Offre la possibilité de former les employés : une politique de sécurité vous aide à former le personnel et, par conséquent, à éviter les incidents. Votre politique pourrait stipuler que tous les nouveaux membres du personnel doivent être formés aux normes de sécurité des données au cours de leur premier mois. C'est également une bonne idée de renseigner chaque année les membres actuels du personnel sur la manière de gérer correctement les informations sensibles.
• Instaure une culture de sécurité : une politique actualisée peut vous aider à créer une culture dans laquelle la sécurité des données des clients est une priorité. Cela permettra de s'assurer que les membres du personnel restent vigilants en tout temps.

‍

L'essentiel à retenir est que les mesures de sécurité doivent être régulièrement revues et mises à jour. Cela vous aidera à rester conforme à la norme PCI.

‍

Créez un plan de réponse aux cyberincidents

Quel que soit le niveau de sécurité que vous pensez que votre hôtel est, la mise en place d'un plan de réponse aux cyberincidents est importante et constitue une exigence PCI. Il fait également preuve de diligence raisonnable à l'égard de vos régulateurs et de vos clients.

‍

La mise en place d'un plan vous aidera à agir rapidement en cas de violation de données, à identifier la cause de la violation et à minimiser son impact sur votre hôtel et sa réputation. Voici un exemple de plan d'intervention :

‍

1. Mettez en place une équipe de réponse aux incidents : réunissez un groupe de personnes possédant différents domaines d'expertise tels que la sécurité informatique, le droit et les communications pour prendre les devants en cas de violation.
2. Évaluer l'incident : Procédez à une évaluation préliminaire de l'incident afin de déterminer l'étendue et la gravité de la violation, notamment quelles données ont été touchées, comment elles ont été consultées et combien de temps la violation n'a pas été détectée.
3. Contenir la violation : prenez des mesures immédiates pour contenir la violation. Déconnectez les systèmes concernés du réseau, désactivez les comptes utilisateurs et modifiez les mots de passe, par exemple.
4. Avertissez les parties : informez vos clients, les sociétés émettrices de cartes de crédit et les autorités réglementaires de la violation.
5. Préserver les preuves : Conservez toutes les preuves pertinentes liées à l'incident, y compris les journaux et les images du système par exemple.
6. Mener une enquête : Menez une enquête pour découvrir la cause de la violation. Cette étape vous aidera à prévenir de futures violations.
7. Mettez en œuvre des mesures correctives : restaurez les systèmes à partir de sauvegardes, installez des correctifs de sécurité et améliorez les contrôles de sécurité.
8. Passez en revue et mettez à jour votre plan de réponse aux incidents : intégrez les leçons tirées de cette violation à votre plan de réponse et à votre politique interne de sécurité des données.

‍

Réaliser des évaluations des risques

Une évaluation des risques consiste simplement à évaluer les risques potentiels pour la sécurité des données des cartes de paiement et à mettre en place des mesures en fonction des résultats. Voici un exemple d'évaluation des risques à mettre en œuvre dans votre hôtel :

‍

1. Identifiez les actifs : identifiez tous les actifs liés aux données des cartes de paiement dans votre hôtel, tels que les terminaux de cartes de paiement, les serveurs et les bases de données.
2. Identifiez les menaces : identifiez toutes les menaces potentielles telles que les violations de données, les infections par des logiciels malveillants, les menaces internes, etc.
3. Évaluez les vulnérabilités : évaluez chaque actif et déterminez ses vulnérabilités. Il peut s'agir de mots de passe faibles ou de logiciels obsolètes, par exemple.
4. Déterminez la probabilité et l'impact : évaluez la probabilité et l'impact de chaque menace, en tenant compte de la valeur des données des cartes de paiement et des dommages potentiels pour votre hôtel et vos clients.
5. Priorisez les risques : classez les risques en fonction de la probabilité et de l'impact que vous avez déterminés et réglez d'abord les risques les plus graves.
6. Élaborez des stratégies de gestion des risques : ajoutez de nouveaux contrôles de sécurité, formez les employés ou engagez des experts externes pour effectuer des tests d'intrusion.
7. Mettre en œuvre et surveiller les contrôles : Mettez en œuvre, puis surveillez et testez en permanence l'efficacité des contrôles que vous avez mis en place.

‍

Mettre en œuvre un programme de sensibilisation à la sécurité

L'un des meilleurs moyens de prévenir les violations dans votre hôtel est de sensibiliser votre personnel. Lorsque les membres du personnel sont conscients des risques potentiels, ils peuvent signaler les problèmes plus rapidement et éviter d'être victimes de fraudes. Voici quelques méthodes pour élaborer votre programme de sensibilisation à la sécurité :

‍

1. Développez votre politique interne de sécurité des données : celle-ci doit définir les attentes envers vos employés et les conséquences de la non-conformité à la norme PCI. Cette politique doit être régulièrement revue et mise à jour.
2. Organisez régulièrement des formations : sensibilisez votre personnel aux menaces de sécurité telles que les e-mails de phishing, l'ingénierie sociale et les risques de sécurité physique. Les escrocs sont de plus en plus intelligents. Il est donc toujours utile de mettre en évidence d'autres menaces de sécurité uniques au cas où elles se produiraient.
3. Fournissez des ressources et des outils : donnez à vos employés le pouvoir de protéger l'hôtel grâce à des gestionnaires de mots de passe, à un logiciel antivirus et à des applications de messagerie sécurisées. Donnez-leur également des livres électroniques téléchargeables et des notices dans l'arrière-boutique.
4. Encouragez le signalement : proposez un processus de signalement clair et facile à utiliser si un employé détecte une activité suspecte. Les employés doivent savoir à qui ils doivent rendre compte et où faire un rapport.
5. Réalisez des simulations d'hameçonnage : l'envoi régulier de faux e-mails de phishing constitue un excellent moyen de tester la capacité de vos employés à détecter les escroqueries. En sachant qui est la victime et qui le signale, vous aurez une bonne idée des personnes qui pourraient avoir besoin d'une formation supplémentaire.
6. Évaluez et améliorez : recueillez régulièrement les commentaires des employés sur l'efficacité de votre programme de sensibilisation à la sécurité et améliorez-le en permanence.

‍

Réflexions finales

La conformité à la norme PCI est extrêmement importante pour tous les hôtels. Non seulement cela permet de prévenir les fraudes et les violations de données dans votre établissement, mais cela vous permet également de récupérer plus rapidement, d'éviter les pénalités de non-conformité à la norme PCI et de donner à vos clients la tranquillité d'esprit.

‍

Respectez la norme PCI en passant des autorisations papier ou PDF au format numérique, en créant une politique interne de sécurité des données, en créant un plan de réponse aux cyberincidents, en effectuant des évaluations des risques et en mettant en œuvre un programme de sensibilisation à la sécurité.