La defensa contra los bots también debería ayudar a cumplir con la normativa PCI DSS

La ciberdelincuencia ha aumentado y seguirá haciéndolo debido a la amplia disponibilidad de herramientas de automatización y credenciales robadas, que facilitan considerablemente los ataques a aplicaciones con fines lucrativos. Esto, a su vez, ha impulsado la adopción de normas de seguridad más estrictas por parte de la industria y los gobiernos para garantizar el cumplimiento normativo y la confianza. Un ejemplo de este tipo de norma de seguridad del sector es el Estándar de Seguridad de Datos para la Industria de Tarjetas de Pago (PCI-DSS), con la publicación de los requisitos de la versión 4. Uno de los objetivos de esta versión es actualizar el esquema general de protección de la seguridad del lado del cliente.

PCI-DSS es un estándar fundamental, ya que permite que los procesadores de pagos y los proveedores de servicios confíen entre sí y se protejan mutuamente. Para satisfacer las crecientes necesidades de las transacciones electrónicas, diversos comercios y proveedores de servicios han migrado sus aplicaciones a infraestructuras basadas en la nube con el fin de garantizar operaciones escalables y de baja latencia. Los estándares de cumplimiento de PCI-DSS se aplican a todas las transacciones electrónicas, independientemente de la infraestructura que utilicen los comercios y los proveedores de servicios para procesar los pagos. PCI-DSS abarca la seguridad de la red, el cifrado y la gestión de datos, pero no aborda la protección de las aplicaciones (ni de los datos) frente a ataques automatizados.

Para proteger las aplicaciones y los datos alojados en la nube frente a ataques automatizados (o manuales), los procesadores de pagos y los comercios recurren a proveedores externos de servicios de seguridad que ofrecen protección distribuida para dichas aplicaciones y datos. La certificación PCI-DSS de un proveedor de seguridad SaaS es fundamental para que los emisores de medios de pago mantengan el cumplimiento normativo y la confianza de los demás proveedores con los que están conectados y realizan operaciones comerciales. Contar con un proveedor de seguridad como servicio que no cumpla con PCI-DSS dificulta considerablemente que los emisores de medios de pago mantengan o demuestren el cumplimiento normativo y la confianza continuada de las organizaciones externas con las que están conectados para procesar pagos.

Según el glosario de PCI-DSS, un proveedor de servicios es una entidad empresarial que no es una marca de pago y que participa directamente en el procesamiento, almacenamiento o transmisión de datos de titulares de tarjetas en nombre de otra entidad. Esto también incluye a las empresas que prestan servicios que controlan o podrían afectar a la seguridad de los datos de los titulares de tarjetas. Algunos ejemplos son los proveedores de servicios gestionados que ofrecen cortafuegos gestionados, sistemas de detección de intrusiones y otros servicios, así como los proveedores de alojamiento y otras entidades.

F5 Distributed Cloud (XC) Bot Defense es una solución SaaS que protege las aplicaciones frente a ataques automatizados y cumple los requisitos de conformidad con PCI-DSS como proveedor de servicios. F5 XC Bot Defense protege a los emisores de medios de pago y entidades similares frente a ataques automatizados en una amplia variedad de sectores, como los servicios financieros, el comercio minorista y electrónico, la sanidad y las administraciones públicas de todo el mundo.

Un buen ejemplo de cómo F5, como proveedor de servicios, puede cumplir los requisitos de conformidad con PCI-DSS es el estricto cumplimiento (en cuanto a políticas, operaciones y documentación) de los requisitos de PCI que se indican a continuación:

1.3 El acceso de red hacia y desde el entorno de datos de titulares de tarjetas (CDE) está restringido.

1.3.1 El tráfico entrante al CDE está restringido de la siguiente manera:

• Únicamente al tráfico necesario.
• Todo el tráfico restante se deniega expresamente.

1.3.2 El tráfico saliente del CDE está restringido de la siguiente manera:

• Únicamente al tráfico que sea necesario.
• Todo el tráfico restante se deniega expresamente.

1.4.1 Los NSC se implementan entre redes de confianza y redes que no son de confianza.

1.4.2 El tráfico entrante desde redes no confiables hacia redes confiables se limita a:

• Comunicaciones con componentes del sistema autorizados para proporcionar servicios, protocolos y puertos de acceso público.
• Respuestas con estado a comunicaciones iniciadas por componentes del sistema en una red de confianza.
• Se deniega todo el tráfico restante.

1.4.3 Se han implementado medidas contra la suplantación de identidad para detectar e impedir que direcciones IP de origen falsificadas accedan a la red de confianza.

Como proveedor de servicios PCI-DSS, F5 no solo debe cumplir los requisitos de PCI-DSS, sino también ir más allá para proteger eficazmente las aplicaciones distribuidas y los datos frente a ataques automatizados que pueden escalar rápidamente o mutar.

Para obtener más información sobre cómo F5 Distributed Cloud Bot Defense no solo puede proteger sus aplicaciones y datos frente a ataques, sino también agilizar su proceso de cumplimiento de PCI-DSS, consulte:

• Los nuevos requisitos de PCI DSS v4.0 abordan los ataques basados en el navegador
• Cumpla los requisitos de seguridad móvil de PCI con el blindaje de aplicaciones
• F5 Distributed Cloud Bot Defense