Bujeti, la plateforme de gestion financière pour les entreprises africaines, est fière d'annoncer qu'elle a obtenu la certification de conformité aux normes de sécurité de l'industrie des cartes de paiement (PCI DSS). Cette certification a été délivrée à la suite d'une évaluation complète sur site menée par un évaluateur de sécurité qualifié indépendant (QSA) et couvre l'ensemble des environnements de données des titulaires de cartes de la plateforme de Bujeti, y compris l'émission de cartes d'entreprise, le traitement des paiements et l'infrastructure des données financières.

PCI DSS représente le niveau de conformité le plus élevé établi par le Conseil des normes de sécurité PCI (PCI Security Standards Council), l'organisme fondé par Visa, Mastercard, American Express, Discover et JCB pour régir la sécurité des données de cartes de paiement à l'échelle mondiale. Contrairement aux niveaux de conformité inférieurs qui autorisent l'auto-évaluation, il requiert un audit indépendant et externe mené par un QSA certifié par le Conseil. L'attestation de conformité (AoC) est délivrée par l'évaluateur, et non par l'organisation évaluée.

« Nous avons toujours soutenu que le contrôle et la confiance sont indissociables. Vous ne pouvez pas offrir aux entreprises un véritable contrôle financier si elles ne peuvent pas vérifier que l'infrastructure qui héberge leurs données répond à une norme testée de manière indépendante. La norme PCI DSS est cette référence. C'est le seuil minimum que nous nous fixons, et cette obtention s'inscrit dans un engagement à long terme visant à bâtir le type d'infrastructure dont les entreprises africaines ont besoin pour opérer et être compétitives à l'échelle mondiale. »

Cossi Achille AROUKO, Directeur Général, Bujeti

Ce que couvre la certification

L'évaluation PCI DSS a analysé l'ensemble de l'environnement de données de cartes de Bujeti par rapport aux douze exigences fondamentales de la norme PCI DSS v4.0.1, la version la plus récente. Ces exigences régissent l'architecture de sécurité du réseau, le chiffrement des données de titulaires de cartes au repos et en transit, la gestion des vulnérabilités, le contrôle des accès, la surveillance et la journalisation en temps réel, les tests de pénétration, ainsi que les politiques de sécurité à l'échelle de l'entreprise et les pratiques du personnel qui sous-tendent l'ensemble des contrôles techniques.

L'évaluation a été menée à travers des entretiens sur site avec des collaborateurs de différents niveaux de l'organisation, l'observation directe des processus et des configurations système, ainsi que des tests techniques indépendants des contrôles, notamment les règles de pare-feu, les implémentations de chiffrement, les systèmes de contrôle d'accès et la journalisation d'audit. Le QSA a délivré à la fois un rapport de conformité (RoC) et une attestation de conformité (AoC) officielle à l'issue de l'évaluation.

La certification exige un maintien continu. Bujeti fera l'objet de scans de vulnérabilité externes trimestriels par un fournisseur de numérisation agréé (ASV), de scans internes trimestriels et d'une réévaluation annuelle par le QSA, en plus d'une surveillance continue de tous les environnements de données de cartes.

Ce que cela signifie pour les clients de Bujeti

Pour les entreprises qui utilisent Bujeti pour émettre des cartes d'entreprise, traiter des paiements et gérer leurs opérations financières, cette certification apporte trois garanties directes : 

• Les données de cartes associées aux cartes d'entreprise émises par Bujeti, y compris les cartes virtuelles et physiques attribuées aux équipes, filiales et succursales, sont conservées exclusivement au sein d'un environnement certifié. Les organisations clientes ne stockent ni ne transmettent elles-mêmes les données de cartes, et n'héritent donc pas des obligations de conformité qui en découleraient.

  
  

• Les clients opérant dans des secteurs réglementés ou soumis à des processus de diligence raisonnable des fournisseurs de premier plan disposent désormais d'une réponse vérifiée et attestée par un tiers externe concernant la posture de sécurité de leur plateforme financière. L'attestation de conformité (AoC), disponible pour les clients et partenaires sur demande sous accord de confidentialité (NDA), fournit la preuve documentaire d'une conformité reconnue par les réseaux de cartes, les régulateurs financiers et les processus d'approvisionnement institutionnels dans le monde entier.

  
  

• La piste d'audit générée pour l'ensemble des transactions, approbations, paiements et accès système sur la plateforme Bujeti est conservée au sein d'une infrastructure vérifiée de manière indépendante pour répondre aux exigences de la norme en matière d'intégrité des journaux, de contrôle d'accès et d'inviolabilité des preuves. Les clients de Bujeti qui s'appuient sur ces registres pour leurs audits internes, rapports de conseil d'administration ou examens réglementaires peuvent le faire avec l'assurance que l'infrastructure sous-jacente a été validée de manière indépendante.

  
  

Contexte et importance pour les entreprises africaines

La certification PCI DSS est relativement peu courante parmi les plateformes fintech opérant principalement sur les marchés africains. La plupart des concurrents régionaux opèrent sous des niveaux de conformité inférieurs, des cadres auto-évalués, ou ne publient pas leur statut de conformité. L'obtention de cette norme par Bujeti positionne la fintech comme le choix d'infrastructure de référence pour les entreprises au Nigeria, au Kenya et dans toute l'Afrique francophone, dont la complexité financière, l'environnement réglementaire ou les relations avec les investisseurs exigent des normes de sécurité vérifiables et auditées en externe plutôt que de simples auto-évaluations.

La certification est particulièrement pertinente pour la clientèle de moyennes et grandes entreprises de Bujeti, où les opérations financières s'étendent généralement sur plusieurs entités, devises et zones géographiques, et où les directeurs financiers (CFO), directeurs de trésorerie et comités d'audit exigent des preuves de contrôle qui dépassent les simples fonctionnalités du produit pour englober une sécurité opérationnelle vérifiée de manière indépendante.

Disponibilité de la documentation

L'attestation de conformité (AoC) est disponible sur demande pour les clients actuels, les clients potentiels et les partenaires institutionnels de Bujeti. Les demandes doivent être adressées à l'équipe sécurité de Bujeti. Le rapport de