El domingo 31 de marzo de 2024, una fecha importante en todo el mundo, ya ha quedado atrás. ¿Por qué lo digo? Para cualquier organización que acepte pagos de consumidores, es la fecha en la que se retiró el estándar de cumplimiento PCI DSS 3.2.1 (1 de mayo de 2018 – 31 de marzo de 2024). Su organización se encuentra ahora en el calendario de PCI DSS 4.0 y deberá haber completado un SAQ conforme a la versión 4.0 y una auditoría por parte de una organización externa antes de marzo de 2025. El incumplimiento de PCI DSS 4.0 no es una opción si desea contabilizar ingresos procedentes de pagos de consumidores.
La especificación PCI DSS 4.0 supone una importante actualización respecto a la versión 3.2.1. Puede consultar el resumen de los cambios aquí. La versión 4.0 introduce numerosos cambios (así como un SAQ actualizado); sin embargo, hay dos áreas completamente nuevas que deben protegerse dentro de la estructura general para lograr y mantener el cumplimiento:
- Interfaz de programación de aplicaciones (API) [2.2.7; 6.2.3; 6.2.4]
- Software a medida [6.X; 8.6.2; 12.8.1]
Para simplificar, profundizaremos un poco más únicamente en una parte del «software a medida». Se trata de software personalizado desarrollado por la organización para facilitar los pagos de los consumidores. El software a medida es el siguiente:
- Desarrollado internamente o a partir de fuentes externas de terceros
- Software desarrollado para la aplicación de pago (en el lado del servidor de la transacción) o enviado al navegador web del consumidor (en el lado del cliente de la transacción) para facilitar la recopilación de datos
Para muchas organizaciones, uno de los retos será ampliar la seguridad y el cumplimiento de PCI DSS del software a medida hasta el navegador web del consumidor (requisitos 6.4.1 y 11.6.1). Proteger las transacciones implica ahora no solo proteger el lado del servidor, sino también supervisar y proteger el navegador web del consumidor frente al «software a medida» que se le haya enviado. Además, obtener de un tercero el software a medida (por ejemplo, JavaScript) destinado al navegador web del cliente no exime al responsable del cobro de la obligación de supervisarlo y protegerlo. Intentar responsabilizar al proveedor original no servirá de nada ante el auditor.
Entonces, ¿cuáles son los requisitos para el software a medida del lado del cliente? Según la sección 6.4.1, se resumen en lo siguiente:
Todos los scripts de la página de pago que se cargan y ejecutan en el navegador del consumidor se gestionan de la siguiente manera:
- Se ha implementado un método para confirmar que cada script está autorizado.
- Se implementa un método para garantizar la integridad de cada script.
- Se mantiene un inventario de todos los scripts, junto con una justificación por escrito de por qué es necesario cada uno.
Esto significa que todo el software (scripts) que se despliegue debe estar inventariado, justificado y supervisado, y que debe existir un plan de actuación para subsanar cualquier vulneración que se detecte. ¿Está preparado el personal de seguridad de aplicaciones/TI para gestionar, supervisar y elaborar informes sobre este requisito? ¿Habéis hablado tú y tu equipo con vuestro auditor de PCI DSS para programar la revisión del cumplimiento de la versión 4.0? Es el momento de asegurarte de que tu plan de seguridad y cumplimiento de PCI DSS va por buen camino y no interfiere en tus operaciones de seguridad ni, lo que es más importante, en la recaudación de ingresos de tu organización. Porque el plazo para proteger el lado del cliente de tus transacciones y cumplir con PCI DSS 4.0 está mucho más cerca de lo que crees.
Sobre los autores
Artículos relacionados del blog
Cree servicios públicos seguros, resilientes y preparados para la IA con F5 y AWS
Descubre cómo las organizaciones del sector público pueden modernizar de forma segura sus aplicaciones y soluciones de IA, al tiempo que gestionan los sistemas heredados, el cumplimiento normativo y el riesgo operativo.
Protección de los sistemas de IA: por qué la seguridad debe avanzar al ritmo de la innovación
Desde acelerar avances revolucionarios en medicina y educación hasta transformar la vida cotidiana, la IA está cambiando nuestra forma de vivir y trabajar. Pero también ofrece grandes oportunidades a los ciberdelincuentes.
Avanzar hacia la optimización digital tras la transformación
Descubre estrategias de optimización digital para garantizar políticas de seguridad coherentes, impulsar la madurez de la transformación digital y superar los retos de la transformación.
Proyecto de código abierto destacado: mayor observabilidad con F5 Cloud Logger iApp
En el punto de mira del código abierto: cómo aumentar la observabilidad. Lee el blog de F5 para descubrir cómo exportar fácilmente la telemetría de BIG-IP a plataformas modernas de análisis en la nube.
El estado de la entrega de aplicaciones en 2018: la transformación digital impulsa la automatización y la multinube pese a las preocupaciones de seguridad
Descubre las principales conclusiones del cuarto informe anual de F5 sobre el estado de la entrega de aplicaciones.
Estado de la entrega de aplicaciones en 2017: automatización, API y DevOps
Descubre el informe sobre el estado de la entrega de aplicaciones de 2017. Lee el blog retrospectivo de F5 sobre los inicios del auge de las redes declarativas y los flujos de DevOps.