PCI PIN Security
Le règlement de l'industrie des cartes sur le chiffrement, le transport et la manipulation des codes PIN — le petit frère de PCI DSS, avec nettement plus de HSM.
Les exigences sont publiées par le PCI Security Standards Council et s'appliquent à quiconque reçoit, traduit ou vérifie des PIN : acquéreurs, processeurs et commutateurs des banques elles-mêmes. Un PIN ne peut exister en clair qu'à l'intérieur d'un matériel agréé — en pratique un HSM — et circule sinon sous forme de bloc PIN chiffré selon l'ISO 9564.
La gestion des clés en est le cœur. Double contrôle et connaissance partagée s'appliquent à tout ce qui touche aux clés maîtresses ; nul ne voit jamais une clé entière à lui seul. Le changement récent le plus visible est l'obligation d'utiliser des key blocks tels que TR-31, déployée jusqu'en 2025, pour qu'une clé ne puisse plus servir à autre chose que ce pour quoi elle a été créée.