Certification Levels Explained | PCI Card Production

Comprendre les modules de certification PCI CPP

Chaque module n’est pas une simple formalité — il définit précisément l’étendue de vos obligations de sécurité à chaque étape de production des cartes.

Module A : Fabrication

Couvre la fabrication des puces et des cartes — là où la sécurité commence à la source.

Module B : Encapsulation

Sécurise l’insertion des puces, la préparation à la personnalisation et la validation optique.

Module C : Personnalisation

Inclut l’encodage des données, l’impression, l’injection des clés et l’association des identités.

Module D : Exécution

Se concentre sur l’emballage sécurisé, l’entreposage, le transport et la traçabilité des livraisons.

Certification complète ou partielle

Certification complète

Couvre l’ensemble du processus de production — de la matière première à la livraison finale.

Certification partielle

S’applique à des fonctions limitées — comme la personnalisation ou l’expédition uniquement.

Transparence du périmètre

Les clients et émetteurs doivent comprendre exactement ce que couvre votre certification.

Exigences de conformité

Même les périmètres partiels doivent respecter toutes les exigences applicables du module.

Certification selon le périmètre de service

Les services que vous proposez déterminent les normes applicables — il n’existe pas de modèle unique en production sécurisée de cartes.

Fabricants de cartes uniquement

Nécessitent le module A — couvrant la fabrication des matières premières, des puces et les contrôles de sécurité.

Prestataires d’encapsulation uniquement

Doivent être certifiés pour le module B, axé sur le positionnement des puces et l’inspection optique sécurisée.

Prestataires de personnalisation

Requièrent le module C pour valider l’encodage, l’impression, l’injection de clés et la configuration finale.

Fournisseurs de distribution uniquement

Relèvent du module D pour l’emballage, l’entreposage sécurisé et la distribution traçable.

Sites multi-services

Doivent combiner tous les modules applicables — chaque couche de service apporte ses propres exigences.

Sous-traitants

Restent soumis à la conformité — le périmètre de certification s’étend aux composants ou fonctions externalisés.

Des évaluations qui comptent

Les audits annuels ne sont pas de simples échéances — ce sont des points de contrôle de confiance, de continuité et de préparation opérationnelle.

Revue annuelle de certification

Chaque site fait l’objet d’audits annuels réalisés par des évaluateurs approuvés par le PCI, sans marge de manœuvre.

Périmètre spécifique aux modules

Seuls les services fournis sont évalués — ni plus, ni moins.

Inspection physique du site

Les évaluateurs visitent les installations pour vérifier directement les contrôles et l’infrastructure.

Validation des accès logiques

Les droits d’accès numériques, la journalisation et les mécanismes d’authentification sont testés sous contrainte.

Contrôles de gestion des clés

La gestion cryptographique est examinée pour la génération, le stockage, l’utilisation et la destruction.

Vérification des rôles du personnel

Les antécédents, formations et contrôles de séparation des tâches sont vérifiés conformément aux politiques.

Continuer la lecture

Prêt à en savoir plus sur Schéma type d’installation?

Niveaux de certification expliqués

Parler à un expert GRC

Partager sur les réseaux sociaux

Découvrez nos services