Questionnaire d'auto-évaluation (SAQ)

Sécurisez votre entreprise avec CyberHoot dès aujourd'hui !!!

S'inscrire maintenant

Le questionnaire d'auto-évaluation (SAQ) est couramment utilisé dans le cadre de la norme de sécurité des données de l'industrie des cartes de paiement (PCI DSS) pour déterminer si un commerçant ou un prestataire de services est conforme à cette norme. Il existe huit types de SAQ, chacun étant destiné à un type d'organisation différent traitant des informations PCI. Ces huit types sont présentés ci-dessous :

La façon dont vous traitez les cartes de crédit et les données des titulaires de cartes détermine le SAQ que votre entreprise doit remplir. Par exemple, si vous n'avez pas de magasin et que tous vos produits sont vendus en ligne par l'intermédiaire d'un tiers, vous êtes probablement admissible au SAQ A ou au SAQ A-EP. Si vous avez un magasin qui traite les cartes de crédit en ligne et que vous stockez également les données de cartes de crédit de vos clients, vous êtes probablement un commerçant SAQ D.

Les volumes de transactions dictent les exigences d'audit

Outre la réalisation d'un questionnaire d'évaluation de la conformité PCI (SAQ) pour vos besoins de conformité PCI, les PME doivent prendre en compte un indicateur secondaire : le volume de transactions. La norme PCI-DSS définit également des fourchettes de volumes de transactions qui déterminent si vous pouvez vous auto-évaluer (moins de 20,000 2 transactions par carte de crédit par an) et si vous devez faire appel à un évaluateur de sécurité qualifié (QSA) externe, selon votre niveau de conformité 1 ou XNUMX, pour réaliser un audit de votre entreprise.

Qu’est-ce que cela signifie pour une PME ?

Le questionnaire d'auto-évaluation (SAQ) n'est pas seulement une feuille de route vers la conformité ; c'est aussi une feuille de route pour une meilleure cybersécurité. Remplir un SAQ PCI est l'un des meilleurs moyens de vous assurer de respecter les exigences de sécurité de votre entreprise. De plus, les prestataires de services de paiement ne souhaitent pas collaborer avec des entreprises peu sûres ; ils exigent donc généralement de chaque commerçant qu'il fournisse un SAQ PCI comme preuve de sécurité des paiements. Si votre organisation utilise des données PCI, vous avez probablement rempli ou devez remplir un SAQ. Consultez le tableau ci-dessus pour savoir quel SAQ s'applique à votre entreprise. L'analyse de votre SAQ vous aidera à déterminer les mesures à prendre, mais les informations ci-dessous vous aideront à améliorer encore votre sécurité en matière de cybersécurité.  

Recommandations supplémentaires en matière de cybersécurité

De plus, les recommandations ci-dessous vous aideront, vous et votre entreprise, à vous protéger contre les différentes menaces auxquelles vous pouvez être confrontés au quotidien. Toutes les suggestions mentionnées ci-dessous peuvent être mises en œuvre en faisant appel aux services de développement du programme vCISO de CyberHoot.

1. Gérez vos employés avec des politiques et des procédures. Vous devez au minimum disposer d'une politique de mots de passe, d'une politique d'utilisation acceptable, d'une politique de traitement des informations et d'un programme écrit de sécurité de l'information (WISP).
2. Former les employés à repérer et à éviter attaques de phishingAdoptez un système de gestion de l’apprentissage comme CyberHoot pour enseigner aux employés les compétences dont ils ont besoin pour être plus confiants, productifs et en sécurité.
3. Testez vos employés avec des attaques de phishing pour vous entraîner. Les tests de phishing de CyberHoot permettent aux entreprises de tester leurs employés avec des attaques de phishing crédibles et de former ceux qui échouent à une formation corrective.
4. Déployer une technologie de cybersécurité critique, notamment authentification à deux facteurs sur tous les comptes critiques. Activez le filtrage anti-spam, validez les sauvegardes, déployez la protection DNS, antivirus, et anti-malware sur tous vos terminaux.
5. À l'ère du travail à domicile moderne, assurez-vous de gérer les appareils personnels se connectant à votre réseau en validant leur sécurité (correctifs, antivirus, protections DNS, etc.) ou en interdisant totalement leur utilisation.
6. Si vous n'avez pas fait réaliser d'évaluation des risques par un tiers au cours des deux dernières années, vous devriez en faire une dès maintenant. La mise en place d'un cadre de gestion des risques au sein de votre organisation est essentielle pour gérer vos risques les plus graves avec un temps et un budget limités.
7. Souscrivez une cyberassurance pour vous protéger en cas de sinistre catastrophique. La cyberassurance est comparable à une assurance auto, incendie, inondation ou vie. Elle est là quand vous en avez le plus besoin.

Toutes ces recommandations sont intégrées au produit CyberHoot et aux services vCISO de CyberHoot. Avec CyberHoot, vous pouvez gérer, former, évaluer et tester vos employés. Rendez-vous sur CyberHoot.com et inscrivez-vous à nos services dès aujourd'hui. À défaut, continuez à vous former en vous abonnant à nos newsletters mensuelles sur la cybersécurité pour rester informé des dernières actualités.

Pour en savoir plus sur la conformité PCI et les SAQ PCI, regardez cette courte vidéo de 2 minutes :

Sources: 

Mesures de sécurité

Normes de sécurité PCI

Réciprocité

Lectures complémentaires:

Un aperçu de la conformité PCI

Les MSP devraient exiger des évaluations des risques

Termes connexes:

PCI-DSS

Évaluation des risques

Cryptage AES

CyberHoot met également à votre disposition d'autres ressources. Vous trouverez ci-dessous les liens vers toutes nos ressources ; n'hésitez pas à les consulter quand vous le souhaitez : 

• Blog
• Cybrary (Cyberbibliothèque)
• Infographies
• Newsletters
• Communiqués de presse
• Vidéos pédagogiques (HowTo) – très utile pour nos SuperUsers !

Remarque : Si vous souhaitez vous abonner à notre newsletter, cliquez sur n’importe quel lien ci-dessus (à l’exception des infographies), saisissez votre adresse e-mail à droite de la page et cliquez sur « M’envoyer la newsletter ».