Exploiter PCI DSS et ISO 27001 ensemble : un programme, pas deux

Une PME qui accepte les paiements par carte et poursuit aussi la certification ISO 27001 se retrouve souvent avec deux programmes de conformité : une voie PCI pour l’acquéreur et une voie SMSI pour le certificat. Ce qui coûte cher n’est pas l’une ou l’autre norme — c’est la duplication. L’essentiel du travail est le même travail, écrit deux fois.

PCI DSS v4.0.1 et ISO/IEC 27001:2022 sont des instruments différents. PCI DSS est une norme technique prescriptive, à périmètre paiement, validée annuellement contre un seul environnement de données de carte. ISO 27001 est une norme de système de management — définir le périmètre, mener une analyse de risque, choisir les contrôles, exploiter le système, l’auditer. Ils ne sont pas identiques, mais partagent une large surface de preuves : contrôle d’accès, journalisation, gestion des vulnérabilités, réponse aux incidents, segmentation réseau, cryptographie, développement sécurisé, gestion des fournisseurs. Une PME qui les fusionne en un programme opérationnel paie cette surface une fois.

Cet article cartographie le chevauchement, nomme où les normes divergent réellement, et donne le modèle de partage des preuves. C’est le compagnon à pilier croisé du pilier PCI DSS et du pilier ISO 27001.

Pourquoi une PME se retrouve avec les deux

Les déclencheurs sont indépendants. L’acceptation de carte tire PCI DSS que vous le vouliez ou non — votre acquéreur l’exige. ISO 27001 est un choix, généralement tiré par un questionnaire de sécurité client, une exigence de contrat secteur public ou grande entreprise, ou une vraie décision interne de bâtir un programme de sécurité. Une PME qui touche les deux en un an ou deux planifie rarement le chevauchement ; elle acquiert chacun comme un projet séparé et découvre le coût dupliqué la deuxième année de collecte de preuves.

La correction : traiter les deux comme un programme à deux sorties de reporting, conçu dès le départ.

Périmètre : le périmètre SMSI contient le CDE

ISO 27001 laisse définir le périmètre SMSI (clause 4.3). PCI DSS définit le périmètre de l’environnement de données de carte (CDE) par où circulent les données de carte. La forme efficace est de faire du CDE un sous-périmètre dans le SMSI : le SMSI couvre toute l’organisation (ou l’unité en périmètre), et le CDE est la zone à plus haute assurance à l’intérieur. Le travail de réduction de périmètre PCI réduit le CDE ; le périmètre SMSI tient le périmètre plus large. Un seul diagramme réseau sert les deux — la frontière CDE y est marquée.

C’est aussi là que la segmentation gagne deux fois. La segmentation PCI DSS (exigence 4) isole le CDE du reste du réseau ; la ségrégation de réseaux ISO 27001 Annexe A.8.22 est le même contrôle. Bâtissez-la une fois, citez-la dans les deux audits.

Analyse de risque : une analyse, deux tranches

ISO 27001 mandate une analyse de risque (clauses 6.1.2, 6.1.3) couvrant le périmètre SMSI — identifier actifs, menaces, vulnérabilités, évaluer le risque, sélectionner les contrôles, produire une Déclaration d’applicabilité. L’analyse de risque ISO 27001 est l’artefact large.

PCI DSS n’exige pas une analyse de risque SMSI complète, mais il exige des analyses de risque ciblées (exigence 12.3.1) chaque fois que la fréquence d’un contrôle est flexible, et une analyse de risque annuelle du CDE sous l’exigence 12.3.1.1. Le modèle de TRA est une tranche étroite, centrée sur la fréquence.

La fusion : mener l’analyse de risque ISO 27001 une fois au périmètre SMSI, puis découper les risques relatifs au CDE en entrées de TRA PCI. Même registre d’actifs, même liste de menaces, deux coupures de rapport. L’évaluateur PCI voit les lignes de TRA ; l’auditeur ISO 27001 voit le registre complet et la Déclaration d’applicabilité. Une analyse, deux documents générés à partir d’elle.

Cartographie des contrôles : l’Annexe A rencontre les exigences PCI

L’Annexe A ISO 27001:2022 et l’ensemble d’exigences PCI DSS se chevauchent sur les contrôles opérationnels. Une matrice de contrôles combinée (une ligne par contrôle, deux colonnes : numéro d’exigence PCI + contrôle Annexe A) évite la rédaction dupliquée des politiques :

Rédigez chaque contrôle une fois (une politique, une procédure, une routine de preuve) et mappez-le aux deux normes. Les spécificités de la page de paiement — gestion de scripts 6.4.3 et détection d’altération 11.6.1 — sont propres à PCI ; tout le reste dans le tableau ci-dessus est partagé.

Où les normes divergent réellement

Tout ne fusionne pas. Ce qui reste séparé :

• **Contrôles techniques propres au paiement.** 6.4.3, 11.6.1, P2PE, gestion des dispositifs POI, prohibition de stockage de CDP (3.2/3.4). ISO 27001 n’a pas d’équivalent. C’est le travail propre à PCI.
• **La Déclaration d’applicabilité.** ISO 27001 produit une Déclaration d’applicabilité justifiant chaque contrôle Annexe A inclus ou exclu. PCI DSS n’a pas ce concept. Le modèle de Déclaration d’applicabilité est un artefact propre à ISO 27001.
• **Clauses de système de management.** Les clauses ISO 27001 5 (leadership), 9 (évaluation des performances, audit interne 9.2, revue de direction 9.3), 10 (amélioration continue) sont la machinerie SMSI. PCI DSS n’a pas d’exigence de système de management ; il a une seule évaluation annuelle. Ces clauses sont le travail propre à ISO 27001.
• **Cadence d’audit.** PCI DSS = évaluation annuelle (SAQ ou RoC QSA). ISO 27001 = audit interne au moins annuel (9.2), revue de direction (9.3), audits de surveillance durant le cycle de certification de trois ans. Calibrez-les pour que l’audit interne alimente les deux.

La règle : les contrôles opérationnels fusionnent ; les contrôles propres au paiement et les clauses de management SMSI non.

Le modèle de partage des preuves

La fusion pratique est un dossier de preuves organisé par sujet de contrôle, non par norme :

preuves/
  controle-acces/       # politique + revues d'accès → PCI 7,8 + A.5.15
  journalisation/       # config journaux + revues → PCI 10 + A.8.15
  gestion-vuln/         # rapports scan + remédiation → PCI 6.3,11.3 + A.8.8
  segmentation/         # diagramme réseau + règles → PCI 4 + A.8.22
  reponse-incidents/    # PRI + traces de test → PCI 12.10 + A.5.24
  page-paiement/        # inventaire scripts, CSP, SRI, détection → PCI 6.4.3, 11.6.1
  risque/               # registre complet + lignes TRA découpées
  da/                   # Déclaration d'applicabilité (ISO seulement)
  gouvernance-smsi/     # revue de direction, comptes-rendus audit interne (ISO seulement)

Quand l’évaluateur PCI demande les preuves de réponse aux incidents, vous pointez sur reponse-incidents/. Quand l’auditeur ISO 27001 demande la même chose, même dossier. Les dossiers page-paiement/, da/ et gouvernance-smsi/ sont le travail à norme unique — isolés pour que les contrôles partagés restent propres.

La cadence : aligner les années

Menez les deux cycles sur un seul battement annuel :

1. Rafraîchissement du risque — mettre à jour l’analyse de risque ISO 27001 ; découper les nouvelles lignes de TRA pour PCI. 2. Revue des contrôles — parcourir la matrice combinée ; mettre à jour les politiques ; enregistrer les preuves. 3. Audit interne (ISO 27001 9.2) — auditor le programme fusionné contre les attentes de contrôle des deux normes. 4. Revue de direction (9.3) — présenter les résultats, y compris le statut de conformité PCI. 5. Évaluation PCI — déposer le SAQ ou accueillir le QSA en utilisant les mêmes dossiers de preuves.

Décaler pour que l’audit interne atterrisse quelques semaines avant l’évaluation PCI donne une répétition générale : les écarts trouvés en interne sont corrigés avant que l’évaluateur ne les voie.

Ce que cela économise

Le coût dupliqué de deux programmes est surtout du temps gens — deux analyses de risque, deux jeux de politiques, deux sprints de collecte de preuves, deux cycles de préparation d’audit. La fusion réduit à un de chaque, plus le travail à norme unique (contrôles page de paiement, Déclaration d’applicabilité, gouvernance SMSI). Pour une PME, la fusion fait typiquement la différence entre conformité comme distraction à plein temps et conformité comme état opérationnel maintenu.

Comment cela s’intègre dans la série

C’est le pont à pilier croisé entre le pilier PCI DSS et le pilier ISO 27001. Il suppose que vous avez lu l’analyse de risque ISO 27001 et la réduction de périmètre PCI, parce que la fusion repose sur une seule analyse de risque et un CDE niché dans le périmètre SMSI. Le modèle de TRA et le guide du SAQ sont les sorties côté PCI ; le modèle de Déclaration d’applicabilité est la sortie côté ISO 27001.

Que faire ensuite

Si vous exploitez les deux normes comme projets séparés, le premier geste est la matrice de contrôles combinée — une ligne par sujet, l’exigence PCI et le contrôle Annexe A côte à côte. Ce seul document montre le chevauchement et les queues à norme unique en une vue. Réorganisez les dossiers de preuves par sujet de contrôle, non par norme. Calibrez l’audit interne avant l’évaluation PCI pour que les mêmes preuves soient revues deux fois gratuitement.

Vous exploitez PCI DSS et ISO 27001 comme projets séparés et payez deux fois ? Réservez une **session de conception de programme conjoint** — nous bâtissons la matrice de contrôles combinée, mappons vos preuves existantes aux deux normes, et séquençons la cadence d’audit pour qu’un audit interne alimente les deux. Bilingue FR/EN, sans obligation.

→ /fr/pci-dss-evaluation/ · /fr/iso-27001-evaluation/