Niveaux de certification expliqués
Sécurité de la production de cartes
Parler à un expert GRC
Si vous avez des questions ou besoin d’assistance, n’hésitez pas à nous contacter.
Partager sur les réseaux sociaux
Comprendre les modules de certification PCI CPP
Chaque module n’est pas une simple formalité — il définit précisément l’étendue de vos obligations de sécurité à chaque étape de production des cartes.
Module A : Fabrication
Couvre la fabrication des puces et des cartes — là où la sécurité commence à la source.
Module B : Encapsulation
Sécurise l’insertion des puces, la préparation à la personnalisation et la validation optique.
Module C : Personnalisation
Inclut l’encodage des données, l’impression, l’injection des clés et l’association des identités.
Module D : Exécution
Se concentre sur l’emballage sécurisé, l’entreposage, le transport et la traçabilité des livraisons.
Certification complète ou partielle
Certification complète
Couvre l’ensemble du processus de production — de la matière première à la livraison finale.
Certification partielle
S’applique à des fonctions limitées — comme la personnalisation ou l’expédition uniquement.
Transparence du périmètre
Les clients et émetteurs doivent comprendre exactement ce que couvre votre certification.
Exigences de conformité
Même les périmètres partiels doivent respecter toutes les exigences applicables du module.
Certification selon le périmètre de service
Les services que vous proposez déterminent les normes applicables — il n’existe pas de modèle unique en production sécurisée de cartes.
Fabricants de cartes uniquement
Nécessitent le module A — couvrant la fabrication des matières premières, des puces et les contrôles de sécurité.
Prestataires d’encapsulation uniquement
Doivent être certifiés pour le module B, axé sur le positionnement des puces et l’inspection optique sécurisée.
Prestataires de personnalisation
Requièrent le module C pour valider l’encodage, l’impression, l’injection de clés et la configuration finale.
Fournisseurs de distribution uniquement
Relèvent du module D pour l’emballage, l’entreposage sécurisé et la distribution traçable.
Sites multi-services
Doivent combiner tous les modules applicables — chaque couche de service apporte ses propres exigences.
Sous-traitants
Restent soumis à la conformité — le périmètre de certification s’étend aux composants ou fonctions externalisés.
Des évaluations qui comptent
Les audits annuels ne sont pas de simples échéances — ce sont des points de contrôle de confiance, de continuité et de préparation opérationnelle.
Revue annuelle de certification
Chaque site fait l’objet d’audits annuels réalisés par des évaluateurs approuvés par le PCI, sans marge de manœuvre.
Périmètre spécifique aux modules
Seuls les services fournis sont évalués — ni plus, ni moins.
Inspection physique du site
Les évaluateurs visitent les installations pour vérifier directement les contrôles et l’infrastructure.
Validation des accès logiques
Les droits d’accès numériques, la journalisation et les mécanismes d’authentification sont testés sous contrainte.
Contrôles de gestion des clés
La gestion cryptographique est examinée pour la génération, le stockage, l’utilisation et la destruction.
Vérification des rôles du personnel
Les antécédents, formations et contrôles de séparation des tâches sont vérifiés conformément aux politiques.
Continuer la lecture
Prêt à en savoir plus sur Schéma type d’installation?