Re: Un monde

Je ne suis pas spécialiste PCI DSS, donc j'ai été voir la norme (pci_dss_v3-2_3_fr-FR.pdf assez facilement trouvable sur le site PCI DSS).

Les exigences sur les comptes sont décrites au chapitre 8 (page 79 et plus).
Cela commence par une petite note :

Ces obligations concernent tous les comptes, y compris ceux des points de vente, avec une capacité administrative, et tous les comptes utilisés pour voir ou accéder aux données de titulaires de carte ou pour accéder à des systèmes comportant ce type de données. Ceux-ci comprennent les comptes utilisés par les fournisseurs et les autres tiers (par exemple, pour l’assistance ou l’entretien) Ces conditions ne s’appliquent pas aux comptes utilisés par les consommateurs (comme les titulaires de cartes).

Il n'y a a priori pas d'exigences d'authentification forte pour les utilisateurs des cartes demandée par le standard. Pour les utilisateurs (les salariés, en gros) du système manipulant les données, c'est par contre autre chose.

Par ailleurs, en 8.2, on trouve en définition d'une authentification multifacteur :

• Quelque chose de connu du seul utilisateur, comme un mot de passe ou une locution de passage ;
• Quelque chose de détenu par l’utilisateur, comme un dispositif de jeton ou une carte à puce ;
• Quelque chose que vous détenez, comme une mesure biométrique.

J'en déduis que le consortium sait ce qu'est une authentification multifacteurs.