Quelle part de PCI DSS v4.0.1 ISO 27001 couvre-t-elle réellement ?
ISO 27001 et PCI DSS couvrent de nombreux mêmes sujets, mais un SMSI laisse la plupart des exigences PCI non satisfaites. La raison n'est pas l'absence de sujets, mais l'absence de détail.
Les organisations qui acceptent les paiements par carte et exploitent déjà un SMSI ISO 27001 s'attendent souvent à ce que PCI DSS ne soit qu'une petite extension. Les chiffres disent le contraire. Voici la correspondance entre ISO 27001 et l'ensemble de PCI DSS v4.0.1, exigence par exigence, et pourquoi l'écart est plus important que ne le laisse penser le recoupement des sujets.
Le chiffre clé
Sur les 260 exigences PCI DSS, 77 (30%) correspondent à un élément de ISO 27001, 76 sont seulement faiblement liés et 107 n'ont aucune correspondance dans nos données. Ouvrir le rapport d'écarts →
Moins d'un tiers des exigences PCI DSS correspondent à un élément de l'ISO 27001, et un nombre similaire n'est que faiblement lié. Presque chaque sujet PCI existe quelque part dans l'Annexe A : il ne s'agit donc pas d'un écart de sujets, mais d'un écart de détail.
Où se situe le recoupement
| Section PCI DSS | Mis en correspondance | Aucune correspondance | |
|---|---|---|---|
| Requirement 1: Install and maintain network security controls | 4 sur 19 | 3 | 12 |
| Requirement 2: Apply secure configurations to all system components | 2 sur 11 | 3 | 6 |
| Requirement 3: Protect stored account data | 8 sur 29 | 7 | 14 |
| Requirement 4: Protect cardholder data with strong cryptography during transmission | 2 sur 6 | 2 | 2 |
| Requirement 5: Protect all systems and networks from malicious software | 4 sur 13 | 5 | 4 |
| Requirement 6: Develop and maintain secure systems and software | 10 sur 19 | 3 | 6 |
| Requirement 7: Restrict access to system components and cardholder data by business need to know | 3 sur 12 | 3 | 6 |
| Requirement 8: Identify users and authenticate access to system components | 6 sur 29 | 15 | 8 |
| Requirement 9: Restrict physical access to cardholder data | 8 sur 27 | 9 | 10 |
| Requirement 10: Log and monitor all access to system components and cardholder data | 6 sur 27 | 10 | 11 |
| Requirement 11: Test security of systems and networks regularly | 3 sur 21 | 6 | 12 |
| Requirement 12: Support information security with organizational policies and programs | 21 sur 37 | 10 | 6 |
| Appendix A: additional requirements | 0 sur 10 | 0 | 10 |
Avoir ISO 27001, viser PCI DSS. Exigence par exigence : ouvrir le rapport d'écarts →
Le recoupement se concentre sur les parties de PCI DSS qui ressemblent à n'importe quelle norme de sécurité : politiques et rôles en début de chaque exigence, gestion des risques et gouvernance dans l'exigence 12, principes de contrôle d'accès dans l'exigence 7, et réponse aux incidents. Le système de management et l'Annexe A de l'ISO 27001 couvrent bien ces points.
Pourquoi l'essentiel de PCI DSS est un travail nouveau
PCI DSS est prescriptive là où ISO 27001 est fondée sur les risques. L'Annexe A dit « gérer les vulnérabilités techniques » ; PCI DSS précise comment, à quelle fréquence et avec quel scanner. Les lignes sans correspondance sont dominées par des exigences de ce type :
- Traitement des données de compte (exigence 3) : ce qui ne doit jamais être conservé après autorisation, le masquage du PAN à l'affichage, son rendu illisible partout où il est stocké, et des procédures détaillées de gestion des clés.
- Fréquences précises : analyses de vulnérabilités internes tous les trois mois et après des changements significatifs, analyses externes par un Approved Scanning Vendor, revues des journaux et revues des accès tous les six mois.
- Paramètres techniques précis : MFA pour tous les accès à l'environnement des données de titulaires de carte, délais d'expiration de session, longueurs de mots de passe et seuils de verrouillage.
- Contrôles propres au paiement : gestion des scripts des pages de paiement et détection des altérations, et inspection des dispositifs de lecture de cartes pour détecter toute manipulation.
- Analyses de risques ciblées : la v4.0 a introduit des analyses de risques qui fixent la fréquence de certaines activités, lesquelles doivent ensuite être documentées.
ISO 27001 vous laisse choisir tout cela par le traitement des risques. PCI DSS décide à votre place.
Ce que vous apporte encore un SMSI
Le tiers couvert n'est pas négligeable. Un SMSI qui inclut l'environnement des données de titulaires de carte dans son périmètre fournit le cadre de politiques, l'appréciation des risques, les rôles, la gestion des fournisseurs, la réponse aux incidents et l'audit interne dont la conformité PCI dépend année après année. L'exigence 12 ressemble à une synthèse des clauses 4 à 10 de l'ISO, et les organisations dotées d'un SMSI trouvent en général le volet gouvernance de PCI DSS simple à traiter.
Comment planifier
- Intégrer l'environnement des données de titulaires de carte au périmètre du SMSI, et ajouter PCI DSS à vos exigences légales et contractuelles (A.5.31).
- Lancer le rapport d'écarts ISO 27001 → PCI DSS et traiter chaque exigence non mise en correspondance comme un contrôle à concevoir, et non comme une correspondance à trouver.
- Réduire le périmètre avant de construire les contrôles : la segmentation, la tokenisation et des pages de paiement externalisées peuvent retirer de grandes parties de PCI DSS du périmètre.
- Reprendre les fréquences de PCI dans vos contrôles SMSI, afin qu'un seul contrôle réponde aux deux : ISO accepte toute fréquence bien justifiée, alors choisissez celle de PCI.
La comparaison ISO 27001 vs PCI DSS liste chaque exigence dans les deux sens. Le texte de PCI DSS relève du droit d'auteur du PCI SSC ; les intitulés d'exigences sur ce site sont donc nos propres résumés courts.
Questions
La certification ISO 27001 suffit-elle à satisfaire PCI DSS ?
Non. Les marques de cartes exigent une validation PCI DSS (un Report on Compliance ou un Self-Assessment Questionnaire), indépendamment de la certification ISO. Un SMSI aide à piloter le programme, mais la plupart des exigences PCI sont plus précises que l'Annexe A.
Quelles exigences PCI DSS ISO 27001 couvre-t-elle le mieux ?
La gouvernance et les politiques (exigence 12), les principes de contrôle d'accès (7) et la réponse aux incidents se correspondent bien. Les écarts se concentrent sur les paramètres techniques précis, les fréquences et le traitement des données de compte.
Données au 2026-10-27 : les chiffres de cet article sont calculés à partir de la correspondance actuelle et sont mis à jour lorsqu'elle évolue. Correspondance une table de correspondance publiée (NIST, ENISA, CIS, PCI SSC) établit le lien · Éditorial Jugement de ControlMapping lorsqu'aucune table de correspondance n'existe ; le motif est affiché · partage seulement un résultat CSF 2.0 : à vérifier, mais ce n'est pas une correspondance · Aucune correspondance dans nos données rien de mappé dans nos données ; souvent un travail nouveau, mais consultez les notes de couverture. Pas un conseil en conformité.
Articles connexes
Analyse · 2026-10-27APRA CPS 234 et ISO 27001 : ce que couvre votre SMSI et ce qu'APRA ajouteUn SMSI ISO 27001 couvre presque chaque paragraphe de la norme CPS 234 de l'APRA, mais l'APRA ajoute des obligations pour le conseil d'administration, l'assurance des tiers et des délais de notification stricts.
Analyse · 2026-10-27Cyber Essentials face à l'Essential Eight : deux référentiels nationaux comparésLe Cyber Essentials britannique et l'Essential Eight australien visent tous deux les attaques courantes, mais ils ne couvrent pas les mêmes domaines. Ce qui se recoupe, ce qui ne se recoupe pas, et pourquoi.
Analyse · 2026-10-27DORA vs NIS2 : ce qu'un programme NIS2 couvre déjàDORA et NIS2 partagent l'essentiel de la sécurité, mais DORA ajoute registre, clauses et tests basés sur la menace. Article par article, ce qui se reporte.