Cette norme est encadrée par le PCI Security Standards Council, une organisation fondée en 2005 par les principaux acteurs du secteur des cartes bancaires : MasterCard, Visa, American Express, Discover Financial Services et JCB. “Partant d'un bilan assez négatif, avec des fuites d'informations multiples, ce consortium s'est fixé pour objectif d'établir des bonnes pratiques en matière de protection des données stockées sur les cartes bancaires”, précise Sylvain Roger, consultant en sécurité pour Solucom.
PCI-DSS s'applique donc aux clients de ces sociétés de cartes bancaires, c'est-à-dire à la fois les commerçants gérant des transactions, et notamment les acteurs du e-commerce, mais aussi les hébergeurs des systèmes de paiement, dont les banques. Les exigences définies par la norme varient proportionnellement à la taille et au nombre de transactions à traiter, avec une classification à 4 niveaux (voir le tableau ci-dessous). La classification des commerces
| Niveau du commerçant | Nombre de transactions |
|---|---|
| Niveau 1 | Commerces totalisant plus de 6 millions de transactions par an avec Visa et MasterCard (toutes transactions confondues) |
| Niveau 2 | Commerces totalisant entre 1 million 6 millions de transactions par an avec Visa et MasterCard (toutes transactions confondues) |
| Niveau 3 | Commerces totalisant entre 20 000 et 1 million de transaction e-commerce par an avec Visa et MasterCard |
| Niveau 4 | Commerces totalisant moins de 20 000 transactions e-commerce par an, et ceux qui effectuent moins de 1 millions de transactions (toutes transactions confondues ) avec Visa et MasterCard |
Voir: