En marzo de 2022, el Consejo de Normas de Seguridad de la Industria de Tarjetas de Pago (PCI SSC) publicó la última versión de su Estándar de Seguridad de Datos, PCI DSS v4.0, y retiró oficialmente PCI DSS v3.2.1 a finales de marzo de 2024. PCI DSS es un estándar mundial que define los requisitos mínimos de seguridad técnica y operativa que debe cumplir cualquier organización que almacene, procese o transmita datos de tarjetas de pago.
PCI DSS v4.0 y sus actualizaciones (la versión más reciente del estándar PCI DSS es la v4.0.1) supusieron un gran avance en la seguridad de los datos de las tarjetas de pago, al ofrecer mayor flexibilidad y control de riesgos que las versiones anteriores, y establecieron buenas prácticas que las organizaciones debían seguir. Sin embargo, dentro de poco más de tres meses (después del 31 de marzo de 2025), estas «buenas prácticas» de PCI DSS v4.x pasarán a ser requisitos que se aplicarán a todas las evaluaciones de PCI DSS.
PCI DSS v4.x destaca la importancia crucial de proteger los datos confidenciales de los titulares durante todo el ciclo de vida de una tarjeta de pago. La exigencia de cifrado, independientemente de si los datos de los titulares están en tránsito o en reposo, pone de relieve la importancia de proteger las transacciones de pago y los datos, al tiempo que proporciona una defensa preventiva frente a las amenazas emergentes.
PCI DSS y los WAF
En PCI DSS v3.2.1, las organizaciones tenían la opción de proteger las aplicaciones web de acceso público de forma manual o mediante herramientas automatizadas de evaluación de vulnerabilidades de seguridad de las aplicaciones, al menos una vez al año o después de realizar cambios significativos en ellas. También podían optar por instalar una solución automatizada delante de cualquier aplicación web de acceso público para detectar y prevenir continuamente los ataques basados en la web, configurada para bloquear los ataques o generar alertas. Sin embargo, PCI DSS v4.x exigirá que las organizaciones implementen una solución delante de las aplicaciones web de acceso público para detectar y prevenir continuamente los ataques basados en la web, así como generar una alerta cuando se produzcan (subsección 6.4.2 de PCI DSS v4.0).
Eso es exactamente lo que hace un firewall de aplicaciones web (WAF). Un WAF se instala delante de las aplicaciones de acceso público para inspeccionar el tráfico de las aplicaciones, detectar cualquier ataque basado en la web y protegerlas frente a él. Un WAF evita los ataques a la capa de aplicación, incluidos aquellos que pueden aprovechar vulnerabilidades comunes y desconocidas en las aplicaciones y en su cadena de suministro de software: el código principal, las bibliotecas de terceros, las herramientas de compilación y demás código que conforman las complejas y sofisticadas aplicaciones actuales. Los WAF también protegen frente a los ataques que intentan aprovechar fallos de implementación o configuración, así como frente a ataques automatizados dirigidos contra pagos, credenciales y aplicaciones instaladas.
Cómo puede ayudar F5
F5 protege cualquier aplicación y API, estén donde estén. Nuestras soluciones WAF pueden implementarse delante de cualquier aplicación, independientemente de dónde esté alojada. Tanto si necesita un WAF para proteger aplicaciones locales, en centros de datos o en la nube, F5 dispone de una solución WAF que proporciona una seguridad integral en la capa de aplicación y protección frente a vulnerabilidades y ataques. F5 WAF está disponible como dispositivo, como software o en la nube mediante autoservicio o servicio gestionado, y permite proteger aplicaciones en contenedores, Kubernetes y mucho más.
Los productos de F5 están certificados como proveedor de servicios PCI DSS de nivel 1. Un proveedor de servicios, según la definición del PCI SSC, es una organización que no proporciona tarjetas de pago de marca ni otros formatos, pero que procesa, almacena o transmite datos de titulares de tarjetas o datos confidenciales de autenticación para otra organización. Las empresas que prestan servicios para controlar la seguridad de los datos de titulares de tarjetas o de los datos confidenciales de autenticación, o que influyen en ella, como hace F5 a través de F5 Distributed Cloud Services, también se clasifican como proveedores de servicios conforme a PCI DSS v4.0. Las funcionalidades de los productos de F5 ayudan a nuestros clientes a cumplir los requisitos de PCI DSS en calidad de comercios, definidos por el PCI SSC como cualquier entidad que acepta tarjetas de pago que llevan los logotipos de cualquiera de las marcas de pago participantes como forma de pago por bienes o servicios.
Los servicios de F5 Distributed Cloud ofrecen numerosas prestaciones que abordan muchas secciones y subsecciones del estándar PCI DSS v4.0 para las organizaciones que almacenan, procesan o transmiten datos de tarjetas de pago.
F5 Distributed Cloud WAF protege las aplicaciones en cualquier lugar: en nubes, centros de datos y ubicaciones perimetrales. Como proxy intermediario, Distributed Cloud WAF inspecciona las solicitudes y respuestas de las aplicaciones, bloqueando y mitigando riesgos como las categorías del OWASP Top 10, las campañas de amenazas, los usuarios maliciosos, las amenazas DDoS de capa 7, los bots y los ataques automatizados, entre otros. Mitiga los ataques y las vulnerabilidades de las aplicaciones web mediante políticas y controles de seguridad integrales y coherentes, con una observabilidad fácil de configurar, implementar, gestionar y escalar. F5 Distributed Cloud WAF integra la protección de forma sencilla y fluida en el proceso de desarrollo de aplicaciones, lo que permite agilizar los ciclos de entrega y lanzamiento de aplicaciones y hacerlos más seguros. Mediante técnicas de detección basadas en firmas e IA, con ajuste automatizado de firmas, F5 Distributed Cloud WAF ofrece una seguridad rápida y sencilla para la capa de aplicación con la máxima eficacia. El nuevo asistente de IA de Distributed Cloud Services ayuda a simplificar la seguridad de las aplicaciones distribuidas y las API mediante una interfaz de lenguaje natural que proporciona información en tiempo real, recomendaciones prácticas y un resumen de los informes de datos.
F5 NGINX App Protect es un WAF ligero y de alto rendimiento diseñado para proteger las API y las aplicaciones modernas en arquitecturas distribuidas y entornos híbridos con una protección uniforme. Independiente de la plataforma, NGINX App Protect se integra perfectamente en el proceso de desarrollo de aplicaciones para detectar y proteger frente a ataques contra aplicaciones, incluidos los ataques de denegación de servicio (DoS) de capa 7 y los bots. Como potente solución de seguridad de aplicaciones de baja latencia, NGINX App Protect permite escalar la seguridad de las aplicaciones en clústeres de Kubernetes y en la nube, lo que ayuda a reducir significativamente los costes informáticos. Ofrece una defensa multicapa que mitiga las campañas activas de ciberataques y va más allá de la protección frente a las categorías del OWASP Top 10.
F5 BIG-IP Advanced WAF es el firewall para aplicaciones web insignia de F5. Las funciones de detección y mitigación del galardonado Advanced WAF constituyen el motor de Distributed Cloud WAF y NGINX App Protect. Mediante análisis del comportamiento, mitigación de ataques DoS de capa 7, cifrado de datos confidenciales en la capa de aplicación y servicios de inteligencia sobre amenazas, BIG-IP Advanced WAF protege las aplicaciones en entornos híbridos y distribuidos frente a una amplia variedad de ataques. BIG-IP Advanced WAF ofrece un panel específico y dinámico que permite protegerse de forma rápida y sencilla frente a las amenazas incluidas en el OWASP Top 10. BIG-IP Advanced WAF incluye configuraciones guiadas para casos de uso habituales de WAF, un motor de aprendizaje y la posibilidad de personalizar de forma granular las políticas de seguridad.
Protección integral de F5
Además, F5 puede abordar más áreas aplicables al estándar PCI DSS v4.0.
- Las API son un componente clave de casi todas las transacciones en todos los sectores y organizaciones. PCI DSS v4.0.1 introduce varios requisitos nuevos destinados a proteger y garantizar la seguridad de las API como parte del software adaptado y personalizado. F5 Distributed Cloud API Security ayuda a cumplir muchos de estos nuevos requisitos mediante controles que protegen las API y que también ayudan a prevenir o mitigar ataques y vulnerabilidades habituales del software. Para obtener más información sobre los requisitos de seguridad de las API incluidos en PCI DSS v4.0.1, consulte el blog de Ian Dinno, Actualización de PCI DSS 4.0.1: importantes mejoras nuevas en la seguridad de las API que deben implementar los procesadores de pagos de clientes, y esté atento a un nuevo blog que se publicará a principios de 2025 con información adicional.
- F5 Distributed Cloud Web App Scanning analiza de forma dinámica y continua su superficie de ataque externa para detectar aplicaciones web y API expuestas. Gracias a sus funciones automatizadas de pruebas de penetración, Distributed Cloud Web App Scanning identifica y notifica vulnerabilidades potencialmente explotables, incluso aquellas que se encuentran en lo más profundo de su cadena de suministro de software. Le ayuda a proteger mejor sus aplicaciones y API frente a ataques y vulnerabilidades. Distributed Cloud Web App Scanning también le ayuda a cumplir el apartado 6.3.2 de PCI DSS v4.0.
- F5 Distributed Cloud Mobile App Shield protege a la perfección sus aplicaciones móviles frente a malware, bots, filtraciones de datos, accesos no autorizados y ataques de intermediario (MiTM) que pueden provocar incumplimientos normativos, pérdidas económicas, pérdida de clientes y daños reputacionales. Distributed Cloud Mobile App Shield ofrece una protección inigualable tanto en tiempo de ejecución como en reposo para reforzar de forma proactiva sus aplicaciones móviles, evitar manipulaciones y bloquear bots maliciosos, la exfiltración de datos y el uso indebido de las API.
- La subsección 8.4.2 de PCI DSS v4.0 exige que se implemente la autenticación multifactor (MFA) para todos los accesos al entorno de datos de titulares de tarjetas (CDE), que puede estar compuesto por componentes del sistema que almacenan, procesan o transmiten datos de titulares de tarjetas o datos confidenciales de autenticación, o que tienen conectividad sin restricciones con dichos sistemas. F5 BIG-IP Access Policy Manager (BIG-IP APM) permite el acceso a aplicaciones basado en el modelo de confianza cero, lo que incluye limitar el acceso a las aplicaciones y los datos en función de los privilegios y de diversos factores, como la fecha y la hora. BIG-IP APM puede proteger los datos de titulares de tarjetas y los datos confidenciales de autenticación en tránsito. También permite la autenticación reforzada, que exige a determinados usuarios —como quienes acceden al CDE o los usuarios remotos— introducir credenciales de autenticación distintas de las utilizadas para el acceso inicial, incluidas otras credenciales de MFA.
- Para detectar y abordar rápidamente los fallos de los sistemas críticos de control de seguridad, incluidas las soluciones IDS/IPS y antimalware, dispone de F5 BIG-IP SSL Orchestrator. BIG-IP SSL Orchestrator ofrece protección frente a amenazas cifradas mediante el descifrado del tráfico cifrado y el direccionamiento del tráfico descifrado a través de su infraestructura de seguridad existente mediante cadenas de servicios dinámicas y personalizables. También distribuye la carga del tráfico entre las soluciones de su infraestructura de seguridad, supervisa el estado de todas ellas y puede gestionar la actualización de los cifrados de sus soluciones de seguridad. Además, si una de sus soluciones de seguridad deja de estar operativa, puede mitigar rápidamente el riesgo mediante las cadenas de servicios dinámicas de BIG-IP SSL Orchestrator, que permiten omitir la solución no operativa y reducir cualquier efecto perjudicial, como la omisión involuntaria de la inspección del tráfico. Cuando necesite sustituir una solución de seguridad, BIG-IP SSL Orchestrator gestiona eficazmente los cambios y la incorporación de servicios de seguridad, transfiriendo sin interrupciones el tráfico descifrado para su inspección sin interrumpir el flujo de tráfico. BIG-IP SSL Orchestrator le ayudará a cumplir los apartados 10.7.2, 10.7.3 y 11.5.1.1 de PCI DSS v4.0.
Integración de todos los elementos
Como se ha señalado anteriormente, F5 le ayudará a abordar muchos de los nuevos requisitos de PCI DSS v4.0, sean cuales sean sus necesidades específicas y las prioridades relacionadas, antes de que sean obligatorios a partir del 31 de marzo de 2025.
Para obtener más información sobre la capacidad de F5 para cumplir los estándares PCI DSS v4.0, consulte los siguientes recursos:
Cambios importantes de PCI DSS 4.0.1 que debe conocer
Al PCI DSS 3.2.1 le ha llegado la hora... ¿Está preparado para la versión 4.0?
La defensa contra los bots también debería contribuir al cumplimiento de PCI DSS
¿Qué es PCI DSS? Descripción general, requisitos y ventajas
Para obtener más información, póngase en contacto con su gestor de cuenta de F5, gestor de canal o socio de canal de F5.
Sobre el autor
Artículos relacionados del blog
Cree servicios públicos seguros, resilientes y preparados para la IA con F5 y AWS
Descubre cómo las organizaciones del sector público pueden modernizar de forma segura sus aplicaciones y soluciones de IA, al tiempo que gestionan los sistemas heredados, el cumplimiento normativo y el riesgo operativo.
Protección de los sistemas de IA: por qué la seguridad debe avanzar al ritmo de la innovación
Desde acelerar avances revolucionarios en medicina y educación hasta transformar la vida cotidiana, la IA está cambiando nuestra forma de vivir y trabajar. Pero también ofrece grandes oportunidades a los ciberdelincuentes.
Avanzar hacia la optimización digital tras la transformación
Descubre estrategias de optimización digital para garantizar políticas de seguridad coherentes, impulsar la madurez de la transformación digital y superar los retos de la transformación.
Proyecto de código abierto destacado: mayor observabilidad con F5 Cloud Logger iApp
En el punto de mira del código abierto: cómo aumentar la observabilidad. Lee el blog de F5 para descubrir cómo exportar fácilmente la telemetría de BIG-IP a plataformas modernas de análisis en la nube.
El estado de la entrega de aplicaciones en 2018: la transformación digital impulsa la automatización y la multinube pese a las preocupaciones de seguridad
Descubre las principales conclusiones del cuarto informe anual de F5 sobre el estado de la entrega de aplicaciones.
Estado de la entrega de aplicaciones en 2017: automatización, API y DevOps
Descubre el informe sobre el estado de la entrega de aplicaciones de 2017. Lee el blog retrospectivo de F5 sobre los inicios del auge de las redes declarativas y los flujos de DevOps.