¿No dejó de estar vigente el Estándar de Seguridad de Datos para la Industria de Tarjetas de Pago (PCI DSS) v3.2.1 el 31 de marzo de 2024 y fue sustituido por PCI DSS v4.0?
Sí, y sí.
Sin embargo, para abordar los comentarios y las preguntas recibidos tras la publicación de PCI DSS v4.0, el Consejo de Normas de Seguridad de la PCI (PCI SSC) decidió publicar una revisión limitada de la norma: PCI DSS v4.0.1. (Cuando PCI DSS v4.0 deje de estar vigente el 31 de diciembre de 2024, la versión 4.0.1 se convertirá en la única norma activa respaldada por el PCI SSC).
PCI DSS v4.0.1 incluye varios cambios importantes que debe conocer a medida que actualiza o amplía la seguridad y el cumplimiento normativo de las transacciones. Para ser breves, en este blog abordaremos los cambios y las actualizaciones que cubren las soluciones de seguridad de aplicaciones y API de F5. Puede consultar una lista más completa de los cambios en el sitio web del PCI SSC.
Las actualizaciones más relevantes incluidas en PCI DSS v4.0.1 tienen como objetivo aclarar el alcance de los requisitos de seguridad del lado del cliente.
¿Quién es responsable de qué?
Requisito 6.4.3
Este requisito establece que todos los scripts de la página de pago que se carguen y ejecuten en el navegador del consumidor deben gestionarse de la siguiente manera:
- Se implementa un método para confirmar que cada script está autorizado.
- Se implementa un método para garantizar la integridad de cada script.
- Se mantiene un inventario de todos los scripts, junto con una justificación empresarial o técnica por escrito que explique por qué es necesario cada uno.
Normalmente, los comercios recurren a proveedores de servicios de pago o a proveedores de servicios externos (PSP o TPSP) para procesar los pagos, lo que determina el método mediante el cual un consumidor paga los bienes o servicios adquiridos. Este requisito de PCI generó confusión en torno al modelo de responsabilidad aplicable a los casos en los que los comercios utilizaban marcos en línea (iframes) de PSP/TPSP que contenían la página de pago. Un iframe es, en esencia, una pequeña página web que se muestra para una función específica. También puede ejecutar scripts, por lo que está expuesto a los mismos riesgos que las páginas web principales. Por tanto, ¿deben los iframes cumplir los mismos requisitos de PCI que las páginas principales?
La actualización v4.0.1 aclara que los comerciantes solo son responsables de los scripts que se ejecutan en su propia página (la página principal), y no de los que se ejecutan en los iframes de los PSP/TPSP.
Práctica recomendada: Es responsabilidad del comerciante colaborar con el proveedor de las páginas de los iframes de PSP/TPSP para garantizar que cumplan la normativa y sean seguras. Si el comerciante no cumple este requisito, se expone a fraudes en los pagos, lo que puede ocasionar pérdidas comerciales y un control exhaustivo por parte del PCI.
Requisito 11.6.1
Se incluyeron aclaraciones similares en torno al requisito 11.6.1, haciendo hincapié en el sistema de cabeceras HTTP y scripts recibidos por el navegador del consumidor que afectan a la seguridad. Se trata de un cambio importante, ya que PCI deja claro que se centra en los riesgos asociados a este requisito, en lugar de exigir una protección más amplia frente a incidentes relacionados con cabeceras HTTP y scripts que no afecten a la seguridad.
También se ha actualizado el modelo de responsabilidades para los iframes integrados por PSP/TPSP, aclarando que el comercio solo es responsable de la página web principal, mientras que el proveedor de PSP/TPSP es responsable de las cabeceras HTTP y los scripts que afectan a la seguridad y que se procesan en sus iframes.
El tiempo corre
A menos de nueve meses de que venza el plazo de marzo de 2025 para implementar los nuevos requisitos, las organizaciones deben abordar todas las complejidades relacionadas con los cambios propuestos y el cumplimiento de PCI DSS v4.0.1.
F5 y PCI DSS v4.0.1
Protección de aplicaciones web y API (WAAP) de F5 Distributed Cloud, Distributed Cloud Bot Defense, Distributed Cloud Client-Side Defense y Suite de seguridad para aplicaciones móviles de F5 Distributed Cloud Services constituyen la base para proteger toda la transacción entre la empresa y el consumidor. En el caso de los scripts del lado del cliente, Distributed Cloud Client-Side Defense puede proporcionar visibilidad y control para facilitar el cumplimiento. Actualmente, F5 Distributed Cloud Services cumple con PCI DSS v4.0 y se somete periódicamente a auditorías de cumplimiento realizadas por una empresa auditora autorizada. Las organizaciones deben cumplir con PCI DSS v4.0.1 antes del 1 de enero de 2025, y los cuestionarios de autoevaluación deben actualizarse para reflejarlo.
Por último, las organizaciones sujetas a los requisitos de PCI DSS pueden esperar cambios en la siguiente documentación durante los próximos trimestres:
- Cuestionarios de autoevaluación (SAQ)
- Informe de cumplimiento (ROC)
- Declaraciones de cumplimiento (AOC)
Práctica recomendada: Supervise https://blog.pcisecuritystandards.org para estar al tanto de las actualizaciones o revisiones de los estándares y hable con su auditor de PCI DSS para asegurarse de que su organización está bien encaminada para cumplir los requisitos de PCI DSS.
Para obtener más información, visite f5.com/products/distributed-cloud-services.
Sobre los autores
Artículos relacionados del blog
Cree servicios públicos seguros, resilientes y preparados para la IA con F5 y AWS
Descubre cómo las organizaciones del sector público pueden modernizar de forma segura sus aplicaciones y soluciones de IA, al tiempo que gestionan los sistemas heredados, el cumplimiento normativo y el riesgo operativo.
Protección de los sistemas de IA: por qué la seguridad debe avanzar al ritmo de la innovación
Desde acelerar avances revolucionarios en medicina y educación hasta transformar la vida cotidiana, la IA está cambiando nuestra forma de vivir y trabajar. Pero también ofrece grandes oportunidades a los ciberdelincuentes.
Avanzar hacia la optimización digital tras la transformación
Descubre estrategias de optimización digital para garantizar políticas de seguridad coherentes, impulsar la madurez de la transformación digital y superar los retos de la transformación.
Proyecto de código abierto destacado: mayor observabilidad con F5 Cloud Logger iApp
En el punto de mira del código abierto: cómo aumentar la observabilidad. Lee el blog de F5 para descubrir cómo exportar fácilmente la telemetría de BIG-IP a plataformas modernas de análisis en la nube.
El estado de la entrega de aplicaciones en 2018: la transformación digital impulsa la automatización y la multinube pese a las preocupaciones de seguridad
Descubre las principales conclusiones del cuarto informe anual de F5 sobre el estado de la entrega de aplicaciones.
Estado de la entrega de aplicaciones en 2017: automatización, API y DevOps
Descubre el informe sobre el estado de la entrega de aplicaciones de 2017. Lee el blog retrospectivo de F5 sobre los inicios del auge de las redes declarativas y los flujos de DevOps.