Actualización de PCI DSS 4.0.1: importantes mejoras nuevas de seguridad de las API obligatorias para los procesadores de pagos de clientes

Ian DinnoResponsable sénior de marketing de producto | F5

La última actualización de la normaPCI DSS (Estándar de Seguridad de Datos para la Industria de Tarjetas de Pago) 4.0.1 es importante, ya que pone un mayor énfasis en las cadenas de suministro de software, incluidas las API y los scripts del lado del cliente.

Con la retirada de PCI DSS 3.2.1, las organizaciones que procesan pagos deben adaptarse al panorama en constante evolución de las aplicaciones modernas basadas en microservicios, los entornos multinube y la creciente implantación de API.

Esta entrada de blog analiza algunos de los nuevos requisitos críticos introducidos en PCI DSS 4.0.1 destinados específicamente a proteger las API, que se han convertido en una parte esencial de las transacciones en prácticamente todos los sectores y organizaciones.

Los nuevos requisitos incluyen:

• Pruebas previas a la implementación 6.2.3: Este requisito hace hincapié en la revisión exhaustiva, las pruebas y las prácticas de desarrollo seguro del software a medida y personalizado, incluidas las API, antes de su lanzamiento, con el fin de identificar y corregir vulnerabilidades en el código.
• Protección contra amenazas comunes 6.2.4: Las organizaciones deben implementar controles para prevenir o mitigar los ataques habituales contra el software y las vulnerabilidades relacionadas en el software a medida y personalizado. Se presta especial atención al uso indebido de la lógica de negocio, los ataques de inyección (p. ej., SQL, LDAP, XPATH u otros tipos de inyección de comandos, parámetros, objetos, errores, etc.) y los ataques contra el control de acceso y los datos. Todos ellos son fundamentales para proteger las API.
• Inventario y conocimiento del software a medida 6.3.2: Las empresas también deben mantener la visibilidad y el inventario del software a medida y personalizado, incluidas las API y los componentes de terceros, para facilitar la gestión de vulnerabilidades y la aplicación de parches, garantizando así una postura de seguridad integral.
• Visibilidad en producción, detección de amenazas y pruebas 6.4.1 y 6.4.2: Esta actualización destaca la necesidad de realizar pruebas periódicas, así como de supervisar y proteger continuamente las aplicaciones web y las API de acceso público frente a vulnerabilidades, ataques conocidos y amenazas emergentes. Entre estos requisitos se incluyen:
  • Análisis y pruebas periódicos (al menos una vez al año) de aplicaciones web y API de acceso público
  • Una solución técnica, implementada delante de aplicaciones web y API de acceso público, para detectar y prevenir ataques dirigidos contra aplicaciones web y API

Las organizaciones tienen hasta marzo de 2025 para cumplir la normativa

Las últimas revisiones del estándar PCI DSS 4.0 fueron publicadas por el PCI Security Standards Council en junio de 2024 y responden a las transformaciones empresariales y tecnológicas observadas en los últimos años. Estos cambios reconocen la adopción generalizada de las API y la evolución de las aplicaciones y la infraestructura que sustentan un número creciente de servicios e interacciones que impulsan la economía actual, cada vez más digital, incluidos los sistemas de pago presenciales, web y móviles.

Las API representan un cambio en el paradigma de las amenazas, con su propio conjunto de amenazas específicas recogidas en el OWASP API Security Top 10. Son susceptibles a la mayoría de los mismos ataques y vulnerabilidades que las aplicaciones web tradicionales, pero a menudo exponen directamente la lógica de negocio, lo que las convierte en un objetivo cada vez más atractivo para los atacantes. Además, requieren un conjunto específico de controles para proteger los datos frente al acceso, la manipulación o la exposición no autorizados, garantizar la privacidad y mantener la confianza de los usuarios y las partes interesadas, así como asegurar la confidencialidad, la integridad y la disponibilidad de las comunicaciones de las API.

El plazo de marzo de 2025 para que las organizaciones cumplan la normativa pone de relieve la urgencia de que las empresas se adapten a estas nuevas especificaciones para proteger las API y sus scripts del lado del cliente.

Algunas estrategias para garantizar el cumplimiento

Para cumplir eficazmente los estándares PCI DSS 4.0 y proteger toda su superficie de ataque, las organizaciones deben evaluar su infraestructura, sus procesos y sus capacidades de seguridad actuales, y considerar la implementación de soluciones que ofrezcan lo siguiente:

• Descubrimiento exhaustivo de API: Esto comienza con la integración con repositorios de código para crear inventarios y documentación completos y precisos directamente a partir de las fuentes. Pero también incluye el análisis basado en el tráfico y el rastreo de dominios para identificar API en la sombra, obsoletas, no gestionadas y de terceros.
• Pruebas exhaustivas de API: Estas pruebas proporcionan un análisis del código de las API antes de la fase de producción, combinado con pruebas dinámicas de aplicaciones y API de acceso público, lo que permite identificar vulnerabilidades de forma continua y aportar contexto y recomendaciones para corregirlas.
• Protección en tiempo de ejecución: Requiere mecanismos de aplicación y control en línea para bloquear, limitar y garantizar el comportamiento adecuado de las API. Esto incluye un WAF y otras funciones específicas de las API para implementar reglas de protección, limitación de solicitudes, enmascaramiento de datos y aplicación de esquemas, con el fin de ofrecer un modelo de seguridad positivo.
• Supervisión continua y detección de anomalías: Incluye análisis del comportamiento basados en IA/ML y la inspección continua del tráfico de las API para identificar posibles ataques, la exposición de datos confidenciales y otros comportamientos anómalos de las API que puedan indicar un uso indebido o que un endpoint de API se haya visto comprometido.

La actualización es considerable, pero cumplir con la normativa no tiene por qué ser abrumador

El enfoque de PCI DSS 4.0.1 en la seguridad de las API supone un paso crucial para proteger las transacciones digitales en los complejos entornos de TI actuales, que evolucionan constantemente.

A medida que se acerca la fecha límite, adoptar medidas proactivas para reforzar la seguridad de las API será fundamental para lograr y mantener el cumplimiento normativo. Estas medidas también mejorarán la resiliencia de su infraestructura frente a las ciberamenazas y los ataques dirigidos a las API y a los scripts del lado del cliente, reforzarán la protección de los datos y la información de las tarjetas de pago de sus clientes y aumentarán la confianza y la credibilidad de su organización ante los clientes y los organismos reguladores.

Puede preparar a su organización para cumplir con la norma PCI DSS 4.0.1 mediante la evaluación de sus prácticas actuales de seguridad de las API, la identificación de carencias y la implementación de las mejoras necesarias. Manténgase al tanto de los recursos y las directrices adicionales que ofrece el PCI Security Standards Council para garantizar que su organización esté preparada para marzo de 2025.

No tiene por qué ser una tarea abrumadora. F5 cuenta con la experiencia y las soluciones necesarias para ayudar a las organizaciones a evaluar e implementar controles que se ajusten a los nuevos requisitos y mejoren la seguridad de sus aplicaciones web y API.

Echa un vistazo a esta demostración práctica de la solución integral de seguridad de API de F5 y ponte en contacto con nosotros hoy mismo para concertar una reunión con uno de nuestros expertos.

Sobre el autor

Ian DinnoResponsable sénior de marketing de producto | F5

Más artículos de Ian Dinno