Chaque entreprise qui accepte des paiements par carte doit remplir une fois par an un PCI DSS Self-Assessment Questionnaire. Les questions sont définies par le PCI Security Standards Council et doivent être répondues exactement telles qu’elles sont rédigées. Ce qui n’avait pas été traité, selon Paytia, c’est l’endroit où ces questions sont censées être complétées : à un bureau, sur un ordinateur portable, pendant que les éléments examinés se trouvent dans une autre pièce.

« Les questions sont les questions — reformulez-les et vous ne les avez pas remplies. Nous avons mis le questionnaire sur le téléphone, laissé l’appareil photo faire le classement et gardé les photos sur l’appareil où elles doivent rester. » — Curtis Nash, CEO, Paytia

Paytia Comply déplace le questionnaire sur le téléphone que vous avez dans votre poche. Il couvre les neuf types de SAQ et 966 exigences PCI DSS v4.0.1, une à la fois, afin que les utilisateurs puissent répondre là où se trouvent réellement les preuves.

Les utilisateurs peuvent sélectionner le questionnaire qui correspond à leur configuration de paiement — A, A-EP, B, B-IP, C, C-VT, D pour les Merchants, D pour les Service Providers ou P2PE — ou appuyer sur « Help me choose » et répondre à quelques questions sur leur environnement. Chaque SAQ explique ce qu’il couvre et combien d’exigences il comprend, de 28 pour le SAQ B à 145 pour A-EP. Les utilisateurs remplissent ensuite les questions en indiquant Yes, No ou N/A, tandis que la progression est suivie tout au long du processus.

La question reste la question

Lorsqu’une exigence est ouverte, le libellé officiel du PCI SSC apparaît sous un en-tête indiquant clairement « The question ». Paytia indique que ce libellé n’a pas été reformulé ni raccourci. L’entreprise affirme qu’un SAQ reformulé ne serait plus un SAQ.

Ce que Comply ajoute, c’est l’ensemble des indications autour de la question : ce que chaque exigence signifie réellement et quelles preuves peuvent être nécessaires pour y répondre, y compris la documentation à examiner, le personnel à interroger et les paramètres de configuration à vérifier. Le langage de la norme reste intact, tandis que l’explication apparaît à côté, offrant aux utilisateurs un contexte sans modifier le texte source auquel ils doivent répondre.

L’appareil photo fait le classement

De nombreuses exigences demandent des preuves plutôt qu’une simple case à cocher, comme une preuve de verrouillage de la salle des serveurs, de configuration du terminal ou du registre des visiteurs. Paytia indique que la collecte de ces preuves a souvent été fastidieuse : prendre une photo, se l’envoyer par e-mail, la télécharger sur un ordinateur portable, renommer le fichier puis déterminer à quelle exigence il appartient.

Comply est conçu pour supprimer ce travail supplémentaire. Les utilisateurs qui se trouvent devant l’élément examiné peuvent appuyer sur « Take photo » et joindre l’image à l’exigence correspondante. Les photos restent sur l’appareil. Une fois le questionnaire terminé, le contenu est regroupé dans un PDF pouvant être exporté ou envoyé par e-mail à un acquéreur ou à un QSA. En pratique, l’application est donc conçue pour le moment où les preuves sont collectées, et non pour celui où elles sont examinées plus tard.

Une référence de poche pour le navigateur aussi

Toutes les questions PCI ne se posent pas dans une salle des serveurs. Beaucoup surviennent à un bureau, souvent sous la forme d’une question sur le SAQ applicable ou d’un acronyme dans un e-mail d’un acquéreur. Pour ces situations, Paytia propose également une extension Chrome gratuite, PCI SAQ Pocket Reference : chromewebstore.google.com/detail/pci-saq-pocket-reference/amkphflaeaegcigdnjdffclpmamjifcf.

L’extension se trouve dans la barre d’outils du navigateur et offre trois fonctions : un guide de décision en huit questions pour identifier le bon SAQ, un glossaire en langage simple de 15 termes PCI — dont PAN, CDE, AOC et P2PE — et des liens vers les listes de contrôle gratuites de Paytia pour SAQ A, A-EP, B et D. Paytia indique qu’elle fonctionne hors ligne, ne demande aucune autorisation, ne comporte aucun suivi et que son code source est ouvert sous licence MIT.

L’extension répond aux questions qui apparaissent à un bureau, tandis que l’application sert à remplir le questionnaire lui-même, face aux preuves. Paytia propose aussi un vérificateur instantané gratuit à l’adresse paytia.com/resources/tools/which-saq, qui utilise huit questions dans le navigateur et ne collecte aucune information.

Pourquoi Paytia l’a développé

Paytia indique être un fournisseur certifié PCI DSS Level 1 depuis 2016, aidant les centres de contact et les marchands sans présence du titulaire à rester conformes. L’entreprise dit avoir constaté à répétition le même schéma : les entreprises savent que le SAQ annuel arrive à échéance, téléchargent les PDF officiels, les ouvrent sur un ordinateur portable, puis s’arrêtent, parce que le document est rédigé pour l’évaluateur qui le lira finalement et parce qu’une grande partie des preuves demandées se trouve ailleurs dans le bâtiment.

Selon Paytia, le problème ne venait pas des questions elles-mêmes mais de l’endroit où elles étaient répondues. Cette distinction compte parce que l’auto-évaluation PCI reste un processus formel, et que les frictions pratiques proviennent souvent de l’organisation des preuves et du choix du bon questionnaire avant même qu’un examen ne commence.

Ce que le produit ne fait pas

Paytia décrit Comply comme une liste de contrôle et un outil de collecte de preuves. Ce n’est pas un conseil juridique ou de conformité, et l’acquéreur a le dernier mot. Il ne certifie pas une entreprise comme conforme PCI ; cela nécessite une attestation d’un QSA, ou, pour les marchands éligibles au SAQ, une auto-attestation signée par l’entreprise. Il n’effectue pas non plus de scans externes ni de tests d’intrusion, et n’implémente pas les contrôles techniques exigés par la norme.

Ce qu’il fait, selon Paytia, c’est retirer le questionnaire de l’ordinateur portable et le mettre là où se trouvent les preuves.

« Un SAQ n’est pas quelque chose que l’on a le droit de simplifier. Les questions sont les questions — reformulez-les et vous ne les avez pas remplies. Ce que personne n’avait demandé, c’est où l’on est censé se tenir quand on y répond. Ce n’est jamais à un bureau. C’est dans la pièce avec le terminal de carte, ou l’armoire, ou le registre des visiteurs. Alors nous avons mis le questionnaire sur le téléphone, laissé l’appareil photo faire le classement et gardé les photos sur l’appareil où elles doivent rester. » — Curtis Nash, CEO, Paytia

Paytia renvoie également les lecteurs vers son extension Chrome gratuite et son vérificateur instantané, et précise que ses autres outils axés sur PCI visent à aider les utilisateurs à identifier le bon SAQ et à organiser les preuves pour examen.