Datacenter PCI DSS : notre attestation de conformité v4.0.1 expliquée
Un datacenter PCI DSS héberge des systèmes de paiement dans un environnement physique évalué. Cette évaluation suit le Payment Card Industry Data Security Standard (PCI DSS). Ce standard vient du PCI Security Standards Council (PCI SSC). Pour son hébergement en colocation, Thésée Datacenter possède une attestation de conformité PCI DSS v4.0.1. Cette attestation s'inscrit dans notre démarche de datacenter sécurisé.
Ce que prouve l'attestation de notre datacenter PCI DSS
L'AOC (Attestation of Compliance), ou attestation de conformité, synthétise l'évaluation. Elle indique les sites, le service contrôlé, les exigences testées et le statut atteint.
Par définition, cette évaluation reste partielle. Elle couvre seulement les exigences liées à l'hébergement physique. Vos systèmes relèvent des autres exigences, hors de notre périmètre.
Pourquoi héberger votre environnement de paiement dans un datacenter PCI DSS
- Un périmètre déjà évalué : notre attestation sert d'appui à votre évaluateur pour la sécurité physique de l'hébergement.
- Des accès contrôlés : le QSA teste l'accès aux sites et aux salles dans le périmètre retenu.
- Une infrastructure résiliente : le campus d'Aubergenville (TDC01) possède la certification Tier IV Constructed Facility de l'Uptime Institute.
- Un hébergement sous droit français : nos deux sites sont implantés dans les Yvelines, en Île-de-France.
SAQ, AOC, QSA : lire un dossier PCI DSS sans vous tromper
- SAQ (Self-Assessment Questionnaire) : ce questionnaire d'auto-évaluation existe en version D pour les fournisseurs de services.
- AOC : cette attestation signée présente le statut de conformité et les résultats obtenus.
- QSA : cet évaluateur qualifié par le PCI SSC réalise les procédures de test sur notre attestation.
- ROC (Report on Compliance) : ce rapport détaillé suit une évaluation complète.
Aucun organisme ne délivre une « certification » de datacenter PCI DSS. Chaque année, l'entité valide sa conformité via un SAQ ou un ROC, résumé dans une AOC.
Qui fait quoi : le partage des responsabilités dans votre environnement de paiement
Nos clients gardent la responsabilité des données de cartes. Thésée Datacenter fournit l'environnement physique et administre les accès aux sites. Ce tableau détaille la répartition par exigence.
Votre évaluateur réclame cette répartition, ainsi que notre attestation. L'exigence 12.8 prévoit le suivi de vos fournisseurs de services.
PCI DSS v4.0.1 : les dates qui comptent pour votre conformité
- 11/06/2024 : le PCI SSC publie la version 4.0.1, sous forme de révision limitée sans nouvelle exigence.
- 31/12/2024 : le PCI SSC retire la version 4.0 ; la v4.0.1 devient alors la seule version active.
- 31/03/2025 : les nouvelles exigences assorties d'une date différée entrent en application obligatoire.
- Chaque année : l'entité valide de nouveau sa conformité.
Le PCI SSC donne accès gratuitement au standard complet et aux questionnaires dans sa bibliothèque documentaire.
Consultez notre attestation de conformité PCI DSS.
Votre évaluateur souhaite la répartition complète des responsabilités ? Contactez notre équipe.
Voir aussi : Datacenter ISO 27001 · Datacenter ISO 50001 · Nos offres de colocation
Questions fréquentes sur la conformité PCI DSS
Retrouvez les réponses aux questions les plus courantes sur le PCI DSS, la portée de notre attestation et son renouvellement.
Un datacenter peut-il être certifié PCI DSS ?
Pas exactement. Le PCI SSC ne remet aucun certificat. Un datacenter prouve sa conformité par une attestation annuelle, issue d'un SAQ ou d'un ROC.
Où télécharger le PDF du PCI DSS v4.0.1 ?
Le PCI SSC met le standard à disposition gratuitement dans sa bibliothèque documentaire, après acceptation d'une licence d'utilisation. Les questionnaires SAQ et les modèles d'attestation s'y trouvent aussi.
Qu'est-ce qu'un SAQ D pour fournisseurs de services ?
Il s'agit du questionnaire d'auto-évaluation pour les fournisseurs de services. Il reprend les exigences du standard et conduit à une attestation de conformité. Pour notre attestation, un QSA a mené les procédures de test.
Héberger mes serveurs chez Thésée Datacenter suffit-il pour être conforme PCI DSS ?
Non. Notre attestation concerne l'hébergement physique. Vous validez la conformité de vos systèmes, de vos applications et de vos processus de paiement.
Faut-il renouveler une attestation PCI DSS ?
Oui, la validation de conformité se renouvelle tous les ans. Demandez toujours à votre hébergeur l'attestation la plus récente.