6 objetivos de cumplimiento de PCI DSS que debes conocer 

Según un estudio de Pew Internet, un centro de investigación estadounidense, un impresionante 79% de los usuarios se muestran cautelosos respecto al uso que las empresas hacen de su información en línea. Además, el 59% desconoce qué sucede con sus datos una vez recopilados.

Aquí es donde entra en juego el Estándar de Seguridad de Datos de la Industria de Tarjetas de Pago, también conocido como PCI DSS. Este término es muy conocido en la industria del procesamiento de tarjetas de crédito, pero ¿cuáles son los objetivos del cumplimiento de PCI DSS y por qué debería importarle?

En este artículo se analizarán los seis objetivos de cumplimiento de PCI DSS y cómo benefician a su organización.

Vamos a bucear en ...

¿Qué es PCI DSS?

PCI DSS es un conjunto de estándares de seguridad desarrollados por MasterCard, Visa, Discover, JCB International y American Express, y regulados por el PCI SSC (Payment Card Industry Security Standards Council). 

Esta normativa se estableció para proteger las transacciones con tarjetas de crédito y débito contra el robo de datos y el fraude. Los miembros fundadores de esta organización tienen voz y voto en su gestión y en las tareas que se realizan.

Como estándar, implementa las medidas de seguridad mínimas necesarias para evitar que los datos de los titulares de tarjetas caigan en manos equivocadas. Este estándar implica que cualquier entidad que almacene, procese y transmita datos de titulares de tarjetas debe validar el cumplimiento de la norma PCI-DSS. 

Por lo tanto, como empresa de SaaS, debe cumplir diligentemente con los estándares PCI DSS para estar mejor preparado en caso de una violación de seguridad o costosos litigios en el futuro. 

El PCI SSC no tiene autorización legal para obligar a nadie a cumplir con la normativa, pero las empresas que deseen procesar transacciones con tarjetas de crédito o débito deben cumplir con sus requisitos.

La mejor manera de proteger los datos e información confidenciales es mediante la certificación PCI . Esto le ayudará a construir relaciones de confianza y duraderas con sus clientes.

¿Cuál es el propósito de PCI DSS?

El objetivo de PCI DSS (Estándar de Seguridad de Datos para la Industria de Tarjetas de Pago) es garantizar que las empresas protejan los datos de los titulares de tarjetas y aseguren las transacciones con tarjetas de crédito y débito contra robos, fraudes y filtraciones de datos. Establece un conjunto básico de requisitos de seguridad que todas las organizaciones que manejan información de tarjetas de pago deben cumplir.

Los objetivos clave incluyen:

• Garantizar la seguridad de los datos de los titulares de tarjetas dondequiera que se almacenen, procesen o transmitan.
• Prevenir el acceso no autorizado, el pirateo informático o el uso indebido de datos confidenciales.
• Reduciendo el riesgo de costosas filtraciones de datos y el fraude tanto para las empresas como para los consumidores.
• Estandarizar las prácticas globales para que todos los comerciantes y proveedores de servicios cumplan con el mismo nivel de protección.

En resumen, la norma PCI DSS existe para generar confianza en el ecosistema de pagos, garantizando que todas las empresas que aceptan, procesan o almacenan pagos con tarjeta sigan prácticas de seguridad estrictas y coherentes.

¿Cuál es el objetivo del cumplimiento de la norma PCI DSS?

Los objetivos de PCI DSS garantizan la protección de los datos del titular de la tarjeta, independientemente de dónde se transmitan, procesen o almacenen. Los 12 controles y procesos de seguridad que exige PCI DSS son fundamentales para proteger los datos de la cuenta del titular, incluido el PAN (número de cuenta principal impreso en la tarjeta de pago).

Sin embargo, antes de cumplir con la normativa PCI DSS, es necesario comprender los 6 objetivos principales de cumplimiento. 

Establezca una red segura

El objetivo principal de PCI DSS es establecer y mantener una red segura. Para ello, es fundamental configurar y mantener correctamente un firewall. Los firewalls protegen el sistema analizando el tráfico entrante y asegurándose de que cumpla con ciertas reglas. Es importante estar al tanto de estas reglas y actualizarlas cada seis meses; de esta manera, se garantiza la seguridad de la red. 

Por ejemplo , si hay puertos o servicios abiertos que se ejecutan sin una razón comercial clara, deben desactivarse de inmediato. Estas vulnerabilidades pueden dejar expuestas rápidamente incluso las redes mejor protegidas.

Garantizar la seguridad de los sistemas de su empresa requiere diligencia, pero con una combinación de cortafuegos y mantenimiento continuo, puede protegerse contra piratas informáticos maliciosos y el robo de datos. 

Además, no utilice contraseñas predeterminadas proporcionadas por el proveedor. Los ciberdelincuentes tendrán acceso a ellas fácilmente en poco tiempo. Por lo tanto, debe cambiarlas y desactivarlas para evitar la explotación de las redes internas y la filtración de datos. Asimismo, elimine todos los servicios no documentados para garantizar la seguridad de la red interna.

Proteja los datos de los titulares de tarjetas a toda costa.

Si bien es necesario procesar y utilizar los datos de los titulares de tarjetas, también es fundamental almacenarlos de forma segura. Se deben tomar ciertas medidas para proteger los datos almacenados de los titulares de tarjetas y prevenir posibles usos indebidos y robos. 

En su nivel más básico, esto significa eliminar el almacenamiento de datos de titulares de tarjetas siempre que sea posible: si no los necesita, no los guarde. Pero cuando el almacenamiento no sea una opción, debe asegurarse de mantener solo la cantidad mínima de datos de titulares de tarjetas necesaria para fines legales o comerciales. 

Esto puede incluir cosas como el nombre del cliente y la dirección de facturación, pero nunca información que pueda comprometer la integridad de una transacción, como los Datos de Autenticación Sensibles (SAD, por sus siglas en inglés). 

Asimismo, se pueden almacenar los datos del titular de la tarjeta si es necesario, pero estos deben ser ilegibles. Dichos datos pueden incluir el número de cuenta principal, el nombre del titular y la fecha de vencimiento.

Por ejemplo , al procesar un pago a través de un sistema POS, tanto la banda magnética como el chip EMV deben excluirse de la información almacenada, junto con cualquier código de verificación de crédito (CVV) y número de identificación personal (PIN/bloque de PIN).

Además, debes cifrar la transmisión de datos de los titulares de tarjetas cuando los compartas en redes públicas abiertas. Asegúrate de que el cifrado que uses cuente con criptografía robusta para evitar que personas malintencionadas accedan a la información.

Establecer un programa de gestión de vulnerabilidades

Para defenderse adecuadamente de las ciberamenazas, el siguiente objetivo es mantener un programa sólido de gestión de vulnerabilidades que incluya software o programas antivirus y otras medidas de protección para salvaguardar los datos de los titulares de tarjetas. 

Los programas antivirus deben actualizarse periódicamente, configurarse para realizar análisis periódicos y generar registros de auditoría; es importante destacar que los usuarios finales no deben tener la posibilidad de desactivarlos sin la autorización de la gerencia. 

Además, todos los sistemas deben ser analizados periódicamente en busca de malware y actualizados con los últimos parches de seguridad. Por ejemplo , esto puede incluir garantizar que el intercambio de archivos P2P se supervise o se desactive por completo.

Además, es fundamental actualizar y proteger constantemente sus sistemas y aplicaciones. Capacite periódicamente a sus desarrolladores para que identifiquen las vulnerabilidades recién descubiertas, evaluando el riesgo que representan, y para que las codifiquen correctamente, evitando así errores comunes en el desarrollo de software en el futuro. 

Tenemos un recurso gratuito para ti si quieres comprobar cómo funciona el enfoque de evaluación de riesgos:

Algunas de las vulnerabilidades comunes incluyen, entre otras: 

• Cross-site scripting
• Falsificación de solicitudes entre sitios
• El buffer se desborda 

Las aplicaciones web de acceso público deben ser analizadas con herramientas o métodos especializados (pruebas de penetración) y utilizando un cortafuegos para aplicaciones web.

Consulta también: Cómo obtener la certificación de cumplimiento de PCI

Implementar medidas de control de acceso sólidas

Algunas medidas, como el control de acceso, son esenciales para una seguridad digital sólida. Al fin y al cabo, es mucho menos probable que se produzca una filtración de los valiosos datos de los titulares de tarjetas cuando solo las personas autorizadas tienen acceso. 

Afortunadamente, los sistemas de control de acceso son cada vez más sofisticados y fiables. Un ejemplo clave se basa en el principio de "necesidad de saber", que limita el acceso de los usuarios a la información estrictamente necesaria para el desempeño de sus funciones. 

Esto significa que los administradores solo otorgan a los empleados privilegios de acceso sobre las áreas necesarias para que realicen su trabajo correctamente, garantizando así que no se exponga información innecesariamente. En cuanto a los componentes del sistema, las empresas siempre deben configurar ajustes predeterminados de "denegar todo" para una autorización granular que proteja los activos principales. Otras medidas contempladas en los objetivos de PCI incluyen: 

• Todos los usuarios deben autenticarse para acceder a los componentes del sistema mediante un identificador único. De esta forma, se puede responsabilizar a las personas por sus acciones. 
• Las contraseñas deben tener al menos siete caracteres. con una combinación de letras y números.
• Implementa la autenticación multifactor (MFA), que requiere una segunda capa de autenticación y una contraseña. Esto generalmente se logra mediante un código enviado a otro dispositivo, como tu teléfono, llavero/tarjeta inteligente o escaneo biométrico.

Supervisar y probar continuamente las redes.

Mantener la seguridad de las redes y los datos depende fundamentalmente de una monitorización y unas pruebas adecuadas. Para ello, es importante rastrear y monitorizar el acceso a cualquier recurso de red o dato del titular de la tarjeta. 

Garantizar la existencia de sistemas de registro para todos los sistemas necesarios puede ayudar a vincular cualquier actividad sospechosa con la cuenta correspondiente. Se recomienda conservar los registros durante al menos un año, con tres meses disponibles rápidamente en caso de necesidad. 

Además, se deben iniciar procesos de copia de seguridad periódicos en un servidor centralizado para que cualquier alteración o eliminación de la información de registro pueda identificarse rápidamente. 

Por ejemplo , lo más recomendable es revisar los registros diariamente y abordar cualquier anomalía de inmediato; de esta manera, cualquier intento de intrusión se detecta y se neutraliza antes de que cause demasiados problemas.

También debería probar periódicamente los sistemas y procesos de seguridad, incluidas las pruebas de penetración y los análisis de vulnerabilidades internas y externas.

Este trabajo contribuirá a garantizar la seguridad de la red frente a vulnerabilidades recién descubiertas. Además, las entidades deben analizar el entorno del titular de la tarjeta en busca de puntos de acceso no autorizados mediante métodos manuales o automatizados; los sistemas de detección de intrusiones también deben generar alertas cuando se produzcan cambios inesperados.

Lea también: Niveles de PCI DSS

Mantener una política de seguridad de la información.

Desarrollar una política de seguridad de la información eficaz es fundamental para garantizar la protección de los datos de los titulares de tarjetas. Esta política debe especificar qué empleados pueden usar qué dispositivos y con qué propósito. Además, debe indicar en qué lugares se pueden usar estos dispositivos como medida de precaución adicional.

Por ejemplo , permitir que sus empleados accedan a ciertos datos financieros desde fuera de la oficina podría provocar graves fallos en la seguridad de la información, así que asegúrese de establecer parámetros sobre dónde y cuándo se permite el uso de dispositivos propiedad de los empleados.

También deberá definir políticas de uso aceptable que aborden las directrices y expectativas de privacidad al utilizar la red y los equipos informáticos de la entidad. La capacitación periódica del personal puede ayudar a reforzar estas políticas y mantener a todos al día sobre cualquier cambio o novedad relacionada con la seguridad de la información.

Además, es importante contar con un plan de respuesta ante incidentes de seguridad y filtraciones de datos. Este plan generalmente incluye la notificación a las marcas de tarjetas, planes de continuidad y el almacenamiento de copias de seguridad de sus datos. Asimismo, asegúrese de cumplir con las normas establecidas por su gobierno local con respecto a los comunicados públicos sobre el incidente.

Consulta también: Segmentación de red PCI DSS

¿Y ahora qué sigue?

Mantenerse al día con la normativa PCI DSS puede resultar agotador. Con cientos de controles y verificaciones que implementar, monitorear y rastrear, controlar los problemas de seguridad a medida que la empresa crece no es tarea fácil.

Aquí es donde entra en juego Sprinto: una plataforma de cumplimiento automatizada que le permite ponerse en marcha de inmediato y garantizar que su negocio cumpla con todos los estándares necesarios. 

No solo simplifica la implementación y el seguimiento de los numerosos controles, sino que incluso destaca las áreas de mejora; así, si algo no funciona correctamente, puedes intervenir rápidamente y solucionarlo. 

Entre otras funciones, como las alertas automáticas sobre amenazas o la información en tiempo real sobre los hitos de cumplimiento alcanzados, Sprinto también ofrece una función única de monitorización continua que analiza cada entidad dentro de su organización para garantizar el cumplimiento total de la norma PCI DSS, ¡para que siempre esté protegido! 

En Sprinto, nuestra misión es clara: brindarle tranquilidad en materia de seguridad para que pueda concentrarse en el crecimiento de su empresa. ¡ Solicite una demostración ahora!

Preguntas Frecuentes 

¿Cuántos objetivos PCI DSS existen?

Según la norma PCI DSS, los seis objetivos principales se subdividen en 12 subgrupos. Estos objetivos y requisitos son fundamentales para proteger los datos de los titulares de tarjetas.

¿Cuáles son los cinco objetivos de la seguridad?

Los cinco objetivos de seguridad son los siguientes: protección de la confidencialidad, disponibilidad, integridad, autenticidad y no repudio de los datos del usuario.