Établi en 2006, PCI signifie la norme de sécurité des données de l'industrie des cartes de paiement, qui contient des directives pour l'acceptation, le stockage et le traitement des informations de carte de crédit. Une organisation est conforme à la norme PCI lorsqu'elle respecte ces réglementations. PCI a été mis en place pour protéger les données sensibles des consommateurs et, par conséquent, chaque commerçant qui utilise les informations de carte de crédit doit suivre ces règles, des petites entreprises aux grandes entreprises.

Des exemples de ces directives incluent l'utilisation d'une page de paiement/paiement en ligne contrôlée par un fournisseur de services tiers agréé, le stockage des données de carte de crédit via un fournisseur de « coffre-fort » tiers plutôt que dans votre propre système, et le masquage du numéro de carte de crédit complet sur reçus, affichant uniquement les 4 derniers chiffres à la place.

Dans une industrie qui traite des milliards de dollars de transactions par jour, il est logique que les hôtels soient des cibles attrayantes pour les pirates. De plus, un hôtel typique utilise plusieurs systèmes de paiement et de gestion différents auxquels de nombreux employés peuvent accéder, ce qui peut augmenter la probabilité d'une violation. Aucun hôtelier ne veut subir la perte d'argent et de confiance qui accompagne une cyberattaque.

Pour ces raisons, il est crucial que chaque hôtelier maintienne la conformité PCI non seulement à la réception, mais dans tous les systèmes qui accèdent ou utilisent les données des clients. Quelques règles empiriques incluent l'utilisation de fournisseurs de points de vente et de PMS conformes à la norme PCI, le stockage sécurisé des données numériques et papier et la limitation de l'accès aux données sensibles aux seuls employés qui en ont vraiment besoin. La formation à la conformité PCI est facilement disponible en ligne, et de nombreux hôteliers exigent que les nouveaux employés suivent un cours de conformité PCI avant de traiter les informations de paiement des clients. Prendre le temps de se conformer aux directives PCI maintenant peut éviter des failles de sécurité coûteuses plus tard.

"L'attaque contre Marriott a été malheureuse et a encore de nombreuses lacunes à combler sur ce qui s'est réellement passé. Un point d'entrée populaire pour les adversaires est l'usurpation d'e-mails. Cette tactique est utilisée dans le phishing afin d'introduire des logiciels malveillants sur un réseau cible pour ensuite se déplacer latéralement sur tous les systèmes », Ryan Cornateanu , Application Security Engineer @ CrowdStrike.

Alors que de plus en plus de transactions ont lieu en ligne et que la technologie de paiement évolue, les réglementations PCI-DSS décrites en 2006 nécessitaient une mise à jour. En septembre 2019, la directive sur les services de paiement 2 (PSD2) est entrée en vigueur et s'applique à toutes les entreprises qui pourraient potentiellement s'engager avec des clients européens. Même les entreprises ayant peu d'activités internationales devraient toujours se conformer, car des réglementations comme celles-ci se reflètent souvent aux États-Unis et dans d'autres pays peu de temps après.

Chez Hotel Tech Report, nous utilisons Stripe pour traiter les paiements et même avec ce fournisseur de premier plan, nous avons dû réinventer l'ensemble de notre infrastructure de paiement pour nous conformer à cette réglementation et à certaines de ses subtilités concernant l'authentification des paiements.

PSD2 comprend des directives améliorées pour les paiements en ligne et le traitement des données sensibles afin de réduire le risque de vol de crédit, de fraude et de failles de sécurité. Un changement majeur est l'exigence d'une authentification forte du client (SCA) pour les transactions en ligne. Avec SCA, plutôt que de simplement taper un numéro de carte de crédit et de cliquer sur "payer", les consommateurs devront fournir une deuxième couche d'authentification, qui pourrait être un code PIN ou un code de vérification par SMS, avant que le paiement puisse être effectué.

Les clients réservent près des trois quarts des réservations d'hôtel en ligne, donc PSD2 aura probablement un impact sur chaque hôtelier car l'authentification forte du client (SCA) devient une exigence pour le traitement des paiements. Les hôteliers doivent poser les questions suivantes pour déterminer si des changements sont nécessaires :

• Le site Web de mon hôtel dispose-t-il d'un système de paiement qui autorise la SCA , comme les codes de vérification par SMS ou les données biométriques (comme Face ID sur un iPhone) ?

• Les OTA avec lesquels je travaille exigent-ils la SCA lorsqu'ils acceptent le paiement des clients ?

• Mon hôtel reçoit-il des numéros de cartes de crédit virtuelles des OTA ? Si c'est le cas, les cartes de crédit virtuelles ne peuvent pas satisfaire à l'exigence SCA, de sorte que les paiements OTA devront peut-être passer aux virements bancaires.

• Le personnel de la réception ou le vérificateur de nuit traite-t-il les paiements entre la réservation et l'arrivée ? Par exemple, si 50 % du paiement de la réservation est dû au moment de la réservation et les 50 % restants sont dus 7 jours avant l'arrivée. Les clients peuvent remplir SCA lorsqu'ils effectuent la réservation, mais pas pour les frais initiés par l'hôtel à un moment différent.

• Des frais sont-ils traités après le départ du client, tels que les chargeurs de minibar ? Pour éviter tout problème de paiement après le départ, facturez une autorisation sur la carte du client pour le montant total des frais accessoires et demandez au client de fournir une authentification à deux facteurs en personne, telle qu'une puce et un code PIN, lors de l'enregistrement.

La principale conclusion ici est que les transactions initiées par l'hôtel à un moment où le client n'est pas présent ne seront pas conformes aux exigences PSD2. Les clients doivent être en mesure d'effectuer une étape de vérification à deux facteurs pour chaque paiement, par exemple au moment de la réservation ou au moment du départ. Les hôteliers peuvent donc être amenés à modifier leurs processus de paiement si les paiements ont lieu en dehors de ces horaires. Au milieu de tous ces changements, il y a une lueur d'espoir : en raison de la sécurité accrue des paiements, le montant des rétrofacturations deviendra probablement beaucoup plus faible, ce que tous les hôteliers peuvent se réjouir.

Pour de nombreux hôteliers, se conformer à ces nouvelles réglementations peut sembler décourageant. De plus, bien que les données des clients soient plus sécurisées avec SCA, le processus de paiement devient plus lourd, ce qui pourrait entraîner une diminution de la conversion pendant que les clients s'habituent à l'étape supplémentaire. Comment pouvez-vous maintenir la satisfaction des clients tout en garantissant une sécurité des données de premier ordre ?

La plupart des hôtels ne disposent pas d'équipes informatiques importantes, d'experts en cybersécurité sur site ou de budgets massifs à consacrer à la sécurité des données. Cependant, rien de tout cela n'est nécessaire pour maintenir un environnement sécurisé pour les données sensibles de votre hôtel. L'un des meilleurs moyens de prévenir les cybermenaces potentielles est de s'associer à un système technologique expert en conformité PCI et PSD2.

Les grandes entreprises technologiques agiront en tant que partenaires de conformité et ont construit leurs plates-formes conformément aux réglementations locales et mondiales pour alléger une partie du fardeau des hôteliers. Le moteur de réservation Booking Button de Siteminder, par exemple, est entièrement conforme à la SCA et intègre de manière transparente l'authentification multifacteur d'une manière qui ne perturbe pas l'expérience client. Le système de paiement de Siteminder est conforme aux normes SCA, vous pouvez donc être assuré que les paiements seront traités sans problème. L'équipe de Siteminder connaît également bien les stratégies de sécurité des données, de sorte qu'elles peuvent être des ressources précieuses pour les hôteliers en cette période de transition.

Aujourd'hui, Siteminder ne respecte pas seulement les directives de sécurité des données d'un point de vue logiciel, mais ses équipes travaillent constamment à l'amélioration et à la sécurisation des technologies. Grâce à une innovation continue, leur système est « à l'épreuve du temps » et évoluera au fur et à mesure que des mesures de sécurité supplémentaires seront disponibles.

En s'associant à une solution technologique de confiance et en investissant dès maintenant dans la conformité PCI et PSD2, les hôteliers peuvent prévenir la catastrophe potentielle qui pourrait survenir avec le vol de données sensibles. Votre hôtel offre un excellent service client, mais vous voulez vous assurer que les pirates et les cybercriminels savent qu'ils ne sont pas les bienvenus dans votre établissement.