¿Está preparado para cumplir los requisitos más recientes de seguridad de los pagos con tarjeta? Desde el 31 de marzo de 2025, las organizaciones deben cumplir la norma PCI DSS v4.0.1, una actualización del Estándar de Seguridad de Datos para la Industria de Tarjetas de Pago que convirtió en obligatorias varias prácticas recomendadas de seguridad. Con la versión 4.0.1, surgieron nuevos requisitos en materia de seguridad continua, autenticación reforzada y protección frente a vulnerabilidades, software malicioso y suplantación de identidad.
AWS mantiene el cumplimiento de PCI DSS como proveedor de servicios de nivel 1 en muchos de sus servicios, lo que garantiza la seguridad de la infraestructura, la red y los componentes de software subyacentes. Sin embargo, según el modelo de responsabilidad compartida de AWS, su organización es responsable de proteger sus aplicaciones y datos en AWS. Para cumplir plenamente con PCI DSS, es posible que deba implementar medidas de seguridad adicionales para sus aplicaciones y datos.
“PCI DSS v4.0.1 exige una protección continua de todas las aplicaciones web y API de acceso público, mediante soluciones que detecten y prevengan los ataques, y generen alertas al respecto.”
Cumplimiento de los requisitos de seguridad actualizados
A partir de PCI DSS v4.0.1, ahora se requieren las siguientes mejoras de seguridad:
Web application and API protection: La norma PCI DSS v4.0.1 exige una protección continua de todas las aplicaciones web y API de acceso público, mediante soluciones que detecten y eviten ataques, y generen alertas al respecto. También exige realizar análisis de vulnerabilidades y mantener un inventario del software personalizado, incluidas las API y los componentes de terceros (requisitos 6.2.4, 6.3.2 y 6.4.2).
Autenticación reforzada: Para evitar el acceso no autorizado a datos de pago confidenciales, ahora se exige la autenticación multifactor (MFA) para cualquier acceso al entorno de datos de titulares de tarjetas (CDE), que abarca todos los componentes que almacenan, procesan o transmiten datos de titulares de tarjetas (requisito 8.4.2).
Supervisión de los controles de seguridad y detección de fallos: Las organizaciones deben detectar y subsanar rápidamente los fallos de los sistemas críticos de control de seguridad, incluidos los sistemas de detección y prevención de intrusiones y las soluciones antimalware (requisito 10.7).
Gestión integral de vulnerabilidades: Se requiere realizar análisis de vulnerabilidades periódicos y exhaustivos de todas las aplicaciones y sistemas accesibles públicamente para identificar vulnerabilidades explotables, incluso aquellas que se encuentran en niveles profundos de la cadena de suministro de software (Requisito 11.3.1).
Añada soluciones de F5 en AWS para lograr una cobertura completa de PCI DSS
Al igual que AWS, F5 también ofrece servicios que cumplen con PCI DSS como proveedor de servicios de nivel 1. Las soluciones de F5 proporcionan las capacidades de seguridad adicionales necesarias para cumplir con PCI DSS v4.0.1 en AWS:
F5 Distributed Cloud WAF y F5 BIG-IP Advanced WAF ofrecen una seguridad integral para las aplicaciones que inspecciona el tráfico de las aplicaciones y bloquea las amenazas del OWASP Top 10, los ataques distribuidos de denegación de servicio (DDoS) de capa 7 y los bots maliciosos. Las soluciones WAF de F5 pueden implementarse delante de cualquier aplicación, independientemente de dónde se aloje: en las instalaciones, en AWS o en varias nubes.
F5 Managed Rules for AWS WAF proporcionan conjuntos de reglas de seguridad preconfiguradas que mejoran las capacidades de protección de AWS WAF. Esta protección, que se actualiza continuamente, protege frente a las 10 principales amenazas de OWASP, bots maliciosos, ataques a nivel de API y otras vulnerabilidades.
F5 Distributed Cloud API Security detecta y protege las API, e incluye una supervisión continua con análisis del comportamiento para identificar anomalías y posibles ataques.
F5 BIG-IP Access Policy Manager permite el acceso de confianza cero a las aplicaciones mediante MFA para acceder al entorno de datos de titulares de tarjetas (CDE). Protege los datos de los titulares de tarjetas en tránsito y aplica controles de acceso seguro para cumplir los requisitos.
F5 BIG-IP SSL Orchestrator descifra el tráfico que entra en su entorno de AWS y lo dirige a través de su conjunto de soluciones de seguridad para detectar amenazas. Supervisa el estado de las soluciones de seguridad y puede mitigar rápidamente los problemas cuando falla un control de seguridad, lo que evita que el tráfico eluda los controles de forma involuntaria.
F5 Distributed Cloud Web App Scanning analiza continuamente su superficie de ataque externa para descubrir aplicaciones y API expuestas. Mediante pruebas de penetración automatizadas, identifica vulnerabilidades potencialmente explotables en las capas más profundas de su cadena de suministro de software.
Optimiza la seguridad y el cumplimiento normativo con F5
Al implementar las soluciones de F5 junto con los controles de seguridad de AWS, puede:
- Simplifique el cumplimiento normativo con una cobertura integral de los requisitos de PCI DSS, así como con registros de auditoría y generación de informes.
- Reduzca el riesgo de filtraciones de datos mediante la detección y prevención avanzadas de amenazas.
- Unifique la postura de seguridad para garantizar la coherencia en todo su entorno híbrido o multinube.
Con más de una década de colaboración, F5 y AWS trabajan conjuntamente para simplificar la entrega y la seguridad de las aplicaciones en la nube. Las soluciones de F5 están disponibles en AWS Marketplace para añadir fácilmente una protección completa de los datos confidenciales de tarjetas de pago. Obtenga más información en nuestra página web de F5 en AWS.
Sobre el autor
Artículos relacionados del blog
Cree servicios públicos seguros, resilientes y preparados para la IA con F5 y AWS
Descubre cómo las organizaciones del sector público pueden modernizar de forma segura sus aplicaciones y soluciones de IA, al tiempo que gestionan los sistemas heredados, el cumplimiento normativo y el riesgo operativo.
Protección de los sistemas de IA: por qué la seguridad debe avanzar al ritmo de la innovación
Desde acelerar avances revolucionarios en medicina y educación hasta transformar la vida cotidiana, la IA está cambiando nuestra forma de vivir y trabajar. Pero también ofrece grandes oportunidades a los ciberdelincuentes.
Avanzar hacia la optimización digital tras la transformación
Descubre estrategias de optimización digital para garantizar políticas de seguridad coherentes, impulsar la madurez de la transformación digital y superar los retos de la transformación.
Proyecto de código abierto destacado: mayor observabilidad con F5 Cloud Logger iApp
En el punto de mira del código abierto: cómo aumentar la observabilidad. Lee el blog de F5 para descubrir cómo exportar fácilmente la telemetría de BIG-IP a plataformas modernas de análisis en la nube.
El estado de la entrega de aplicaciones en 2018: la transformación digital impulsa la automatización y la multinube pese a las preocupaciones de seguridad
Descubre las principales conclusiones del cuarto informe anual de F5 sobre el estado de la entrega de aplicaciones.
Estado de la entrega de aplicaciones en 2017: automatización, API y DevOps
Descubre el informe sobre el estado de la entrega de aplicaciones de 2017. Lee el blog retrospectivo de F5 sobre los inicios del auge de las redes declarativas y los flujos de DevOps.