Ce blogue traite des normes de sécurité spécifiques qu'un centre de contact peut mettre en œuvre pour protéger les renseignements sensibles.

Un fournisseur de services de centre de contact en nuage soucieux des mesures de sécurité des données et de la protection des renseignements personnels devrait obtenir et maintenir au moins une certification conforme aux normes de l'industrie axée sur la sécurité des données. Deux certifications courantes sont la conformité PCI-DSS et la certification SOC 2. Examinons ces deux certifications de plus près.

• La norme de sécurité des données de l'industrie des cartes de paiement (Payment Card Industry Data Security Standard), également connue sous le nom de PCI-DSS, est un ensemble d'exigences de sécurité conçues pour garantir que les informations de carte de paiement sont transmises et conservées dans un environnement sécurisé. La norme PCI-DSS a été établie et est gérée par une entité indépendante représentant les marques de cartes de paiement comme Visa, MasterCard, American Express et Discover. La conformité PCI est validée annuellement par des tiers qualifiés au moyen d'un processus appelé rapport de conformité (ROC), qui est déposé auprès du Conseil des normes de sécurité PCI et qui aboutit à une attestation de conformité officielle. PCI-DSS en action : Dans un environnement de centre de contact, les agents peuvent être tenus de traiter des informations de carte de paiement, ce qui soulève une question importante : traitent-ils les données conformément aux normes PCI ? Effectuer des paiements par téléphone augmente le risque d'exposition de données sensibles telles que les informations de votre carte de crédit. Une méthode conforme à la norme PCI pour contrer ce risque consiste à transférer les clients vers un portail Web sécurisé au lieu de permettre aux agents d'entendre et d'enregistrer manuellement les informations. Les appelants peuvent alors saisir leurs données dans un environnement distinct du système d'appel des agents, minimisant ainsi l'exposition des informations du titulaire de la carte.
  

Découvrez comment recevoir des paiements conformes à la norme PCI dans un centre de contact

Les centres de contact hébergent des conversations où des informations sensibles sont transmises et stockées; la conformité PCI est donc essentielle pour atténuer le risque de divulgation de renseignements personnels.

• Les contrôles d'organisation et de service de type 2 (Service and Organization Controls Type 2), également connus sous le nom de SOC 2, évaluent les contrôles organisationnels d'un fournisseur de services en nuage pour le traitement sécurisé et fiable des données des clients. Le processus de certification implique des audits techniques et opérationnels fondés sur des preuves réalisés par un tiers certifié. La certification SOC 2 comporte trois étapes. Premièrement, une évaluation de l'état de préparation est menée pour permettre à une organisation d'introduire des contrôles supplémentaires requis par la norme SOC 2. Deuxièmement, un audit initial de type 1 est effectué pour déterminer si les systèmes et les contrôles organisationnels du fournisseur répondent aux exigences des principes de confiance pertinents. Troisièmement, environ six mois plus tard, et généralement chaque année par la suite, un audit de type 2 valide l'efficacité opérationnelle continue de ces systèmes et contrôles au fil du temps. Un centre de contact traite généralement de grands volumes de données clients, dont certaines contiennent des renseignements personnellement identifiables (RPI). La certification SOC 2 confirme qu'un fournisseur de services de centre de contact peut assurer la sécurité des informations sensibles de ses clients.

Les certifications de sécurité de l'information tierces permettent aux fournisseurs de services en nuage de mieux soutenir une législation de plus en plus répandue et stricte concernant le traitement sécurisé des renseignements personnels. Ces certifications incluent la loi HIPAA (Health Insurance Portability and Accountability Act), la LPRPDE (Loi sur la protection des renseignements personnels et les documents électroniques) et la PIPA (Personal Information Protection Act). Nous discuterons de chacune d'entre elles ci-dessous :

• Loi sur la portabilité et la responsabilité de l'assurance maladie (HIPAA)

La loi sur la portabilité et la responsabilité de l'assurance maladie (Health Insurance Portability and Accountability Act), également connue sous le nom de HIPAA, est un ensemble de cadres de sécurité législatifs du gouvernement fédéral des États-Unis qui régissent le traitement et la manipulation des informations sensibles des patients. Ces informations peuvent généralement inclure les noms et dates de naissance, les numéros de dossier médical, et plus encore. Les organisations qui traitent ces informations subissent une évaluation rigoureuse des risques de sécurité pour être conformes à la loi HIPAA, soit en interne, soit en externe. En interne, les examens de conformité HIPAA doivent être effectués par une personne indépendante du processus avec des preuves à l'appui. En externe, l'évaluation est effectuée par un tiers dûment certifié. La procédure traite des contrôles énumérés dans la règle de confidentialité HIPAA (HIPAA Privacy Rule), qui couvre les normes auxquelles les fournisseurs de centres de contact doivent se conformer pour protéger et stocker en toute sécurité les dossiers médicaux des individus.

Découvrez comment les notifications automatisées conformes à la loi HIPAA soutiennent le secteur de la santé pendant la COVID-19

• Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE)

La Loi sur la protection des renseignements personnels et les documents électroniques, également connue sous le nom de LPRPDE, est une loi canadienne sur la protection de la vie privée qui concerne les organisations qui collectent, utilisent et divulguent des renseignements personnels. Ces informations comprennent l'âge, le nom, le numéro d'identification, les opinions, les commentaires, et plus encore. Pour être conforme à la LPRPDE, une organisation doit suivre dix principes d'équité dans le traitement de l'information.

L'une des nombreuses fonctions au sein d'un centre de contact est la fonction d'enregistrement des appels. Les centres de contact dotés de fonctions d'enregistrement des appels permettent aux organisations d'évaluer la performance des agents et de récupérer avec précision les informations des dossiers de contact. Les fournisseurs de centres de contact de confiance travaillent avec chaque organisation pour s'assurer que le stockage des enregistrements d'appels pouvant contenir des RPI est traité de manière à répondre aux exigences de confidentialité des informations de l'organisation.

• Loi sur la protection des renseignements personnels (PIPA)

La Loi sur la protection des renseignements personnels (Personal Information Protection Act), également connue sous le nom de PIPA, est entrée en vigueur le 1er janvier 2004. Cette loi s'applique aux organisations du secteur privé réglementées par les provinces au Canada, plus précisément en Colombie-Britannique et en Alberta. Elle est en place pour protéger les renseignements personnels et donner à un individu le droit d'accéder à ses données. Semblable à la LPRPDE, cette législation permet aux individus d'avoir une autonomie sur leurs données, assurant la transparence et le contrôle de leurs informations collectées au sein des centres de contact. Les services en nuage des fournisseurs de centres de contact doivent fournir à la fois les outils et le soutien nécessaires pour garantir que les organisations puissent répondre aux exigences de cette législation.

Conclusion

Comme les préoccupations en matière de sécurité évoluent continuellement, il est indispensable de s'assurer que votre fournisseur de centre de contact est conforme aux normes PCI-DSS et SOC 2. De plus, le respect de la législation sur la protection de la vie privée dans votre région garantit que les informations des clients sont traitées de manière appropriée.

Consultez notre « Slice of ice Recap: Security and Standards- Mitigating Security Risks » pour en savoir plus sur les moyens de se protéger contre les risques de sécurité.