Comparaison

ISO 27001 vs PCI DSS : SMSI ou règles prescriptives

ISO/IEC 27001:2022 · PCI DSS v4.0.1 · données du 2026-10-27

Par Paul Gillet · Mis à jour le 2026-10-17

PCI DSS v4.0.1 est une exigence contractuelle imposée par les marques de cartes de paiement à toute organisation qui stocke, traite ou transmet des données de titulaires de carte. Il est prescriptif : environ 250 exigences définies, assorties de procédures de test, et validées par un Qualified Security Assessor (QSA) ou par un questionnaire d'auto-évaluation (SAQ), selon votre niveau. ISO/IEC 27001 est fondée sur les risques : vous choisissez et justifiez vos mesures de sécurité pour un périmètre que vous définissez.

Un SMSI ISO 27001 fournit une base solide pour la démarche PCI. La gouvernance, l'appréciation des risques, les politiques, le contrôle d'accès, la journalisation et la gestion des incidents sont directement réutilisables, et le processus de gestion des risques d'ISO facilite les analyses de risques ciblées requises par PCI DSS v4.

En passant d'ISO à PCI DSS, attendez-vous à de nombreuses exigences sans correspondance ou seulement faiblement liées. Ce n'est pas qu'ISO soit moins exigeant, mais PCI précise exactement quoi faire et à quelle fréquence : règles de contrôle de la sécurité réseau pour l'environnement des données de titulaires de carte, protection des données de compte stockées et des PAN, exigences spécifiques d'authentification et de MFA, analyses trimestrielles et tests d'intrusion annuels, surveillance de l'intégrité des fichiers et contrôles des scripts des pages de paiement. Il s'agit aussi d'une limite des données : la correspondance PCI publiée par NIST ne couvre qu'une partie de la norme, si bien que certaines exigences PCI n'ont aucun lien publié avec quoi que ce soit.

En passant de PCI DSS à ISO, la couverture de l'Annexe A est bonne ; l'écart porte sur le système de management : périmètre du SMSI, objectifs, informations documentées, audit interne et revue de direction.

En bref

	ISO 27001	PCI DSS
Ce qu'il protège	Toutes les informations du périmètre du SMSI	Les données de comptes de paiement et les systèmes qui les entourent
Degré de prescription	Fondé sur les risques : vous choisissez les mesures	Prescriptif : exigences précises, dont beaucoup avec des fréquences imposées
Qui l'exige	Clients et appels d'offres	Les marques de cartes, via les contrats passés avec les acquéreurs
Évaluation	Organisme de certification	Rapport de conformité (ROC) établi par un QSA, ou questionnaire d'auto-évaluation (SAQ)
Fréquence	Surveillance annuelle, recertification tous les trois ans	Annuelle, avec des analyses externes trimestrielles

Utiliser ISO 27001 pour PCI DSS

Un SMSI dont le périmètre inclut l'environnement des données de titulaires de carte couvre une grande partie du travail de politique, de gestion des risques et de gouvernance de PCI DSS, et de nombreux domaines techniques se recoupent. Le travail nouveau porte généralement sur les paramètres et fréquences spécifiques à PCI : analyses externes trimestrielles réalisées par un Approved Scanning Vendor (ASV), MFA pour tous les accès à l'environnement des données de titulaires de carte, contrôles des scripts des pages de paiement, cadences de revue des journaux et détails de gestion des clés. La liste « Aucune correspondance » ci-dessous indique où regarder.

Qui a besoin de quoi

PCI DSS s'applique à toute organisation qui stocke, traite ou transmet des données de cartes de paiement, ou qui peut en affecter la sécurité, car les marques de cartes l'exigent via les contrats d'acquisition. La validation dépend de votre niveau : les plus grands commerçants et prestataires de services doivent fournir chaque année un rapport de conformité (ROC) établi par un QSA ; la plupart des autres remplissent un questionnaire d'auto-évaluation. ISO 27001 est volontaire et plus large : elle couvre toute la sécurité de l'information de l'organisation, et non les seules données de cartes, et aboutit à une certification que les clients reconnaissent.

Réduire le périmètre PCI avant de déployer les mesures

L'exigence PCI DSS la moins coûteuse est celle qui ne vous est pas applicable. Avant de faire correspondre les mesures ISO à PCI, réduisez l'environnement des données de titulaires de carte :

Externalisez la page de paiement. Un site e-commerce qui redirige vers la page d'un prestataire de paiement conforme PCI, ou qui l'intègre, garde les données de carte hors de ses propres serveurs et peut relever du questionnaire le plus court, le SAQ A.
Tokenisez. Remplacez les numéros de carte stockés par des jetons fournis par votre prestataire de paiement, afin de ne jamais détenir de numéros de compte primaires (PAN).
Segmentez. Isolez les systèmes qui doivent traiter des données de carte du reste du parc, et testez la segmentation.

Chaque système sorti du périmètre supprime d'un coup des dizaines d'exigences.

Coûts et effort

Pour une organisation certifiée ISO, le coût de PCI DSS dépend presque entièrement du périmètre. Avec une page de paiement entièrement externalisée, le travail peut se limiter à un court questionnaire et à quelques mesures. Si les données de carte se trouvent dans vos propres systèmes, attendez-vous à un travail important sur les exigences 3 (données stockées), 8 (authentification), 10 (journalisation) et 11 (tests), ainsi qu'à des analyses externes trimestrielles réalisées par un ASV et, aux niveaux supérieurs, à une évaluation par un QSA. Le travail de gouvernance reste léger, car le SMSI couvre déjà l'essentiel de l'exigence 12.

Calendrier

Commencez par réduire le périmètre ; cela peut modifier entièrement le calendrier. Pour un environnement dans le périmètre, une organisation certifiée ISO a généralement besoin de trois à neuf mois pour combler les écarts techniques propres à PCI avant sa première évaluation, et les analyses trimestrielles doivent être opérationnelles avant la date d'évaluation. Intégrez les fréquences fixes de PCI (analyses trimestrielles, revues semestrielles, tests annuels) au calendrier du SMSI afin que l'audit interne les contrôle avec le reste.

Exemple concret : un détaillant en ligne

Un détaillant en ligne de taille moyenne est certifié ISO 27001 pour sa plateforme e-commerce et traite les paiements par carte sur ses propres serveurs. Son acquéreur demande une validation PCI DSS. L'analyse d'écarts montre un fort recoupement en matière de gouvernance, de réponse aux incidents et de gestion des fournisseurs, mais de larges écarts sur l'exigence 3 (données de compte stockées), 6.4 (sécurité de la page de paiement) et 11 (analyses ASV et tests d'intrusion).

Le détaillant commence par reconcevoir son tunnel de paiement avec une page de paiement intégrée fournie par son prestataire de paiement, puis tokenise les cartes stockées. Ses propres systèmes ne manipulent plus les numéros de carte, la plus grande partie des écarts disparaît, et il valide avec un court questionnaire d'auto-évaluation. Ses mesures ISO couvrent ce qui reste, avec les fréquences PCI intégrées dans les procédures existantes.

Erreurs courantes

Faire la correspondance avant de définir le périmètre. Déployer des mesures pour un environnement de données de titulaires de carte que la tokenisation ou une page de paiement externalisée aurait pu supprimer.
Utiliser les fréquences ISO. Une revue annuelle des accès satisfait ISO ; PCI DSS exige tous les six mois. Concevez selon la cadence PCI.
Oublier l'ASV. Les analyses externes doivent être réalisées par un Approved Scanning Vendor, chaque trimestre, avec des résultats conformes.
Considérer le certificat ISO comme une preuve PCI. Les évaluateurs ont besoin de preuves propres à PCI pour chaque exigence.
Négliger la page de paiement. La gestion des scripts et la détection de altérations sur les pages de paiement font partie des exigences v4.0.1 les plus souvent omises.

Points clés à retenir

Dans PCI, tout repose sur le périmètre : segmenter l'environnement des données de titulaires de carte peut réduire considérablement le travail.
ISO → PCI : faites correspondre explicitement les mesures ISO à chaque exigence PCI, et prévoyez d'ajouter les précisions de fréquence et les aspects techniques.
Les exigences à effet différé de PCI DSS v4.0 sont devenues obligatoires le 31 mars 2025 ; vérifiez que vous évaluez selon la v4.0.1.

Télécharger cette comparaison (CSV) Ouvrir dans l'analyse des écarts →

Avoir ISO 27001 → viser PCI DSS

260 exig.

77 mis en correspondance · · 107 sans correspondance Ouvrir dans la vue des écarts →

Sur 260 exigences PCI DSS v4.0.1, 77 correspondent à un élément de ISO 27001, 76 sont seulement faiblement liées et 107 n'ont aucune correspondance dans nos données.

Travaux probablement nouveaux : exigences PCI DSS sans correspondance avec ISO 27001 (107)

PCI DSS	Exigence	Correspondance	ISO 27001	Preuves
Requirement 1: Install and maintain network security controls · 12
1.2.2	Network connection changes go through change control	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
1.2.5	Allowed services, protocols and ports approved	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
1.2.6	Security features defined for insecure services	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
1.2.7	Network security control rules reviewed every six months	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
1.2.8	Network security control configuration files secured	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
1.3.2	Outbound traffic from the CDE restricted	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
1.3.3	Network controls between wireless networks and the CDE	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
1.4.2	Inbound traffic from untrusted networks restricted	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
1.4.3	Anti-spoofing measures in place	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
1.4.4	Stored cardholder data not reachable from untrusted networks	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
1.4.5	Internal IP addresses and routing not disclosed	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
1.5.1	Controls on devices connecting to untrusted networks and the CDE	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
Requirement 2: Apply secure configurations to all system components · 6
2.2.3	Functions with different security levels kept apart	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
2.2.4	Only necessary services and functions enabled	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
2.2.5	Insecure services justified and secured	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
2.2.6	System security parameters set to prevent misuse	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
2.2.7	Non-console administrative access encrypted	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
2.3.2	Wireless keys changed when key holders leave	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
Requirement 3: Protect stored account data · 14
3.3.1.1	Full track data not kept after authorisation	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
3.3.1.2	Card verification code not kept after authorisation	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
3.3.1.3	PIN and PIN block not kept after authorisation	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
3.3.2	Sensitive authentication data encrypted before authorisation	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
3.3.3	Issuer storage of sensitive authentication data limited and protected	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
3.5.1.1	Hashes of PAN are keyed cryptographic hashes	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
3.5.1.2	Disk-level encryption used only where it suffices	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
3.7.2	Key management: secure key distribution	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
3.7.3	Key management: secure key storage	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
3.7.5	Key management: retiring weakened or compromised keys	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
3.7.6	Key management: split knowledge and dual control	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
3.7.7	Key management: preventing unauthorised key substitution	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
3.7.8	Key custodians formally acknowledge their responsibilities	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
3.7.9	Service providers give customers key-handling guidance	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
Requirement 4: Protect cardholder data with strong cryptography during transmission · 2
4.2.1.2	Strong cryptography on wireless networks carrying PAN	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
4.2.2	PAN secured when sent by end-user messaging	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
Requirement 5: Protect all systems and networks from malicious software · 4
5.3.1	Anti-malware kept up to date	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
5.3.3	Removable media scanned or analysed	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
5.3.4	Anti-malware audit logs enabled and retained	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
5.3.5	Users cannot disable or alter anti-malware	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
Requirement 6: Develop and maintain secure systems and software · 6
6.5.1	Production changes follow change control procedures	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
6.5.2	PCI DSS requirements re-confirmed after significant changes	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
6.5.3	Pre-production environments separated from production	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
6.5.4	Duties separated between production and pre-production	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
6.5.5	Live PANs not used in pre-production	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
6.5.6	Test data and accounts removed before go-live	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
Requirement 7: Restrict access to system components and cardholder data by business need to know · 6
7.2.3	Privileges approved by authorised personnel	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
7.2.5	System and application accounts least privilege	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
7.2.6	Access to cardholder data repositories restricted	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
7.3.1	Access control system restricts access by need	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
7.3.2	Access control system enforces assigned permissions	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
7.3.3	Access control system set to deny by default	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
Requirement 8: Identify users and authenticate access to system components · 8
8.2.3	Service providers use unique credentials per customer	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
8.2.4	User ID changes authorised and controlled	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
8.2.7	Third-party remote access accounts enabled only when needed	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
8.3.2	Authentication factors unreadable in transit and storage	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
8.3.3	Identity verified before changing authentication factors	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
8.3.4	Account lockout after repeated failed attempts	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
8.3.11	Tokens, smart cards and certificates assigned to individuals	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
8.6.1	Interactive use of system accounts managed	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
Requirement 9: Restrict physical access to cardholder data · 10
9.2.2	Publicly accessible network jacks restricted	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
9.3.3	Visitor badges returned or deactivated	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
9.3.4	Visitor log maintained and retained	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
9.4.1	Media with cardholder data physically secured	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
9.4.3	Media sent off site tracked and secured	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
9.4.4	Management approves media moved off site	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
9.4.5	Inventory logs of electronic media kept	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
9.4.5.1	Electronic media inventories at least annually	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
9.5.1	Card-reading (POI) devices protected from tampering	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
9.5.1.3	Staff trained to spot POI tampering	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
Requirement 10: Log and monitor all access to system components and cardholder data · 11
10.2.1.1	Logs capture user access to cardholder data	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
10.2.1.2	Logs capture administrative actions	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
10.2.1.3	Logs capture access to audit logs	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
10.2.1.4	Logs capture invalid access attempts	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
10.2.1.5	Logs capture credential and privilege changes	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
10.2.1.6	Logs capture starting, stopping or pausing logging	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
10.2.1.7	Logs capture system-level object changes	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
10.4.2	Other logs reviewed periodically	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
10.4.3	Exceptions and anomalies addressed	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
10.6.2	Time configuration correct and consistent	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
10.7.3	Security control failures responded to promptly	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
Requirement 11: Test security of systems and networks regularly · 12
11.2.2	Inventory of authorised wireless access points	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
11.3.1.2	Internal scans use authenticated scanning	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
11.3.1.3	Internal scans after significant changes	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
11.3.2.1	External scans after significant changes	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
11.4.1	Penetration testing methodology defined	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
11.4.2	Internal penetration test at least annually	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
11.4.3	External penetration test at least annually	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
11.4.5	Segmentation controls tested at least annually	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
11.4.6	Service providers test segmentation every six months	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
11.4.7	Multi-tenant providers support customer penetration tests	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
11.5.1.1	Service providers detect covert malware communication	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
11.5.2	Change-detection on critical files	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
Requirement 12: Support information security with organizational policies and programs · 6
12.2.1	Acceptable use policies for end-user technologies	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
12.4.1	Service providers: executive responsibility for PCI DSS compliance	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
12.5.2.1	Service providers confirm scope every six months	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
12.6.2	Awareness programme reviewed annually	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
12.6.3.1	Training covers phishing and social engineering	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
12.6.3.2	Training covers acceptable use of technology	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
Appendix A: additional requirements · 10
A1.1.1	Multi-tenant providers: separate provider and customer environments	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
A1.1.2	Multi-tenant providers: customers confined to their own environment	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
A1.1.3	Multi-tenant providers: customers reach only their own data	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
A1.1.4	Multi-tenant providers: separation tested every six months	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
A1.2.1	Multi-tenant providers: audit logging for each customer	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
A1.2.2	Multi-tenant providers: support customer forensic investigations	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
A1.2.3	Multi-tenant providers: report suspected incidents to customers	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
A2.1.1	POI terminals using SSL or early TLS not exploitable	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
A2.1.2	Service providers: migration plan off SSL and early TLS	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.
A2.1.3	Service providers offer a secure connection option	Aucune correspondance dans nos données	—	Aucune correspondance avec ISO 27001 dans nos données.

À vérifier : liens seulement indirects (un résultat CSF commun, pas une correspondance) (76)

PCI DSS	Exigence	Correspondance	ISO 27001	Preuves
Requirement 1: Install and maintain network security controls · 3
1.1.1	Network security policies documented and kept current	Faiblement liés	A.5.1 A.5.31 A.5.32+2	Partage seulement les fonctions CSF GV.PO-02 : lien indicatif, pas une correspondance
1.1.2	Roles for network security controls assigned	Faiblement liés	A.5.2 A.5.3 Clause 7.2	Partage seulement les fonctions CSF GV.RR-02 : lien indicatif, pas une correspondance
1.2.4	Accurate account-data flow diagram maintained	Faiblement liés	A.5.19 A.5.20 A.5.22+5	Partage seulement les fonctions CSF GV.SC-01, GV.SC-04, GV.SC-06, GV.SC-07… : lien indicatif, pas une correspondance
Requirement 2: Apply secure configurations to all system components · 3
2.1.1	Secure configuration policies documented and kept current	Faiblement liés	A.5.1 A.5.31 A.5.32+2	Partage seulement les fonctions CSF GV.PO-02 : lien indicatif, pas une correspondance
2.1.2	Roles for secure configuration assigned	Faiblement liés	A.5.2 A.5.3 Clause 7.2	Partage seulement les fonctions CSF GV.RR-02 : lien indicatif, pas une correspondance
2.3.1	Wireless vendor defaults changed	Faiblement liés	A.5.15 A.5.3 A.5.10+5	Partage seulement les fonctions CSF PR.AA-03, PR.DS-02 : lien indicatif, pas une correspondance
Requirement 3: Protect stored account data · 7
3.1.1	Stored account data policies documented and kept current	Faiblement liés	A.5.1 A.5.31 A.5.32+2	Partage seulement les fonctions CSF GV.PO-02 : lien indicatif, pas une correspondance
3.1.2	Roles for protecting stored account data assigned	Faiblement liés	A.5.2 A.5.3 Clause 7.2	Partage seulement les fonctions CSF GV.RR-02 : lien indicatif, pas une correspondance
3.5.1.3	Disk encryption access managed separately from OS access	Faiblement liés	A.5.15 A.5.1 A.5.3+5	Partage seulement les fonctions CSF PR.AA-03, PR.DS-01 : lien indicatif, pas une correspondance
3.6.1.1	Service providers document their cryptographic architecture	Faiblement liés	A.5.15 A.5.16 A.8.2+5	Partage seulement les fonctions CSF PR.AA-01, PR.DS-01, PR.AA-04 : lien indicatif, pas une correspondance
3.6.1.2	Secret and private keys stored in approved forms	Faiblement liés	A.5.15 A.5.16 A.8.2+5	Partage seulement les fonctions CSF PR.AA-01, PR.DS-01, PR.AA-04 : lien indicatif, pas une correspondance
3.6.1.3	Cleartext key components accessible to fewest custodians	Faiblement liés	A.5.15 A.5.16 A.8.2+5	Partage seulement les fonctions CSF PR.AA-01, PR.DS-01, PR.AA-04 : lien indicatif, pas une correspondance
3.6.1.4	Keys stored in the fewest possible locations	Faiblement liés	A.5.15 A.5.16 A.8.2+5	Partage seulement les fonctions CSF PR.AA-01, PR.DS-01, PR.AA-04 : lien indicatif, pas une correspondance
Requirement 4: Protect cardholder data with strong cryptography during transmission · 2
4.1.1	Data-in-transit policies documented and kept current	Faiblement liés	A.5.1 A.5.31 A.5.32+2	Partage seulement les fonctions CSF GV.PO-02 : lien indicatif, pas une correspondance
4.1.2	Roles for protecting data in transit assigned	Faiblement liés	A.5.2 A.5.3 Clause 7.2	Partage seulement les fonctions CSF GV.RR-02 : lien indicatif, pas une correspondance
Requirement 5: Protect all systems and networks from malicious software · 5
5.1.1	Anti-malware policies documented and kept current	Faiblement liés	A.5.1 A.5.31 A.5.32+2	Partage seulement les fonctions CSF GV.PO-02 : lien indicatif, pas une correspondance
5.1.2	Roles for malware protection assigned	Faiblement liés	A.5.2 A.5.3 Clause 7.2	Partage seulement les fonctions CSF GV.RR-02 : lien indicatif, pas une correspondance
5.2.3	Systems without anti-malware periodically re-evaluated	Faiblement liés	A.8.20 A.8.21 A.8.22+1	Partage seulement les fonctions CSF PR.IR-01 : lien indicatif, pas une correspondance
5.2.3.1	Re-evaluation frequency set by targeted risk analysis	Faiblement liés	A.5.1 A.8.20 A.8.21+4	Partage seulement les fonctions CSF GV.RM-03, GV.RM-06, PR.IR-01 : lien indicatif, pas une correspondance
5.3.2.1	Scan frequency set by targeted risk analysis	Faiblement liés	A.5.1 Clause 6.1.2 Clause 6.1.3	Partage seulement les fonctions CSF GV.RM-03, GV.RM-06 : lien indicatif, pas une correspondance
Requirement 6: Develop and maintain secure systems and software · 3
6.1.1	Secure systems and software policies documented	Faiblement liés	A.5.1 A.5.31 A.5.32+2	Partage seulement les fonctions CSF GV.PO-02 : lien indicatif, pas une correspondance
6.1.2	Roles for secure systems and software assigned	Faiblement liés	A.5.2 A.5.3 Clause 7.2	Partage seulement les fonctions CSF GV.RR-02 : lien indicatif, pas une correspondance
6.2.3.1	Manual code reviews approved by someone else	Faiblement liés	A.5.8 A.5.9 A.5.11+5	Partage seulement les fonctions CSF ID.AM-08 : lien indicatif, pas une correspondance
Requirement 7: Restrict access to system components and cardholder data by business need to know · 3
7.1.1	Access restriction policies documented and kept current	Faiblement liés	A.5.1 A.5.3 A.5.14+5	Partage seulement les fonctions CSF GV.PO-02, PR.AA-05 : lien indicatif, pas une correspondance
7.1.2	Roles for access restriction assigned	Faiblement liés	A.5.2 A.5.3 Clause 7.2	Partage seulement les fonctions CSF GV.RR-02 : lien indicatif, pas une correspondance
7.2.5.1	System and application account access periodically reviewed	Faiblement liés	A.5.1 A.5.3 A.5.14+5	Partage seulement les fonctions CSF GV.OV-03, GV.RM-03, GV.RM-06, PR.AA-05 : lien indicatif, pas une correspondance
Requirement 8: Identify users and authenticate access to system components · 15
8.1.1	Identification and authentication policies documented	Faiblement liés	A.5.1 A.5.3 A.5.14+5	Partage seulement les fonctions CSF GV.PO-02, PR.AA-05 : lien indicatif, pas une correspondance
8.1.2	Roles for identification and authentication assigned	Faiblement liés	A.5.2 A.5.3 Clause 7.2	Partage seulement les fonctions CSF GV.RR-02 : lien indicatif, pas une correspondance
8.2.2	Shared or generic accounts only by documented exception	Faiblement liés	A.7.4 A.8.2 A.8.3+3	Partage seulement les fonctions CSF DE.CM-03, PR.AA-02 : lien indicatif, pas une correspondance
8.2.5	Access revoked immediately on termination	Faiblement liés	A.5.19 A.5.20 A.5.21+5	Partage seulement les fonctions CSF GV.SC-10 : lien indicatif, pas une correspondance
8.2.6	Inactive user accounts disabled within 90 days	Faiblement liés	A.5.1 A.5.3 A.5.14+5	Partage seulement les fonctions CSF PR.AA-05 : lien indicatif, pas une correspondance
8.2.8	Re-authentication after 15 minutes idle	Faiblement liés	A.5.15 A.5.3 A.5.10+5	Partage seulement les fonctions CSF PR.AA-03, PR.DS-10 : lien indicatif, pas une correspondance
8.3.5	First-use and reset passwords unique and changed	Faiblement liés	A.8.2 A.8.3 A.8.5	Partage seulement les fonctions CSF PR.AA-02 : lien indicatif, pas une correspondance
8.3.6	Minimum password length and complexity	Faiblement liés	A.5.15 A.5.16 A.5.17+2	Partage seulement les fonctions CSF PR.AA-03 : lien indicatif, pas une correspondance
8.3.7	Recent passwords cannot be reused	Faiblement liés	A.5.15 A.5.16 A.5.17+2	Partage seulement les fonctions CSF PR.AA-03 : lien indicatif, pas une correspondance
8.3.8	Authentication guidance communicated to users	Faiblement liés	A.5.15 A.5.16 A.5.17+2	Partage seulement les fonctions CSF PR.AA-03 : lien indicatif, pas une correspondance
8.3.9	Password-only access: change every 90 days or analyse risk	Faiblement liés	A.5.15 A.5.16 A.5.17+2	Partage seulement les fonctions CSF PR.AA-03 : lien indicatif, pas une correspondance
8.3.10	Service providers give customers password guidance	Faiblement liés	A.5.15 A.5.16 A.5.17+2	Partage seulement les fonctions CSF PR.AA-03 : lien indicatif, pas une correspondance
8.3.10.1	Service provider customer passwords: rotation or analysis	Faiblement liés	A.5.15 A.5.16 A.5.17+2	Partage seulement les fonctions CSF PR.AA-03 : lien indicatif, pas une correspondance
8.6.2	No hard-coded passwords for system accounts	Faiblement liés	A.5.15 A.5.16 A.5.18+2	Partage seulement les fonctions CSF PR.AA-01 : lien indicatif, pas une correspondance
8.6.3	System account passwords protected and changed	Faiblement liés	A.5.1 Clause 6.1.3 A.5.15+5	Partage seulement les fonctions CSF GV.RM-03, GV.RM-06, ID.RA-07, PR.AA-01 : lien indicatif, pas une correspondance
Requirement 9: Restrict physical access to cardholder data · 9
9.1.1	Physical security policies documented and kept current	Faiblement liés	A.5.1 A.5.31 A.5.32+5	Partage seulement les fonctions CSF GV.PO-02 : lien indicatif, pas une correspondance
9.1.2	Roles for physical security assigned	Faiblement liés	A.5.2 A.5.3 A.7.5+5	Partage seulement les fonctions CSF GV.RR-02, PR.IR-02 : lien indicatif, pas une correspondance
9.2.4	Consoles in sensitive areas locked when unattended	Faiblement liés	A.5.15 A.5.16 A.5.17+5	Partage seulement les fonctions CSF PR.AA-03 : lien indicatif, pas une correspondance
9.4.1.2	Security of offline backup location reviewed annually	Faiblement liés	A.8.13 A.7.4	Partage seulement les fonctions CSF PR.DS-11, RC.RP-03, DE.CM-02 : lien indicatif, pas une correspondance
9.4.6	Hard-copy media destroyed when no longer needed	Faiblement liés	A.5.20 Clause 4.2 A.5.1+5	Partage seulement les fonctions CSF GV.OC-03, GV.SC-10, PR.DS-01 : lien indicatif, pas une correspondance
9.4.7	Electronic media destroyed or made unrecoverable	Faiblement liés	A.5.20 A.8.13 Clause 4.2+5	Partage seulement les fonctions CSF GV.OC-03, GV.SC-10, PR.DS-01, PR.DS-11 : lien indicatif, pas une correspondance
9.5.1.1	Inventory of POI devices kept	Faiblement liés	A.5.9 A.5.19 A.5.20+5	Partage seulement les fonctions CSF ID.AM-01, PR.PS-03, GV.SC-09, ID.RA-09 : lien indicatif, pas une correspondance
9.5.1.2	POI devices inspected for tampering	Faiblement liés	A.7.4 A.5.9 A.5.19+5	Partage seulement les fonctions CSF DE.CM-02, PR.AA-06, ID.AM-01, GV.SC-09 : lien indicatif, pas une correspondance
9.5.1.2.1	Inspection frequency set by targeted risk analysis	Faiblement liés	A.5.1 Clause 6.1.2 Clause 6.1.3+5	Partage seulement les fonctions CSF GV.RM-03, GV.RM-06, GV.SC-09, ID.RA-07 : lien indicatif, pas une correspondance
Requirement 10: Log and monitor all access to system components and cardholder data · 10
10.1.1	Logging and monitoring policies documented	Faiblement liés	A.5.1 A.5.31 A.5.32+2	Partage seulement les fonctions CSF GV.PO-02 : lien indicatif, pas une correspondance
10.1.2	Roles for logging and monitoring assigned	Faiblement liés	A.5.2 A.5.3 Clause 7.2	Partage seulement les fonctions CSF GV.RR-02 : lien indicatif, pas une correspondance
10.2.2	Log entries record who, what, when, where and outcome	Faiblement liés	A.5.25 A.5.27 A.5.28	Partage seulement les fonctions CSF RS.AN-03, RS.AN-07 : lien indicatif, pas une correspondance
10.3.1	Read access to logs limited to need	Faiblement liés	A.5.26 A.5.28 A.8.15+1	Partage seulement les fonctions CSF DE.AE-06, RS.AN-06, PR.PS-04 : lien indicatif, pas une correspondance
10.3.3	Logs promptly backed up to a central server	Faiblement liés	A.5.28 A.8.15 A.5.24+4	Partage seulement les fonctions CSF RS.AN-06, RS.AN-07, DE.AE-03, PR.PS-04… : lien indicatif, pas une correspondance
10.3.4	File-integrity monitoring on logs	Faiblement liés	A.5.24 A.5.25 A.5.28+5	Partage seulement les fonctions CSF DE.AE-02, RS.AN-06 : lien indicatif, pas une correspondance
10.4.2.1	Review frequency set by targeted risk analysis	Faiblement liés	A.5.1 Clause 6.1.3 A.5.9+5	Partage seulement les fonctions CSF GV.RM-03, GV.RM-06, ID.RA-07, ID.AM-05 : lien indicatif, pas une correspondance
10.6.3	Time settings protected from change	Faiblement liés	A.8.15 A.8.17	Partage seulement les fonctions CSF PR.PS-04 : lien indicatif, pas une correspondance
10.7.1	Service providers detect security control failures	Faiblement liés	A.5.1 A.5.19 Clause 9.1+5	Partage seulement les fonctions CSF GV.OV-01, GV.OV-02, GV.RM-05, ID.IM-03 : lien indicatif, pas une correspondance
10.7.2	Critical security control failures detected and reported	Faiblement liés	A.5.1 A.5.19 Clause 9.1+5	Partage seulement les fonctions CSF GV.OV-01, GV.OV-02, GV.OV-03, GV.RM-05… : lien indicatif, pas une correspondance
Requirement 11: Test security of systems and networks regularly · 6
11.1.1	Security testing policies documented and kept current	Faiblement liés	A.5.1 A.5.31 A.5.32+2	Partage seulement les fonctions CSF GV.PO-02 : lien indicatif, pas une correspondance
11.1.2	Roles for security testing assigned	Faiblement liés	A.5.2 A.5.3 Clause 7.2	Partage seulement les fonctions CSF GV.RR-02 : lien indicatif, pas une correspondance
11.2.1	Wireless access points detected and unauthorised ones handled	Faiblement liés	A.8.15 A.8.16 A.8.20+3	Partage seulement les fonctions CSF DE.CM-01, PR.IR-01 : lien indicatif, pas une correspondance
11.3.1.1	Lower-ranked vulnerabilities handled by risk analysis	Faiblement liés	A.5.1 Clause 6.1.2 Clause 6.1.3+2	Partage seulement les fonctions CSF GV.RM-03, GV.RM-06, ID.RA-05 : lien indicatif, pas une correspondance
11.4.4	Penetration test findings corrected and retested	Faiblement liés	A.5.19 A.5.1 A.5.35+5	Partage seulement les fonctions CSF GV.OV-02, GV.OV-03, ID.IM-02 : lien indicatif, pas une correspondance
11.6.1	Payment page changes and tampering detected	Faiblement liés	A.5.19 A.5.1 A.5.20+5	Partage seulement les fonctions CSF GV.SC-01, GV.SC-03, GV.SC-07, GV.SC-09… : lien indicatif, pas une correspondance
Requirement 12: Support information security with organizational policies and programs · 10
12.3.2	Targeted risk analysis for customised approach	Faiblement liés	A.5.1 A.8.32 Clause 6.1.2+1	Partage seulement les fonctions CSF GV.RM-06, ID.RA-07 : lien indicatif, pas une correspondance
12.3.3	Cipher suites and protocols reviewed annually	Faiblement liés	A.5.1 A.5.3 A.5.10+5	Partage seulement les fonctions CSF GV.RM-03, GV.RM-06, PR.DS-02 : lien indicatif, pas une correspondance
12.3.4	Hardware and software technologies reviewed annually	Faiblement liés	A.5.19 A.5.1 A.5.20+5	Partage seulement les fonctions CSF GV.OV-02, GV.OV-03, GV.SC-03, GV.SC-09… : lien indicatif, pas une correspondance
12.4.2.1	Service providers: quarterly review results documented	Faiblement liés	A.5.1 A.5.19 A.5.35+5	Partage seulement les fonctions CSF GV.OV-01, GV.OV-02, ID.IM-01 : lien indicatif, pas une correspondance
12.5.3	Service providers review scope after organisational change	Faiblement liés	A.5.1 A.5.19 Clause 6.1.3+5	Partage seulement les fonctions CSF GV.OV-02, GV.RM-03, GV.RM-05 : lien indicatif, pas une correspondance
12.9.1	Service providers acknowledge responsibilities to customers	Faiblement liés	A.5.19 A.5.20 A.5.31+5	Partage seulement les fonctions CSF GV.RM-05, GV.SC-01, GV.SC-05, GV.SC-07… : lien indicatif, pas une correspondance
12.9.2	Service providers support customer compliance requests	Faiblement liés	A.5.19 A.5.20 A.5.31+5	Partage seulement les fonctions CSF GV.RM-05, GV.SC-01, GV.SC-05, GV.SC-07… : lien indicatif, pas une correspondance
12.10.4.1	Training frequency set by targeted risk analysis	Faiblement liés	A.5.1 A.5.2 A.6.3+3	Partage seulement les fonctions CSF GV.RM-03, GV.RM-06, PR.AT-02 : lien indicatif, pas une correspondance
12.10.5	Plan covers alerts from security monitoring	Faiblement liés	A.5.26	Partage seulement les fonctions CSF GV.SC-08 : lien indicatif, pas une correspondance
12.10.7	Procedures for PAN found where it shouldn't be	Faiblement liés	A.5.9	Partage seulement les fonctions CSF ID.AM-07 : lien indicatif, pas une correspondance

Mis en correspondance (77)

PCI DSS	Exigence	Correspondance	ISO 27001	Preuves
Requirement 1: Install and maintain network security controls · 4
1.2.1	Configuration standards for network security controls	Éditorial	A.8.20 A.8.21 A.8.22	Même sujet : Pare-feu / Segmentation réseau (choix de la rédaction)
1.2.3	Accurate network diagram maintained	Correspondance	A.8.20 A.8.21 A.8.22	Même sujet : Pare-feu / Segmentation réseau
1.3.1	Inbound traffic to the CDE restricted	Éditorial	A.8.20 A.8.21 A.8.22	Même sujet : Pare-feu / Segmentation réseau (choix de la rédaction)
1.4.1	Network controls between trusted and untrusted networks	Éditorial	A.8.20 A.8.21 A.8.22	Même sujet : Pare-feu / Segmentation réseau (choix de la rédaction)
Requirement 2: Apply secure configurations to all system components · 2
2.2.1	System configuration standards developed and maintained	Correspondance	A.8.9	Même sujet : Configuration sécurisée
2.2.2	Vendor default accounts managed or removed	Correspondance	A.8.9	Même sujet : Configuration sécurisée
Requirement 3: Protect stored account data · 8
3.2.1	Account data storage minimised, with retention and disposal	Correspondance	A.5.14 A.8.10 A.8.11	Même sujet : Protection des données
3.3.1	Sensitive authentication data not kept after authorisation	Correspondance	A.5.14 A.8.10 A.8.11	Même sujet : Protection des données
3.4.1	PAN masked when displayed	Correspondance	A.5.14 A.8.10 A.8.11	Même sujet : Protection des données
3.4.2	PAN copying prevented over remote-access technologies	Éditorial	A.8.12	Même sujet : DLP (choix de la rédaction)
3.5.1	PAN rendered unreadable wherever stored	Correspondance	A.8.24	Même sujet : Chiffrement
3.6.1	Procedures protect keys that secure stored account data	Correspondance	A.8.24	Même sujet : Chiffrement
3.7.1	Key management: strong key generation	Éditorial	A.8.24	Même sujet : Chiffrement (choix de la rédaction)
3.7.4	Key management: key changes at end of cryptoperiod	Éditorial	A.8.24	Même sujet : Chiffrement (choix de la rédaction)
Requirement 4: Protect cardholder data with strong cryptography during transmission · 2
4.2.1	Strong cryptography for PAN over open, public networks	Correspondance	A.8.24	Même sujet : Chiffrement
4.2.1.1	Inventory of trusted keys and certificates kept	Éditorial	A.8.24	Même sujet : Chiffrement (choix de la rédaction)
Requirement 5: Protect all systems and networks from malicious software · 4
5.2.1	Anti-malware deployed on system components	Correspondance	A.8.19 A.8.1 A.8.7	Même sujet : Protection des terminaux
5.2.2	Anti-malware detects, removes or contains known malware	Correspondance	A.8.19 A.8.1 A.8.7	Même sujet : Protection des terminaux
5.3.2	Periodic scans or continuous behavioural analysis	Correspondance	A.8.19 A.8.1 A.8.7	Même sujet : Protection des terminaux
5.4.1	Mechanisms to detect and protect against phishing	Éditorial	A.5.14	Même sujet : Sécurité de la messagerie (choix de la rédaction)
Requirement 6: Develop and maintain secure systems and software · 10
6.2.1	Bespoke and custom software developed securely	Éditorial	A.8.25 A.8.26 A.8.28+1	Même sujet : Développement sécurisé (choix de la rédaction)
6.2.2	Developers trained in secure software development	Correspondance	A.8.25 A.8.26 A.8.28+1	Même sujet : Développement sécurisé
6.2.3	Custom code reviewed before release	Correspondance	A.8.5 A.8.25 A.8.26+2	Même sujet : Sécurité des API, Développement sécurisé
6.2.4	Coding techniques prevent common software attacks	Éditorial	A.8.5 A.8.26	Même sujet : Sécurité des API (choix de la rédaction)
6.3.1	Vulnerabilities identified and risk-ranked	Correspondance	A.5.7 A.8.8	Même sujet : Renseignement sur les menaces, Gestion des vulnérabilités, Gestion des correctifs
6.3.2	Inventory of custom software and its components	Correspondance	A.5.9 A.5.11 A.5.19+2	Même sujet : Gestion des actifs, Risque lié à la chaîne d'approvisionnement
6.3.3	Security patches installed promptly	Correspondance	A.8.8	Même sujet : Gestion des correctifs
6.4.1	Public web applications protected against attacks	Éditorial	A.8.26	Même sujet : Sécurité web (choix de la rédaction)
6.4.2	Automated solution blocks attacks on public web apps	Éditorial	A.8.20	Même sujet : WAF (choix de la rédaction)
6.4.3	Payment page scripts authorised and integrity-checked	Éditorial	A.8.26	Même sujet : Sécurité web (choix de la rédaction)
Requirement 7: Restrict access to system components and cardholder data by business need to know · 3
7.2.1	Access control model defined	Correspondance	A.5.15 A.5.16 A.5.18+3	Même sujet : Contrôle d'accès, Zero Trust
7.2.2	Access assigned by job function and least privilege	Correspondance	A.5.15 A.5.16 A.5.18+3	Même sujet : Contrôle d'accès
7.2.4	User accounts and privileges reviewed every six months	Correspondance	A.5.15 A.5.16 A.5.18+1	Même sujet : Contrôle d'accès
Requirement 8: Identify users and authenticate access to system components · 6
8.2.1	Every user has a unique ID	Correspondance	A.5.15 A.5.16 A.5.18+1	Même sujet : Contrôle d'accès
8.3.1	User and admin access requires an authentication factor	Correspondance	A.5.15 A.8.5 A.8.22	Même sujet : Zero Trust
8.4.1	MFA for non-console administrative access to the CDE	Éditorial	A.8.5	Même sujet : Authentification multifacteur (choix de la rédaction)
8.4.2	MFA for all access into the CDE	Éditorial	A.8.5	Même sujet : Authentification multifacteur (choix de la rédaction)
8.4.3	MFA for remote network access	Éditorial	A.8.5	Même sujet : Authentification multifacteur (choix de la rédaction)
8.5.1	MFA systems configured to resist misuse	Éditorial	A.8.5	Même sujet : Authentification multifacteur (choix de la rédaction)
Requirement 9: Restrict physical access to cardholder data · 8
9.2.1	Facility entry controls restrict CDE access	Éditorial	A.7.1 A.7.2 A.7.3+6	Même sujet : Sécurité physique (choix de la rédaction)
9.2.1.1	Access to sensitive areas monitored by camera or access control	Éditorial	A.7.1 A.7.2 A.7.3+6	Même sujet : Sécurité physique (choix de la rédaction)
9.2.3	Physical access to network hardware restricted	Correspondance	A.7.1 A.7.2 A.7.3+6	Même sujet : Sécurité physique
9.3.1	Personnel physical access authorised and managed	Éditorial	A.7.1 A.7.2 A.7.3+6	Même sujet : Sécurité physique (choix de la rédaction)
9.3.1.1	Sensitive-area access authorised and revoked promptly	Correspondance	A.7.1 A.7.2 A.7.3+6	Même sujet : Sécurité physique
9.3.2	Visitor access authorised, escorted and identifiable	Éditorial	A.7.1 A.7.2 A.7.3+6	Même sujet : Sécurité physique (choix de la rédaction)
9.4.1.1	Offline backup media stored securely	Correspondance	A.8.13	Même sujet : Sauvegarde et restauration
9.4.2	Media classified by data sensitivity	Éditorial	A.5.12 A.5.13	Même sujet : Classification des données (choix de la rédaction)
Requirement 10: Log and monitor all access to system components and cardholder data · 6
10.2.1	Audit logs enabled and active	Correspondance	A.6.1 A.6.4 A.8.15+2	Même sujet : Menace interne, Journalisation et audit
10.3.2	Logs protected from modification	Correspondance	A.5.28 A.8.15 A.8.17	Même sujet : Criminalistique numérique, Journalisation et audit
10.4.1	Security event and critical logs reviewed daily	Correspondance	A.5.25 A.8.16	Même sujet : SIEM / SOC, Surveillance continue
10.4.1.1	Automated mechanisms for log review	Éditorial	A.8.16	Même sujet : Détection d'anomalies (choix de la rédaction)
10.5.1	Audit logs retained 12 months, three immediately available	Éditorial	A.8.15 A.8.17	Même sujet : Journalisation et audit (choix de la rédaction)
10.6.1	System clocks synchronised	Correspondance	A.8.15 A.8.17	Même sujet : Journalisation et audit
Requirement 11: Test security of systems and networks regularly · 3
11.3.1	Internal vulnerability scans every three months	Correspondance	A.8.8	Même sujet : Gestion des vulnérabilités
11.3.2	External ASV scans every three months	Correspondance	A.8.8	Même sujet : Gestion des vulnérabilités
11.5.1	Intrusion detection or prevention on network traffic	Éditorial	A.8.16	Même sujet : Détection d'intrusion (choix de la rédaction)
Requirement 12: Support information security with organizational policies and programs · 21
12.1.1	Information security policy established and published	Correspondance	A.5.1 A.5.37 Clause 5.2	Même sujet : Politique de gouvernance
12.1.2	Security policy reviewed at least annually	Correspondance	A.5.1 A.5.37 Clause 5.2	Même sujet : Politique de gouvernance
12.1.3	Security roles and responsibilities defined	Correspondance	A.5.2 A.5.4	Même sujet : Rôles et responsabilités
12.1.4	Executive responsibility for information security assigned	Correspondance	A.5.2 A.5.4	Même sujet : Rôles et responsabilités
12.3.1	Targeted risk analysis for flexible-frequency requirements	Correspondance	Clause 6.1.1 Clause 6.1.2 Clause 6.1.3	Même sujet : Gestion des risques, Évaluation des risques
12.4.2	Service providers: quarterly reviews of operational tasks	Correspondance	A.5.31 Clause 9.1 A.5.36	Même sujet : Conformité
12.5.1	Inventory of in-scope system components	Correspondance	A.5.9 A.5.11 A.7.14	Même sujet : Gestion des actifs
12.5.2	PCI DSS scope confirmed annually and on change	Correspondance	Clause 4.1 Clause 4.2	Même sujet : Environnement métier
12.6.1	Formal security awareness programme	Correspondance	A.6.3 Clause 7.3	Même sujet : Sensibilisation et formation
12.6.3	Awareness training on hire and at least annually	Correspondance	A.6.3 Clause 7.3	Même sujet : Sensibilisation et formation
12.7.1	Personnel screened before hire	Correspondance	A.6.1 A.6.4 A.8.16	Même sujet : Menace interne
12.8.1	List of third-party service providers kept	Correspondance	A.5.19 A.5.20 A.5.21+2	Même sujet : Risque lié à la chaîne d'approvisionnement, Gestion des risques fournisseurs
12.8.2	Written agreements with service providers	Correspondance	A.5.19 A.5.20 A.5.22	Même sujet : Gestion des risques fournisseurs
12.8.3	Due diligence before engaging service providers	Correspondance	A.5.19 A.5.20 A.5.22	Même sujet : Gestion des risques fournisseurs
12.8.4	Service provider compliance monitored annually	Correspondance	A.5.19 A.5.20 A.5.22	Même sujet : Gestion des risques fournisseurs
12.8.5	Responsibilities split with each provider documented	Correspondance	A.5.19 A.5.20 A.5.22+1	Même sujet : Gestion des risques fournisseurs
12.10.1	Incident response plan ready to activate	Correspondance	A.5.5 A.5.24 A.5.25+5	Même sujet : Notification, Réponse aux incidents
12.10.2	Incident response plan reviewed and tested annually	Correspondance	A.5.24 A.5.25 A.5.26	Même sujet : Réponse aux incidents
12.10.3	Incident response staff available around the clock	Correspondance	A.5.24 A.5.25 A.5.26	Même sujet : Réponse aux incidents
12.10.4	Incident response staff trained	Correspondance	A.5.24 A.5.25 A.5.26	Même sujet : Réponse aux incidents
12.10.6	Plan updated from lessons learned and industry changes	Correspondance	A.5.27 Clause 10.1	Même sujet : Enseignements tirés

Avoir PCI DSS → viser ISO 27001

123 exig.

76 mis en correspondance · · 10 sans correspondance Ouvrir dans la vue des écarts →

Sur 123 exigences ISO/IEC 27001:2022, 76 correspondent à un élément de PCI DSS, 37 sont seulement faiblement liées et 10 n'ont aucune correspondance dans nos données.

Travaux probablement nouveaux : exigences ISO 27001 sans correspondance avec PCI DSS (10)

ISO 27001	Exigence	Correspondance	PCI DSS	Preuves
ISMS clauses 4–10 · 10
Clause 4.3	Determining the scope of the ISMS	Aucune correspondance dans nos données	—	Aucune correspondance avec PCI DSS dans nos données.
Clause 5.1	Leadership and commitment	Aucune correspondance dans nos données	—	Aucune correspondance avec PCI DSS dans nos données.
Clause 6.2	Information security objectives and planning to achieve them	Aucune correspondance dans nos données	—	Aucune correspondance avec PCI DSS dans nos données.
Clause 6.3	Planning of changes	Aucune correspondance dans nos données	—	Aucune correspondance avec PCI DSS dans nos données.
Clause 7.5.1	General	Aucune correspondance dans nos données	—	Aucune correspondance avec PCI DSS dans nos données.
Clause 7.5.2	Creating and updating	Aucune correspondance dans nos données	—	Aucune correspondance avec PCI DSS dans nos données.
Clause 7.5.3	Control of documented information	Aucune correspondance dans nos données	—	Aucune correspondance avec PCI DSS dans nos données.
Clause 9.2.1	General	Aucune correspondance dans nos données	—	Aucune correspondance avec PCI DSS dans nos données.
Clause 9.2.2	Internal audit programme	Aucune correspondance dans nos données	—	Aucune correspondance avec PCI DSS dans nos données.
Clause 10.2	Nonconformity and corrective action	Aucune correspondance dans nos données	—	Aucune correspondance avec PCI DSS dans nos données.

À vérifier : liens seulement indirects (un résultat CSF commun, pas une correspondance) (37)

ISO 27001	Exigence	Correspondance	PCI DSS	Preuves
A.5 Organizational controls · 9
A.5.3	Segregation of duties	Faiblement liés	7.2.2 12.1.3 1.1.2+5	Partage seulement les fonctions CSF PR.AA-05, PR.DS-10, GV.RR-02 : lien indicatif, pas une correspondance
A.5.6	Contact with special interest groups	Faiblement liés	12.10.6 10.7.1 10.7.2+5	Partage seulement les fonctions CSF GV.OV-01, RS.CO-03 : lien indicatif, pas une correspondance
A.5.8	Information security in project management	Faiblement liés	1.2.3 1.2.4 6.2.1+5	Partage seulement les fonctions CSF GV.OC-05, ID.AM-08 : lien indicatif, pas une correspondance
A.5.10	Acceptable use of information and other associated assets	Faiblement liés	2.3.1 3.2.1 3.3.1+5	Partage seulement les fonctions CSF PR.DS-02, PR.DS-10, PR.DS-01 : lien indicatif, pas une correspondance
A.5.17	Authentication information	Faiblement liés	2.2.2 2.3.1 3.5.1.3+5	Partage seulement les fonctions CSF PR.AA-03 : lien indicatif, pas une correspondance
A.5.32	Intellectual property rights	Faiblement liés	1.1.1 2.1.1 3.1.1+5	Partage seulement les fonctions CSF GV.PO-02 : lien indicatif, pas une correspondance
A.5.33	Protection of records	Faiblement liés	3.3.1 3.5.1 3.5.1.3+5	Partage seulement les fonctions CSF PR.DS-01 : lien indicatif, pas une correspondance
A.5.34	Privacy and protection of PII	Faiblement liés	1.1.1 2.1.1 3.1.1+5	Partage seulement les fonctions CSF GV.PO-02 : lien indicatif, pas une correspondance
A.5.35	Independent review of information security	Faiblement liés	11.4.4 12.3.4 12.4.2+5	Partage seulement les fonctions CSF GV.OV-02, ID.IM-02, ID.IM-01 : lien indicatif, pas une correspondance
A.6 People controls · 4
A.6.2	Terms and conditions of employment	Faiblement liés	7.2.2 2.3.1 3.2.1+5	Partage seulement les fonctions CSF GV.RR-04, PR.DS-10, PR.DS-02 : lien indicatif, pas une correspondance
A.6.5	Responsibilities after termination or change of employment	Faiblement liés	7.2.2 2.3.1 3.2.1+5	Partage seulement les fonctions CSF GV.RR-04, PR.DS-10, PR.DS-02 : lien indicatif, pas une correspondance
A.6.6	Confidentiality or non-disclosure agreements	Faiblement liés	7.2.2 8.2.5 9.3.1.1+4	Partage seulement les fonctions CSF GV.RR-04 : lien indicatif, pas une correspondance
A.6.7	Remote working	Faiblement liés	7.2.2 12.1.3 8.2.5+5	Partage seulement les fonctions CSF GV.RR-04, PR.AA-05, GV.PO-01 : lien indicatif, pas une correspondance
A.7 Physical controls · 4
A.7.7	Clear desk and clear screen	Faiblement liés	3.3.1 3.5.1 3.5.1.3+5	Partage seulement les fonctions CSF PR.DS-01 : lien indicatif, pas une correspondance
A.7.9	Security of assets off-premises	Faiblement liés	3.3.1 3.5.1 3.5.1.3+5	Partage seulement les fonctions CSF PR.DS-01 : lien indicatif, pas une correspondance
A.7.10	Storage media	Faiblement liés	3.3.1 3.5.1 3.5.1.3+5	Partage seulement les fonctions CSF PR.DS-01 : lien indicatif, pas une correspondance
A.7.13	Equipment maintenance	Faiblement liés	6.2.1 6.2.2 6.2.3+5	Partage seulement les fonctions CSF ID.AM-08 : lien indicatif, pas une correspondance
A.8 Technological controls · 9
A.8.4	Access to source code	Faiblement liés	7.2.2 2.3.1 3.2.1+5	Partage seulement les fonctions CSF PR.AA-05, PR.DS-10, PR.DS-02 : lien indicatif, pas une correspondance
A.8.6	Capacity management	Faiblement liés	5.2.1 5.2.2 5.3.2+5	Partage seulement les fonctions CSF DE.CM-09 : lien indicatif, pas une correspondance
A.8.23	Web filtering	Faiblement liés	1.2.3 1.2.4 5.2.1+5	Partage seulement les fonctions CSF PR.IR-01 : lien indicatif, pas une correspondance
A.8.27	Secure system architecture and engineering principles	Faiblement liés	12.10.1 12.10.2 12.10.6	Partage seulement les fonctions CSF PR.IR-03 : lien indicatif, pas une correspondance
A.8.30	Outsourced development	Faiblement liés	7.2.5.1 10.7.2 11.3.1+5	Partage seulement les fonctions CSF GV.OV-03 : lien indicatif, pas une correspondance
A.8.31	Separation of development, test and production environments	Faiblement liés	6.2.2 6.2.3 6.3.2+5	Partage seulement les fonctions CSF PR.PS-06 : lien indicatif, pas une correspondance
A.8.32	Change management	Faiblement liés	12.3.1 7.2.5.1 8.6.3+5	Partage seulement les fonctions CSF GV.OV-03, ID.RA-07 : lien indicatif, pas une correspondance
A.8.33	Test information	Faiblement liés	3.3.1 3.5.1 3.5.1.3+5	Partage seulement les fonctions CSF PR.DS-01 : lien indicatif, pas une correspondance
A.8.34	Protection of information systems during audit testing	Faiblement liés	7.2.5.1 10.7.2 11.3.1+5	Partage seulement les fonctions CSF GV.OV-03 : lien indicatif, pas une correspondance
ISMS clauses 4–10 · 11
Clause 4.4	Information security management system	Faiblement liés	12.1.4 12.8.1 12.8.5+2	Partage seulement les fonctions CSF GV.OC-02 : lien indicatif, pas une correspondance
Clause 5.3	Organizational roles, responsibilities and authorities	Faiblement liés	12.1.4 12.8.3 12.8.4+1	Partage seulement les fonctions CSF GV.SC-02 : lien indicatif, pas une correspondance
Clause 7.1	Resources	Faiblement liés	12.1.4 12.10.3	Partage seulement les fonctions CSF GV.RR-03 : lien indicatif, pas une correspondance
Clause 7.2	Competence	Faiblement liés	12.1.3 12.1.4 1.1.2+5	Partage seulement les fonctions CSF GV.RR-01, GV.RR-02, GV.RR-03 : lien indicatif, pas une correspondance
Clause 7.4	Communication	Faiblement liés	12.10.1 12.8.2 12.10.3+3	Partage seulement les fonctions CSF RC.CO-03, RC.CO-04, RS.CO-02, RS.CO-03 : lien indicatif, pas une correspondance
Clause 8.1	Operational planning and control	Faiblement liés	1.2.3 1.2.4 6.3.1+5	Partage seulement les fonctions CSF GV.SC-01, RC.RP-04, GV.SC-03 : lien indicatif, pas une correspondance
Clause 8.2	Information security risk assessment	Faiblement liés	12.1.1 12.1.4 12.8.1+3	Partage seulement les fonctions CSF GV.OC-01, GV.OC-02 : lien indicatif, pas une correspondance
Clause 8.3	Information security risk treatment	Faiblement liés	12.1.1 12.1.4 12.8.1+3	Partage seulement les fonctions CSF GV.OC-01, GV.OC-02 : lien indicatif, pas une correspondance
Clause 9.3.1	General	Faiblement liés	2.2.1 2.2.2	Partage seulement les fonctions CSF PR.PS-01 : lien indicatif, pas une correspondance
Clause 9.3.2	Management review inputs	Faiblement liés	2.2.1 2.2.2	Partage seulement les fonctions CSF PR.PS-01 : lien indicatif, pas une correspondance
Clause 9.3.3	Management review results	Faiblement liés	2.2.1 2.2.2	Partage seulement les fonctions CSF PR.PS-01 : lien indicatif, pas une correspondance

Mis en correspondance (76)

ISO 27001	Exigence	Correspondance	PCI DSS	Preuves
A.5 Organizational controls · 28
A.5.1	Policies for information security	Correspondance	12.1.1 12.1.2	Même sujet : Politique de gouvernance
A.5.2	Information security roles and responsibilities	Correspondance	12.1.3 12.1.4	Même sujet : Rôles et responsabilités
A.5.4	Management responsibilities	Correspondance	12.1.3 12.1.4	Même sujet : Rôles et responsabilités
A.5.5	Contact with authorities	Correspondance	12.10.1	Même sujet : Notification
A.5.7	Threat intelligence	Correspondance	6.3.1	Même sujet : Renseignement sur les menaces
A.5.9	Inventory of information and other associated assets	Correspondance	6.3.2 12.5.1	Même sujet : Gestion des actifs
A.5.11	Return of assets	Correspondance	6.3.2 12.5.1	Même sujet : Gestion des actifs
A.5.12	Classification of information	Éditorial	9.4.2	Même sujet : Classification des données (choix de la rédaction)
A.5.13	Labelling of information	Éditorial	9.4.2	Même sujet : Classification des données (choix de la rédaction)
A.5.14	Information transfer	Correspondance	3.2.1 3.3.1 3.4.1+1	Même sujet : Protection des données
A.5.15	Access control	Correspondance	7.2.1 7.2.2 7.2.4+2	Même sujet : Contrôle d'accès, Zero Trust
A.5.16	Identity management	Correspondance	7.2.1 7.2.2 7.2.4+1	Même sujet : Contrôle d'accès
A.5.18	Access rights	Correspondance	7.2.1 7.2.2 7.2.4+1	Même sujet : Contrôle d'accès
A.5.19	Information security in supplier relationships	Correspondance	6.3.2 12.8.1 12.8.2+3	Même sujet : Risque lié à la chaîne d'approvisionnement, Gestion des risques fournisseurs
A.5.20	Addressing information security within supplier agreements	Correspondance	12.8.1 12.8.2 12.8.3+2	Même sujet : Gestion des risques fournisseurs
A.5.21	Managing information security in the ICT supply chain	Correspondance	6.3.2 12.8.1	Même sujet : Risque lié à la chaîne d'approvisionnement
A.5.22	Monitoring, review and change management of supplier services	Correspondance	12.8.1 12.8.2 12.8.3+2	Même sujet : Gestion des risques fournisseurs
A.5.23	Information security for use of cloud services	Correspondance	12.8.1 12.8.5	Même sujet : Sécurité du cloud
A.5.24	Information security incident management planning and preparation	Correspondance	12.10.1 12.10.2 12.10.3+1	Même sujet : Réponse aux incidents
A.5.25	Assessment and decision on information security events	Correspondance	10.4.1 12.10.1 12.10.2+2	Même sujet : SIEM / SOC, Réponse aux incidents
A.5.26	Response to information security incidents	Correspondance	12.10.1 12.10.2 12.10.3+1	Même sujet : Réponse aux incidents, Atténuation
A.5.27	Learning from information security incidents	Correspondance	12.10.6	Même sujet : Enseignements tirés
A.5.28	Collection of evidence	Correspondance	10.3.2	Même sujet : Criminalistique numérique
A.5.29	Information security during disruption	Correspondance	12.10.1	Même sujet : Planification de la reprise, Continuité des activités
A.5.30	ICT readiness for business continuity	Correspondance	12.10.1	Même sujet : Planification de la reprise, Continuité des activités, Reprise après sinistre
A.5.31	Legal, statutory, regulatory and contractual requirements	Correspondance	12.4.2	Même sujet : Conformité
A.5.36	Compliance with policies, rules and standards for information security	Éditorial	12.4.2	Même sujet : Conformité (choix de la rédaction)
A.5.37	Documented operating procedures	Correspondance	12.1.1 12.1.2	Même sujet : Politique de gouvernance
A.6 People controls · 4
A.6.1	Screening	Correspondance	10.2.1 12.7.1	Même sujet : Menace interne
A.6.3	Information security awareness, education and training	Correspondance	12.6.1 12.6.3	Même sujet : Sensibilisation et formation
A.6.4	Disciplinary process	Correspondance	10.2.1 12.7.1	Même sujet : Menace interne
A.6.8	Information security event reporting	Correspondance	12.10.1	Même sujet : Notification
A.7 Physical controls · 10
A.7.1	Physical security perimeters	Correspondance	9.2.3 9.3.1.1 9.2.1+3	Même sujet : Sécurité physique
A.7.2	Physical entry	Correspondance	9.2.3 9.3.1.1 9.2.1+3	Même sujet : Sécurité physique
A.7.3	Securing offices, rooms and facilities	Correspondance	9.2.3 9.3.1.1 9.2.1+3	Même sujet : Sécurité physique
A.7.4	Physical security monitoring	Correspondance	9.2.3 9.3.1.1 9.2.1+3	Même sujet : Sécurité physique
A.7.5	Protecting against physical and environmental threats	Correspondance	9.2.3 9.3.1.1 9.2.1+3	Même sujet : Sécurité physique
A.7.6	Working in secure areas	Correspondance	9.2.3 9.3.1.1 9.2.1+3	Même sujet : Sécurité physique
A.7.8	Equipment siting and protection	Correspondance	9.2.3 9.3.1.1 9.2.1+3	Même sujet : Sécurité physique
A.7.11	Supporting utilities	Correspondance	9.2.3 9.3.1.1 9.2.1+3	Même sujet : Sécurité physique
A.7.12	Cabling security	Correspondance	9.2.3 9.3.1.1 9.2.1+3	Même sujet : Sécurité physique
A.7.14	Secure disposal or re-use of equipment	Correspondance	6.3.2 12.5.1	Même sujet : Gestion des actifs
A.8 Technological controls · 25
A.8.1	User endpoint devices	Éditorial	5.2.1 5.2.2 5.3.2	Même sujet : Protection des terminaux (choix de la rédaction)
A.8.2	Privileged access rights	Correspondance	7.2.2	Même sujet : Accès privilégiés
A.8.3	Information access restriction	Correspondance	7.2.1 7.2.2 7.2.4+1	Même sujet : Contrôle d'accès
A.8.5	Secure authentication	Correspondance	6.2.3 7.2.1 8.3.1+5	Même sujet : Sécurité des API, Zero Trust
A.8.7	Protection against malware	Éditorial	5.2.1 5.2.2 5.3.2	Même sujet : Protection des terminaux (choix de la rédaction)
A.8.8	Management of technical vulnerabilities	Correspondance	6.3.1 6.3.3 11.3.1+1	Même sujet : Gestion des vulnérabilités, Gestion des correctifs
A.8.9	Configuration management	Correspondance	2.2.1 2.2.2	Même sujet : Configuration sécurisée
A.8.10	Information deletion	Correspondance	3.2.1 3.3.1 3.4.1	Même sujet : Protection des données
A.8.11	Data masking	Correspondance	3.2.1 3.3.1 3.4.1	Même sujet : Protection des données
A.8.12	Data leakage prevention	Éditorial	3.4.2	Même sujet : DLP (choix de la rédaction)
A.8.13	Information backup	Correspondance	9.4.1.1	Même sujet : Sauvegarde et restauration
A.8.14	Redundancy of information processing facilities	Correspondance	12.10.1	Même sujet : Continuité des activités, Reprise après sinistre
A.8.15	Logging	Correspondance	10.2.1 10.3.2 10.6.1+1	Même sujet : Journalisation et audit
A.8.16	Monitoring activities	Correspondance	10.2.1 10.4.1 12.7.1+2	Même sujet : Menace interne, Surveillance continue, SIEM / SOC
A.8.17	Clock synchronization	Correspondance	10.2.1 10.3.2 10.6.1+1	Même sujet : Journalisation et audit
A.8.18	Use of privileged utility programs	Correspondance	7.2.2	Même sujet : Accès privilégiés
A.8.19	Installation of software on operational systems	Correspondance	5.2.1 5.2.2 5.3.2	Même sujet : Protection des terminaux
A.8.20	Networks security	Correspondance	1.2.3 1.2.1 1.3.1+2	Même sujet : Pare-feu / Segmentation réseau
A.8.21	Security of network services	Correspondance	1.2.3 1.2.1 1.3.1+1	Même sujet : Pare-feu / Segmentation réseau
A.8.22	Segregation of networks	Correspondance	1.2.3 7.2.1 8.3.1+3	Même sujet : Pare-feu / Segmentation réseau, Zero Trust
A.8.24	Use of cryptography	Correspondance	3.5.1 3.6.1 4.2.1+3	Même sujet : Chiffrement
A.8.25	Secure development life cycle	Correspondance	6.2.2 6.2.3 6.2.1	Même sujet : Développement sécurisé
A.8.26	Application security requirements	Correspondance	6.2.2 6.2.3 6.2.1+3	Même sujet : Développement sécurisé, Sécurité des API
A.8.28	Secure coding	Correspondance	6.2.2 6.2.3 6.2.1	Même sujet : Développement sécurisé
A.8.29	Security testing in development and acceptance	Correspondance	6.2.2 6.2.3 6.2.1	Même sujet : Développement sécurisé
ISMS clauses 4–10 · 9
Clause 4.1	Understanding the organization and its context	Correspondance	12.5.2	Même sujet : Environnement métier
Clause 4.2	Understanding the needs and expectations of interested parties	Correspondance	12.5.2	Même sujet : Environnement métier
Clause 5.2	Policy	Correspondance	12.1.1 12.1.2	Même sujet : Politique de gouvernance
Clause 6.1.1	General	Correspondance	12.3.1	Même sujet : Gestion des risques
Clause 6.1.2	Information security risk assessment	Correspondance	12.3.1	Même sujet : Évaluation des risques
Clause 6.1.3	Information security risk treatment	Correspondance	12.3.1	Même sujet : Gestion des risques, Évaluation des risques
Clause 7.3	Awareness	Correspondance	12.6.1 12.6.3	Même sujet : Sensibilisation et formation
Clause 9.1	Monitoring, measurement, analysis and evaluation	Correspondance	12.4.2	Même sujet : Conformité
Clause 10.1	Continual improvement	Éditorial	12.10.6	Même sujet : Enseignements tirés (choix de la rédaction)

Par thème

Les deux couvrent (46) :

Politique de gouvernance Sensibilisation et formation Gestion des risques Risque lié à la chaîne d'approvisionnement Rôles et responsabilités Conformité Gestion des actifs Évaluation des risques Environnement métier Classification des données Gestion des vulnérabilités Renseignement sur les menaces Contrôle d'accès Authentification multifacteur Chiffrement Protection des données Sauvegarde et restauration Accès privilégiés Pare-feu / Segmentation réseau Protection des terminaux Gestion des correctifs Configuration sécurisée Développement sécurisé Sécurité de la messagerie Sécurité web Zero Trust Sécurité du cloud WAF DLP Surveillance continue Journalisation et audit Détection d'intrusion Détection d'anomalies SIEM / SOC Réponse aux incidents Criminalistique numérique Atténuation Notification Planification de la reprise Continuité des activités Enseignements tirés Reprise après sinistre Sécurité des API Menace interne Gestion des risques fournisseurs Sécurité physique

Seulement ISO 27001 (4) :

Sécurité mobile Sécurité DNS Communication Communication et rétablissement

Questions

ISO 27001 remplace-t-il PCI DSS ?

Non. Les marques de cartes exigent la validation PCI DSS indépendamment de la certification ISO. ISO vous aide à faire fonctionner le programme dont dépend la conformité PCI.

PCI DSS est-il une loi ?

Non. C'est une norme appliquée par voie contractuelle avec les marques de cartes et les acquéreurs. Certaines juridictions y font référence dans leur législation, mais son autorité découle des accords conclus avec les réseaux de paiement.

Une même mesure peut-elle satisfaire à la fois ISO 27001 et PCI DSS ?

Souvent oui, à condition qu'elle soit mise en œuvre selon les exigences plus précises de PCI DSS. ISO 27001 accepte toute mise en œuvre bien justifiée ; concevoir selon les fréquences et paramètres PCI satisfait donc généralement les deux.

Lequel est le plus exigeant, ISO 27001 ou PCI DSS ?

PCI DSS est plus prescriptif et plus technique dans son périmètre ; ISO 27001 est plus large et exige un système de management. Avec un petit environnement de données de titulaires de carte, PCI DSS peut être le moins lourd des deux.

Qu'est-ce qu'un niveau de commerçant PCI DSS ?

Les marques de cartes classent les commerçants et prestataires de services selon leur volume annuel de transactions. Le niveau détermine la manière dont la conformité est validée : un rapport de conformité (ROC) établi par un QSA pour les plus grands, un questionnaire d'auto-évaluation pour la plupart des autres.

ISO 27001 aide-t-il lors des évaluations PCI DSS ?

Oui, notamment pour les politiques, l'appréciation des risques, les rôles, la gestion des fournisseurs et la réponse aux incidents. Il ne remplace pas les preuves propres à PCI.

PCI DSS v4.0.1 exige-t-il une appréciation des risques comme ISO 27001 ?

Pas une appréciation couvrant toute l'organisation sous la même forme. PCI DSS v4.0 a introduit des analyses de risques ciblées pour les exigences dont vous pouvez définir la fréquence, et attend une revue annuelle de la cryptographie et des technologies ; mais l'appréciation des risques d'ISO 27001 est plus large.

Les identifiants et intitulés des exigences sont présentés tels que chaque référentiel les publie, en anglais.

Correspondance une table de correspondance publiée (NIST, ENISA, CIS, PCI SSC) établit le lien · Éditorial Jugement de ControlMapping lorsqu'aucune table de correspondance n'existe ; le motif est affiché · Faiblement liés partage seulement un résultat CSF 2.0 : à vérifier, mais ce n'est pas une correspondance · Aucune correspondance dans nos données rien de mappé dans nos données ; souvent un travail nouveau, mais consultez les notes de couverture. Mis en correspondance = regroupés ensemble dans un thème ControlMapping, ou directement liés. Les correspondances ne prouvent pas la conformité. Méthodologie · Télécharger les données · Signaler une erreur.