Obtenga información sobre el Estándar de seguridad de datos de la industria de tarjetas de pago (PCI DSS), que se desarrolló conjuntamente para simplificar el cumplimiento para comerciantes y procesadores de pagos.
Emitido por primera vez en 2004, el PCI DSS es un conjunto de estándares de seguridad desarrollados por cinco importantes marcas de tarjetas de pago que están diseñados para mantener los datos de pago a salvo del robo y la explotación. Cualquier empresa u organización que maneje datos de tarjetas de pago (ya sea procesándolos, transmitiéndolos o almacenándolos) debe cumplir con los estándares PCI DSS o arriesgarse a sufrir graves consecuencias, incluidas sanciones financieras, acciones legales o la cancelación de cuentas comerciales.
PCI DSS fue desarrollado para fomentar y mejorar la seguridad de datos de las cuentas de pago y facilitar la adopción amplia de medidas de seguridad de datos consistentes a nivel mundial. PCI DSS proporciona una base de requisitos técnicos y operativos diseñados para proteger los datos de las cuentas de pago y salvaguardar tanto a los consumidores como a las empresas del fraude financiero y el daño a la reputación.
Uno de los propósitos centrales de PCI DSS es proteger los datos del titular de la tarjeta contra el acceso no autorizado y el posible uso indebido. Esto incluye números de cuenta principales, nombres de titulares de tarjetas, fechas de vencimiento y otra información confidencial. La norma también está diseñada para minimizar el riesgo de violaciones de datos, que podrían resultar en acceso no autorizado o robo de información de tarjetas de pago. Al implementar los controles PCI DSS, las organizaciones también ayudan a prevenir y detectar actividades fraudulentas relacionadas con las transacciones con tarjetas de pago.
Es importante tener en cuenta que los requisitos de PCI DSS evolucionan con el tiempo para abordar nuevas amenazas de seguridad, avances tecnológicos y cambios en el panorama regulatorio. Encuentre los últimos requisitos en el sitio web del PCI Security Standard Council .
El cumplimiento de PCI DSS requiere que las organizaciones aborden una variedad de vulnerabilidades potenciales para garantizar la seguridad de los datos del titular de la tarjeta. A continuación se presentan cuatro áreas de vulnerabilidad comunes que las organizaciones deben abordar para mantener el cumplimiento de PCI DSS.
PCI DSS dicta una base de requisitos técnicos y operativos diseñados para proteger los datos de las cuentas de pago. Estos requisitos se detallan en los siguientes seis principios PCI DSS.
La protección de los datos del titular de la tarjeta comienza con el establecimiento de una infraestructura de red segura. Esto incluye el uso de firewalls para controlar y monitorear el tráfico entre redes y restringir el acceso no autorizado. La microsegmentación es otra estrategia de seguridad recomendada que implica dividir una red en segmentos pequeños y distintos para mejorar la seguridad al controlar el tráfico lateral “este-oeste” dentro de la red y a nivel de aplicação o carga de trabajo para reducir la superficie de ataque potencial. Establecer las mejores prácticas de gestión de vulnerabilidades también es fundamental para garantizar que los sistemas tengan los parches y estén actualizados.
Este principio se centra en el cifrado y la protección de los datos del titular de la tarjeta durante la transmisión y el almacenamiento para evitar el acceso no autorizado a información confidencial. El requisito dicta el uso de criptografía fuerte para proteger los datos del titular de la tarjeta durante la transmisión a través de redes públicas y el desarrollo de políticas de retención de datos que eviten el almacenamiento de datos de autenticación sensibles después de la autorización. Las políticas de protección de datos también exigen el enmascaramiento o truncamiento de los números de cuenta principales (PAN) para minimizar el riesgo de acceso no autorizado y exposición de información confidencial del titular de la tarjeta. Según los requisitos de PCI DSS, los primeros seis y los últimos cuatro dígitos de un PAN son la cantidad máxima de dígitos que se muestran cuando el PAN es visible.
Mantener un entorno seguro requiere identificar y abordar periódicamente las vulnerabilidades. Esto incluye realizar análisis de vulnerabilidad periódicos, que alertan a las empresas sobre fallas preexistentes en su código, y pruebas de penetración, que determinan si es posible un acceso no autorizado u otra actividad maliciosa. simular ataques del mundo real para probar la eficacia de las medidas de seguridad existentes. Abordar rápidamente cualquier debilidad detectada mediante análisis o pruebas es fundamental para protegerse contra posibles riesgos para los sistemas y los datos del titular de la tarjeta que puedan contener . Además, las organizaciones deben desarrollar y aplicar pautas de codificación segura, como las descritas por organizaciones como OWASP , para evitar la introducción de vulnerabilidades durante el ciclo de vida del desarrollo de software.
Restringir el acceso a los componentes del sistema y a los datos del titular de la tarjeta ayuda a evitar que personas o sistemas no autorizados obtengan acceso. PCI DSS dicta la limitación del acceso según la necesidad de conocimiento del negocio, a menudo denominada el principio del mínimo privilegio, que sostiene que un usuario o sistema solo debe tener acceso a los datos, recursos y aplicações específicos necesarios para completar una tarea requerida. De manera similar, los controles de acceso basados en roles (RBAC) restringen el acceso al sistema a usuarios autorizados en función de sus roles dentro de una organización. Estas políticas requieren que los controles de acceso se revisen y actualicen con frecuencia para reflejar los cambios en el personal y los roles. También piden la implementación de MFA para el acceso a los sistemas y a los datos de los titulares de tarjetas y para mejorar las políticas de contraseñas y las mejores prácticas.
La monitorización y las pruebas continuas son fundamentales para detectar y responder con rapidez a los incidentes de seguridad. Esto implica implementar mecanismos de registro, realizar pruebas de seguridad periódicas y una revisión continua de la actividad de la red. Las herramientas de monitoreo de red también incluyen sistemas de detección de intrusiones (IDS) y sistemas de prevención de intrusiones (IPS) que analizan y evalúan la integridad del tráfico de red para identificar patrones de ataque, actividades anormales y uso no autorizado. Las organizaciones también deben establecer un plan de respuesta a incidentes y procedimientos de emergencia y garantizar que estos procesos se prueben periódicamente.
PCI DSS también requiere que las organizaciones establezcan y mantengan una política de seguridad integral que establezca el marco para proteger los datos del titular de la tarjeta y guiar las prácticas de seguridad dentro de la organización. La política debe documentarse, revisarse periódicamente y actualizarse para reflejar los cambios en la tecnología y los procesos de negocio. Las organizaciones también deben asegurarse de que los empleados conozcan y estén capacitados en políticas y procedimientos de seguridad.
El cumplimiento de los siguientes 12 requisitos PCI DSS es esencial para que las organizaciones creen una postura de seguridad sólida, protejan los datos del titular de la tarjeta y minimicen el riesgo de violaciones de datos.
Los niveles de cumplimiento de PCI se dividen en cuatro niveles según el volumen total de transacciones con tarjetas de crédito, débito y prepagas durante 12 meses. Las organizaciones deben determinar su volumen de transacciones con precisión y cumplir con los requisitos del nivel correspondiente para garantizar y mantener el cumplimiento de PCI DSS. Mantener el nivel adecuado de cumplimiento es fundamental para proteger las transacciones de comercio electrónico, mantener un entorno seguro para los datos de los titulares de tarjetas y prevenir posibles infracciones.
El nivel 1 de cumplimiento de PCI es el nivel más alto y estricto de PCI DSS y está diseñado para garantizar el más alto nivel de seguridad para las empresas que almacenan, transmiten o procesan datos de tarjetas de crédito. Además, los comerciantes y proveedores de servicios de cualquier tamaño que hayan estado expuestos a una violación o un ciberataque que haya comprometido los datos de tarjetas de crédito o del titular de la tarjeta deben cumplir con los requisitos de PCI Nivel 1. La validación PCI Nivel 1 requiere un informe anual sobre cumplimiento (ROC) realizado por un evaluador de seguridad calificado (QSA) o un evaluador de seguridad interno, y normalmente también exige pruebas de penetración, que implican simular ciberataques del mundo real a sistemas informáticos y aplicações para identificar vulnerabilidades. La validación PCI Nivel 1 también requiere un escaneo de red trimestral realizado por un proveedor de escaneo aprobado (ASV).
Los comercios con certificación PCI DSS Nivel 2 deben realizar una evaluación de cumplimiento anual mediante un cuestionario de autoevaluación (SAQ) y realizar análisis de red trimestrales por parte de un ASV. También deben completar el formulario de Declaración de Cumplimiento (AOC). Al igual que el Nivel 1, es posible que algunos comerciantes de Nivel 2 deban realizar pruebas de penetración. No se requiere una auditoría PCI DSS en el sitio para los comerciantes de Nivel 2 a menos que hayan experimentado una violación de datos o un ciberataque que comprometa los datos de la tarjeta de crédito o del titular de la tarjeta.
Los comercios con certificación PCI DSS Nivel 3 deben completar el SAQ anual correspondiente y realizar un análisis de red trimestral por parte de un ASV. También deben completar y enviar un formulario AOC.
Los comerciantes de nivel PCI 4 deben completar el SAQ anual correspondiente y es posible que se requiera un análisis de seguridad de red externa ASV trimestral. El comerciante también debe completar y enviar un formulario AOC. No todos los proveedores de tarjetas tienen designaciones de Nivel 4.
Cumplir con los 12 requisitos del PCI DSS es fundamental para fortalecer la seguridad de datos y contribuir al cumplimiento general. Los requisitos trabajan juntos para crear un marco integral para proteger los datos del titular de la tarjeta y prevenir violaciones de seguridad.
El cumplimiento de PCI DSS demuestra un compromiso con la protección de los datos confidenciales de los titulares de tarjetas, asegurando a los clientes que los detalles de sus tarjetas de crédito se manejan con los más altos estándares de seguridad y fomentando la confianza en la capacidad de la empresa para salvaguardar su información personal. Además, las empresas que se adhieren al PCI DSS están mejor posicionadas para defenderse contra acciones legales y sanciones regulatorias relacionadas con la seguridad de datos inadecuada.
Mantener el cumplimiento de PCI DSS ofrece otras ventajas a largo plazo a medida que evolucionan los panoramas tecnológicos y de seguridad. Cumplir con los requisitos de PCI DSS significa que las organizaciones se mantienen alertas y están mejor equipadas para prevenir ataques avanzados y sofisticados y pueden adaptarse más rápidamente a las amenazas cibernéticas en evolución. La adhesión a PCI DSS también fomenta una cultura centrada en la seguridad dentro de una organización que se extiende más allá del cumplimiento, fomentando esfuerzos continuos para fortalecer las prácticas de seguridad de datos .
Como ejemplo de cómo PCI DSS puede ayudar a construir (y reconstruir) la confianza del cliente, en 2012 Global Payments, una importante empresa de procesamiento de pagos, experimentó una violación de datos que resultó en acceso no autorizado a información confidencial de tarjetas de pago. La violación afectó a aproximadamente 1,5 millones de tarjetas de crédito y débito, lo que generó preocupaciones sobre la seguridad de las transacciones de pago. Global Payments tomó medidas inmediatas para contener la violación e inició una investigación para determinar el alcance del compromiso. Las agencias de aplicación de la ley, incluido el Departamento de Justicia de los Estados Unidos. El Servicio Secreto estuvo involucrado en la investigación.
En respuesta a la violación, Global Payments se comprometió a mejorar su infraestructura de seguridad e implementar medidas adicionales para prevenir incidentes similares en el futuro. La empresa también se comprometió a hacer de la consecución y el mantenimiento del cumplimiento de los requisitos PCI DSS una prioridad, lo que ayudó a asegurar a los clientes y las partes interesadas que Global Payments estaba tomando medidas concretas para proteger los datos de pago.
Al abordar de forma proactiva las vulnerabilidades de seguridad, invertir en medidas de seguridad mejoradas y lograr el cumplimiento de PCI DSS, Global Payments demostró su compromiso con la reconstrucción de la confianza. El compromiso de la empresa con la transparencia, la inversión en seguridad y el logro del cumplimiento de PCI DSS desempeñaron un papel fundamental para recuperar la confianza de los clientes y reconstruir su reputación en la industria del procesamiento de pagos.
La ejecución de los 12 requisitos de PCI DSS puede plantear múltiples desafíos para las organizaciones porque se necesitan recursos adecuados, tanto en términos de personal como de tecnología, para implementar y mantener el cumplimiento de PCI DSS. Las organizaciones de todos los tamaños pueden tener dificultades para definir y limitar con precisión el alcance de su implementación, pero esto es especialmente desafiante para las empresas más pequeñas con presupuestos y experiencia limitados, o para aquellas con sistemas heredados que deben actualizarse para cumplir con los estándares PCI DSS actuales. Las empresas a menudo dependen de proveedores externos para diversos elementos de la implementación, pero garantizar que estos proveedores cumplan con los requisitos de PCI DSS y proteger la cadena de suministro también es una responsabilidad importante.
Mantener el cumplimiento del PCI DSS es un proceso continuo y requiere monitoreo, pruebas y evaluaciones regulares. Esto requiere que las organizaciones se mantengan alerta y actualicen sus medidas de seguridad y políticas de gestión de parches periódicamente. Mantener el cumplimiento también implica un compromiso constante con la prueba regular de los sistemas y procesos de seguridad, incluyendo la realización de pruebas de penetración exhaustivas y evaluaciones de vulnerabilidad, que pueden consumir muchos recursos, presentar desafíos logísticos y agotar los recursos con el tiempo.
El panorama de la ciberseguridad está en constante evolución y periódicamente surgen amenazas nuevas y sofisticadas. El cumplimiento de PCI DSS requiere que las empresas monitoreen y analicen continuamente el panorama de amenazas para comprender y mantenerse a la vanguardia de estos riesgos. Identificar y mitigar vulnerabilidades de día cero también presenta un desafío importante para mantener el cumplimiento de PCI DSS, ya que estas vulnerabilidades son fallas de seguridad desconocidas que los actores de amenazas explotan antes de que los proveedores tengan la oportunidad de lanzar parches. La mejora continua y el compromiso de mantenerse informado sobre las últimas tendencias de seguridad son clave para afrontar con éxito los desafíos de mantenerse a la vanguardia de las amenazas emergentes y, al mismo tiempo, garantizar que el cumplimiento de PCI DSS se adapte a la naturaleza dinámica de las amenazas cibernéticas.
El panorama de la ciberseguridad está en constante evolución y periódicamente surgen amenazas nuevas y sofisticadas. El cumplimiento de PCI DSS requiere que las empresas monitoreen y analicen continuamente el panorama de amenazas para comprender y mantenerse a la vanguardia de estos riesgos. Identificar y mitigar vulnerabilidades de día cero también presenta un desafío importante para mantener el cumplimiento de PCI DSS, ya que estas vulnerabilidades son fallas de seguridad desconocidas que los actores de amenazas explotan antes de que los proveedores tengan la oportunidad de lanzar parches. La mejora continua y el compromiso de mantenerse informado sobre las últimas tendencias de seguridad son clave para afrontar con éxito los desafíos de mantenerse a la vanguardia de las amenazas emergentes y, al mismo tiempo, garantizar que el cumplimiento de PCI DSS se adapte a la naturaleza dinámica de las amenazas cibernéticas.
Visite el sitio web del PCI Security Standard Council para obtener la información más reciente sobre los requisitos de cumplimiento de PCI DSS, información sobre capacitación y calificación, y acceso a profesionales calificados de PCI. El sitio también ofrece una extensa biblioteca de recursos que incluye preguntas frecuentes, un glosario y una práctica guía de referencia rápida de PCI DSS.
El cumplimiento de PCI DSS es esencial para las organizaciones que manejan transacciones con tarjetas de crédito, ya que sus requisitos ayudan a garantizar la seguridad de los datos del titular de la tarjeta, la protección de las redes de transacciones y el monitoreo y las pruebas obligatorias de los sistemas de seguridad. F5 ofrece un conjunto de productos, servicios y soluciones de seguridad de aplicação para ayudar a su organización a lograr y mantener el cumplimiento de PCI DSS. Además, F5 Distributed Cloud Services cumple con la normativa PCI DSS como proveedor de servicios de nivel 1.
F5 también ofrece liderazgo intelectual sobre estrategias y conocimientos de protección y seguridad de aplicação a través de investigaciones, análisis, blogs e informes de F5 Labs .