Proceso de certificación PCI DSS: una guía completa

PCI DSS se aplica a los datos de tarjetas de pago. Se considera el estándar de oro para la protección de datos de autenticación confidenciales y, con la entrada en vigor de PCI DSS 4.0, los requisitos se han vuelto aún más estrictos.

La versión más reciente y robusta se desarrolló tras recibir numerosas aportaciones de la comunidad PCI, incluyendo más de 6,000 comentarios de 200 empresas y diversas encuestas. Esta actualización exhaustiva requiere un gran esfuerzo de familiarización e implementación.

Aquí tienes la guía completa sobre la certificación PCI DSS, que incluye los pasos para obtenerla, los costes implicados y mucho más.

¿Qué es la certificación PCI DSS?

La certificación PCI DSS es una validación formal del cumplimiento del estándar PCI DSS (Estándar de Seguridad de Datos para la Industria de Tarjetas de Pago), cuyo objetivo es proteger la información confidencial de los titulares de tarjetas, mantener un entorno seguro y prevenir el acceso no autorizado y el fraude financiero. Obtener un certificado de cumplimiento PCI demuestra que una organización cumple con los requisitos de seguridad del estándar, mientras que la acreditación PCI DSS indica un compromiso verificado con la protección de datos.

Para aquellas personas que deseen adquirir experiencia en este ámbito, también existen programas de certificación de capacitación en cumplimiento de PCI para ayudar a los equipos a comprender e implementar el estándar de manera efectiva.

La certificación PCI se obtiene al cumplir con los requisitos PCI establecidos por el Consejo de Estándares de Seguridad PCI ( PCI SSC ), que está compuesto por seis importantes marcas de pago: American Express, Discover, JCB, MasterCard y Visa Inc. Los 12 requisitos principales incluyen la instalación de cortafuegos, el cifrado de datos y más.

¿Por qué es necesaria la certificación PCI DSS? 

La certificación PCI DSS es necesaria para demostrar que su empresa puede gestionar datos confidenciales de titulares de tarjetas de forma segura y cumplir con los estándares del sector establecidos por el PCI SSC.

Su negocio siempre debe cumplir con la normativa, y si acepta marcas de tarjetas de crédito como American Express, JCB International, VISA y otras, debe validar su cumplimiento anualmente.

La obligación de cumplir con la norma PCI DSS recae sobre todas las empresas que recopilan, procesan y transmiten datos de tarjetas de crédito. Si usted acepta o procesa pagos con tarjeta de crédito como proveedor de servicios, debe cumplir con los requisitos de PCI DSS según su política de seguridad.

11 pasos para obtener la certificación PCI DSS

La obtención de la certificación PCI DSS por parte de evaluadores de seguridad cualificados externos (QSA, por sus siglas en inglés) se realiza siguiendo un proceso que abarca desde los 12 requisitos de certificación hasta la monitorización continua. Normalmente, a las empresas les lleva entre un día y unas pocas semanas obtener la certificación PCI, dependiendo de la complejidad de los pagos y del estado actual de la seguridad de la información.

Si te interesa lograr el cumplimiento de la normativa PCI, aquí tienes el proceso de 11 pasos para obtener la certificación de cumplimiento PCI DSS:

1. Familiarícese con los 12 requisitos de PCI DSS.

El proceso de certificación PCI DSS exige el cumplimiento de doce requisitos PCI DSS , que se distribuyen en seis objetivos necesarios para que cualquier empresa cumpla con los requisitos de cumplimiento de PCI.

Vea el vídeo para conocer los doce requisitos de PCI DSS según sus objetivos de control.

Por lo tanto, el primer paso es comprobar si se cumplen todos estos requisitos y evaluaciones de cumplimiento, y si es necesario tomar las medidas adicionales para implementarlos.

2. Identifique su nivel PCI (según las transacciones) 

Ahora que ya conoce suficientemente los doce requisitos de PCI DSS, el siguiente paso para obtener la certificación PCI DSS es identificar los requisitos de cumplimiento de PCI que le sean relevantes.

El Consejo PCI ha clasificado cuatro niveles de cumplimiento PCI , cada uno con requisitos diferentes. El nivel de cumplimiento PCI que se debe respetar depende principalmente del volumen de transacciones en línea que procesa anualmente su entorno en la nube.

Estos son los 4 niveles de cumplimiento de PCI que necesita conocer para dar el siguiente paso en el proceso de certificación de cumplimiento de PCI DSS:

• Nivel de cumplimiento 1: Transacciones por año > 6 millones
• Nivel de cumplimiento 2: Transacciones por año: de 1 millón a 6 millones
• Nivel de cumplimiento 3: Transacciones por año: de 20,000 a 1 millón
• Nivel de cumplimiento 4: Transacciones anuales < 20,000

Supongamos que su empresa alojada en la nube cumple con el nivel de cumplimiento 1. En ese caso, deberá contratar a un evaluador de seguridad certificado por PCI (QSA) para que realice una auditoría que verifique si su empresa cumple con el estándar de seguridad de datos PCI requerido. Como parte de sus procesos comerciales, también deberá presentar un informe de cumplimiento anual (ROC).

Por otro lado, si su empresa se encuentra dentro de los niveles de cumplimiento 2 y 3, debe completar un Cuestionario de Autoevaluación (SAQ) para certificar que su empresa ha implementado todas las medidas de seguridad requeridas por el Estándar de Seguridad de Datos PCI.

Para cualquier organización que se encuentre en el nivel de cumplimiento 4, se recomienda que complete el SAQ.

3. Comprender y documentar el flujo de datos de las tarjetas de pago.

Para proteger la información confidencial de las tarjetas de crédito, primero debe comprender dónde se almacenan y cómo se transmiten los datos de sus tarjetas de pago. Aquí es donde debe comenzar a crear un diagrama de flujo de datos que describa los sistemas de seguridad, el acceso físico a los recursos de la red y las aplicaciones que interactúan con los datos de las tarjetas de crédito en su empresa. Para mejorar esto, colabore con sus equipos de TI y seguridad. Identifique cada aspecto de su negocio que interactúa con el cliente y que está relacionado con las transacciones de pago.

Esto podría incluir carritos de compra en línea o pedidos telefónicos. Identifique las distintas rutas que siguen los datos del titular de la tarjeta dentro de su sistema. Es importante determinar dónde se almacenan los datos y quién tiene acceso a ellos para obtener la certificación PCI. Para comprender completamente el entorno CDE, necesitará diagramas relacionados con el flujo de datos, las redes y los procesos comerciales.

4. Realizar una evaluación de riesgos del entorno de pago.

Todas las empresas que utilizan servicios en la nube deben realizar una evaluación de riesgos detallada en su entorno de pagos para descubrir amenazas y vulnerabilidades y eliminar el riesgo de filtraciones de datos de tarjetas de crédito.

Para realizar una evaluación de riesgos:

• Identificar amenazas y vulnerabilidades a los datos de autenticación confidenciales, como software sin parchear, cortafuegos mal configurados, etc.
• Considere el riesgo involucrado, como la pérdida o el robo de datos, y la probabilidad y el impacto. 
• Verifique los controles ya existentes y decida la gravedad del riesgo considerando todos los factores.

También puede aprovechar las evaluaciones de riesgos integradas de una plataforma GRC autónoma como Sprinto. Su completa biblioteca de riesgos le ayuda a identificar los riesgos específicos de su negocio, y la plataforma los califica automáticamente según su probabilidad e impacto, sin necesidad de intervención manual.

5. Realizar un análisis de brechas de los controles 

Ahora, debe revisar los requisitos de PCI DSS y los controles faltantes para descubrir posibles deficiencias en el cumplimiento y formular un plan de remediación para subsanarlas de inmediato.

Para este paso, puede considerar contratar a un QSA de PCI para garantizar que se realice un análisis de brechas adecuado y se revise para eliminar errores. Por lo general, un experto realiza un análisis de brechas de PCI que examina sus procesos de datos críticos y su configuración tecnológica para determinar los controles PCI necesarios . Normalmente, este análisis tarda entre 5 y 7 días.

Si integras tu conjunto de tecnologías con Sprinto, el enfoque basado en la automatización puede ayudarte a detectar deficiencias en 1 o 2 sesiones.

6. Implementar los controles de seguridad adecuados.

A continuación, examine sus controles y protocolos de seguridad. Una vez que haya identificado dónde podrían accederse los datos de tarjetas de crédito en su empresa y cuáles son los riesgos y las vulnerabilidades, colabore con sus equipos de TI y seguridad para definir los controles adecuados. El objetivo es establecer la configuración y los protocolos de seguridad correctos, como el protocolo TLS (Transport Layer Security), para una transmisión segura de datos.

Las sesiones de implementación guiadas de Sprinto pueden ayudar a priorizar la lista de controles en función del entorno de datos del titular de la tarjeta y agilizar el proceso.

7. Realice escaneos trimestrales de su postura.

La norma PCI DSS exige análisis de vulnerabilidades internos y externos de los componentes de red y los servidores para identificar cualquier vulnerabilidad. Para cumplir con este requisito, debe trabajar con un proveedor de análisis autorizado (ASV) para garantizar que sus análisis sean fiables y cumplan con las directrices de PCI.

Estos proveedores realizan auditorías externas utilizando herramientas de seguridad aprobadas para detectar riesgos o vulnerabilidades en su sistema. Una vez identificadas las debilidades, se corrigen para reducir las posibilidades de acceso de hackers. Realizar estos análisis cada trimestre, o aproximadamente cada 90 días, mantiene sus sistemas seguros.

Puedes aprovechar la red verificada de QSA, socios VAPT y ASV de Sprinto para agilizar el proceso.

8. Garantice el cumplimiento continuo para su tranquilidad.

Recuerda que el cumplimiento de la normativa PCI no es algo que se hace una sola vez. Es un proceso continuo para que tu negocio siga cumpliendo con la normativa a medida que cambian las cosas. Algunas marcas de tarjetas de pago podrían exigirte que envíes informes periódicamente, sobre todo si procesas un gran volumen de transacciones con tarjeta. 

Para ello, necesitará un mecanismo de monitorización continua que garantice un control exhaustivo. Aquí es donde entra en juego Sprinto . Incorpora monitorización continua de controles y realiza comprobaciones automatizadas para asegurar que el cumplimiento normativo se mantenga siempre. Puede utilizar el panel de control para obtener una visión general en tiempo real del estado de los controles en cualquier momento y evaluar su cumplimiento con los requisitos.

9. Complete el cuestionario de autoevaluación de PCI y certifique que...

El siguiente paso es completar el Cuestionario de Autoevaluación (SAQ) de PCI y obtener su revisión y certificación. Las empresas más grandes suelen contratar a un evaluador de seguridad cualificado (QSA) para que les ayude a evaluar con precisión su cumplimiento. Puede encontrar el SAQ para PCI DSS 4.0 en la biblioteca de documentos del Consejo de Estándares de Seguridad de PCI.

10. Realizar una auditoría interna de PCI DSS.

Antes de proceder a una auditoría formal, realice una auditoría interna de PCI DSS . Esta auditoría le ayudará a comprobar si está cumpliendo con las normas PCI DSS.

Puedes dejar que tus propios expertos lo hagan o contratar a un auditor externo. Analiza la eficacia de tus medidas de seguridad, revisa tus documentos e identifica cualquier incumplimiento de las normas.

Auditorías internas aceleradas con Sprinto

Con Sprinto, puede optimizar su proceso de auditoría interna estableciendo un plazo y acelerando su preparación para el cumplimiento de PCI DSS 1. Nuestra plataforma le ayuda a alcanzar más del 90 % de preparación en cuestión de semanas, en lugar de meses. Si la auditoría detecta problemas, asegúrese de solucionarlos antes de continuar con el siguiente paso.

11. Obtenga una auditoría para la certificación PCI DSS.

Obtener la certificación PCI DSS es importante, pero solo los Evaluadores de Seguridad Calificados (QSA) externos pueden realizar auditorías oficiales. Los QSA son expertos en seguridad de datos certificados por el Consejo PCI DSS. Una vez que haya elegido a su QSA y definido qué evaluará, este investigará diversas áreas de su organización.

Analizarán cómo ha configurado los controles de seguridad para cumplir con los 12 requisitos aplicables a la norma PCI DSS. Su principal función es detectar posibles vulnerabilidades en los datos de los titulares de tarjetas, no sancionar a su organización. 

El QSA evaluará su entorno de datos de titulares de tarjetas, incluyendo dispositivos, redes públicas y aplicaciones que manejan información de titulares de tarjetas. También revisará sus requisitos generales de seguridad, incluyendo políticas y procedimientos.

Una vez finalizada la auditoría, elaborarán y presentarán un informe anual detallado. Sprinto simplifica la auditoría externa con la recopilación automatizada de pruebas. Solo necesita integrar su plataforma en la nube con Sprinto y cargar las pruebas mediante capturas de pantalla. Si falta algún dato, el sistema enviará alertas al administrador de inmediato.

El día de la auditoría, simplemente puede mostrar el panel de control de auditoría, donde toda la evidencia está disponible en un solo lugar, en lugar de tener que ir y venir entre diferentes pantallas.

Beneficios de obtener la certificación PCI DSS

Por supuesto, PCI DSS proporciona un nivel básico de seguridad para la gran cantidad de datos de clientes que usted maneja. Pero además de eso, aquí le presentamos algunos de los beneficios que recibirá, directa o indirectamente, al cumplir con la normativa PCI.

1. Previene violaciones de datos

Las filtraciones de datos son muy frecuentes hoy en día, tanto en grandes como en pequeñas empresas. Prevenir estas filtraciones es el objetivo principal de la norma PCI-DSS. Sus requisitos garantizan que se cuente con todo lo necesario para evitar una filtración importante.

2. Aumenta la confianza del cliente.

¿Apoyarías a una empresa si creyeras que podrían robarte los datos de tu tarjeta de crédito? La mayoría no lo haría. Si bien los clientes aún necesitan comprender completamente los detalles del cumplimiento normativo, cada vez son más conscientes del problema debido a las filtraciones de datos que han aparecido en las noticias.

Los clientes consideran que el cumplimiento de la normativa PCI es una señal de que su empresa sigue las mejores prácticas. La confianza del cliente tiene un gran impacto en su marca y sus beneficios. Quienes no confían en que usted proteja sus datos son menos propensos a gastar dinero. 

De hecho, dos tercios de los adultos estadounidenses no volverían a un negocio después de una filtración de datos.

3. Evitar pagar multas 

A diferencia del RGPD, donde las multas son únicas, las penalizaciones de PCI DSS se acumulan mensualmente hasta que se cumpla con la normativa. Estas penalizaciones mensuales pueden acumularse rápidamente o forzar un cumplimiento precipitado.

Todo el proceso es costoso y puede llevarte a la quiebra. 

4. Mejora la trayectoria de tu negocio.

Los ciberdelincuentes ven las redes corporativas de terceros como posibles puntos de entrada, por lo que las empresas están verificando la seguridad de sus proveedores y socios. A menudo exigen medidas de seguridad rigurosas antes de asociarse con una organización.

Cumplir con la normativa PCI es una gran ventaja. Puede multiplicar por diez tus posibilidades de establecer relaciones comerciales. Muchas empresas exigen el cumplimiento de la normativa PCI como condición para asociarse con ellas.

¿Cuánto tiempo tarda la certificación PCI DSS?

Obtener la certificación PCI DSS puede llevar desde un día hasta dos semanas. Todo depende del tiempo que se tarde en completar el cuestionario de autoevaluación y superar el escaneo PCI. 

Una vez superadas ambas pruebas, los resultados se envían a su banco comercial, que a su vez los comparte con la industria de procesamiento de tarjetas de pago para confirmar el cumplimiento.

Sin embargo, este es el tiempo que se tarda una vez que se está listo para la certificación. Si se opta por el método manual, el tiempo necesario para implementar los controles y lograr la preparación puede ser de meses. Puede utilizar la calculadora de esfuerzo de cumplimiento para comprender mejor esto.

Necesitas herramientas automatizadas para agilizar el proceso. Sprinto te ayuda a prepararte para la auditoría PCI en cuestión de semanas gracias a flujos de trabajo optimizados, comprobaciones automatizadas integradas y mucho más.

¿Cuánto cuesta la certificación PCI DSS?

El coste de la certificación PCI DSS para una organización pequeña podría oscilar entre 5,000 y 20,000 dólares, mientras que para una organización grande podría estar entre 50,000 y 200,000 dólares.

El coste de la certificación PCI DSS depende de varios factores, desde el tamaño de la empresa hasta los requisitos de recertificación anuales. Si desea conocer el coste real del cumplimiento de la norma PCI DSS, Sprinto le ofrece un recurso gratuito.

La calculadora de costos de Sprinto está diseñada para ayudarte a presupuestar los costos de cumplimiento con suficiente antelación a la auditoría. De esta manera, puedes reservar el presupuesto y los recursos necesarios antes de comenzar el proceso de cumplimiento.

Consulta nuestra calculadora de costes aquí.

Factores que influyen en el coste de la certificación PCI DSS

Tamaño del negocio	Las empresas más grandes suelen tener sistemas y procesos más complejos, lo que puede resultar en mayores costos de certificación.
Alcance del cumplimiento	Cuantos más sistemas, redes y procesos deban evaluarse para verificar su cumplimiento, mayores serán los costos de certificación.
Nivel de cumplimiento	Lograr mayores niveles de cumplimiento puede requerir recursos internos e inversión adicionales, lo que conlleva mayores costos de certificación.
Asistencia externa	Algunas empresas pueden necesitar contratar consultores o auditores externos para que les ayuden con el proceso de certificación, lo que puede aumentar el coste total.
Esfuerzos de remediación	Si es necesario abordar las deficiencias en el cumplimiento, el costo de las medidas correctivas puede aumentar el costo total de la certificación.
Recertificación	La certificación debe renovarse periódicamente, por lo que las empresas deben tener en cuenta los costes continuos de recertificación.

¿Cómo demuestra usted la certificación PCI DSS a sus clientes?

Una vez que obtenga su certificación PCI-DSS, es importante que sus clientes lo sepan. La Declaración de Cumplimiento (AOC) y el Informe de Cumplimiento (ROC) son prueba de que está certificado, así que asegúrese de compartir esa información con ellos.

Por ejemplo, Sprinto ofrece una función de centro de confianza . Puedes usarla para demostrar tu compromiso con los más altos estándares de seguridad, de modo que tus clientes tengan la tranquilidad de confiarte sus datos.

Regístrate en Sprinto, crea tu perfil de seguridad y configura los ajustes de acceso para que sea público o privado. Comparte solo información relevante sobre tus prácticas de seguridad y personaliza tu perfil según tus necesidades.

Vea este video para aprender cómo puede compartir en tiempo real el estado de cumplimiento y la postura de seguridad con sus clientes:

Prepárate para la certificación PCI DSS con Sprinto.

Proteger los datos de los titulares de tarjetas de crédito es un desafío universal para las empresas que manejan tarjetas de crédito. Implementar los estándares PCI es una decisión acertada. Evitar o no cumplir con los estándares PCI DSS puede generar problemas.

PCI DSS es la mejor manera de proteger sus datos y resulta más rentable que arriesgarse a una filtración. Es ahí donde entra Sprinto, que ofrece funciones innovadoras para que su empresa cumpla rápidamente con la normativa.

Además de recopilar evidencia y realizar un monitoreo continuo, Sprinto facilita la gestión de riesgos y auditorías internas eficientes. Si desea obtener más información, comuníquese con nuestros expertos para una llamada personalizada.

Preguntas Frecuentes