Cómo The Boxoffice Company superó con éxito su auditoría PCI DSS con Sprinto.
The Boxoffice Company, con más de 200 empleados en Francia, Escocia, Canadá, México y Estados Unidos, es un proveedor líder de medios, tecnología y datos para la industria cinematográfica global. Su red de marcas de medios llega a millones de cinéfilos en Estados Unidos, Europa y Latinoamérica. La organización ofrece una gama de productos, que incluye sitios web, aplicaciones móviles, CRM y soluciones de venta de entradas en línea, para ayudar a plataformas de descubrimiento, estudios y exhibidores de todo el mundo a conectar directamente con los espectadores y aficionados.
– Suttle marino
Director General, The Boxoffice Company
– Suttle marino
Director General, The Boxoffice Company
Introducción
The Boxoffice Company es un proveedor de soluciones de datos de marca blanca para la industria cinematográfica, con más de 200 empleados en Francia, Escocia, Canadá, México y Estados Unidos, y sus productos abarcan sitios web, aplicaciones móviles, CRM y venta de entradas en línea, conectando plataformas de descubrimiento, estudios y exhibidores directamente con los cinéfilos y fanáticos.
Dado que los datos de pago se procesan a través de estos productos de venta de entradas, la demanda de los clientes de una Declaración de Cumplimiento (AoC) con PCI-DSS fue el impulso inicial para lograr dicho cumplimiento. Marine Suttle, Directora General de The Boxoffice Company, lideró el esfuerzo para obtener la certificación PCI-DSS.
Lo que necesitaba era un socio de cumplimiento normativo que pudiera definir el alcance del cumplimiento de la norma PCI-DSS, implementar y supervisar los controles, y minimizar la carga de trabajo interna, todo ello manteniendo las operaciones globales en funcionamiento sin interrupciones.
El problema
Marine identificó la falta de experiencia como el primero de los dos grandes desafíos para completar este proyecto: si bien los ingenieros de The Boxoffice Company gestionaban las medidas de seguridad informáticas, no tenían experiencia con las tareas tácticas y administrativas del cumplimiento normativo, lo que generaba incertidumbre y estrés sobre qué priorizar para una auditoría exitosa.
Marine comenta: “Afrontar el programa PCI DSS fue como ir de acampada por primera vez. No teníamos ni idea de qué hacer ni qué llevar, lo cual fue bastante estresante. Necesitábamos a alguien que nos guiara durante el proceso”.
El segundo desafío surgió tras revisar el sitio web de PCI-DSS, a menudo el primer lugar al que acuden los principiantes, donde The Boxoffice Company se percató de que la complejidad de mantener el cumplimiento y la documentación podía descontrolarse fácilmente, consumir mucho tiempo en investigación y documentación, e interrumpir las operaciones diarias. Para evitarlo, la empresa buscó un socio que pudiera proporcionar pasos concretos, experiencia técnica y comunicación abierta.
La Solución
Boxoffice Company eligió Sprinto después de que sus consultores de soluciones le presentaran un camino claro hacia el cumplimiento de la normativa PCI-DSS dentro de los plazos establecidos por la empresa y con una mínima interrupción para los equipos globales, una decisión reforzada por la asequibilidad y las características competitivas de Sprinto.
Ese proceso comenzó con una definición guiada del alcance de PCI-DSS para dimensionar correctamente los requisitos de auditoría de Nivel 1, y luego pasó a la implementación de la plataforma y el programa de seguridad basados en hitos, la integración del control a nivel de activos, el seguimiento automatizado y las tareas con plazos definidos para mantener la preparación para la auditoría a tiempo.
“Sprinto desglosó el proceso en pasos alcanzables y prácticos, indicándonos qué hacer y quién podía hacerlo, mostrándonos cómo podíamos lograr el cumplimiento de PCI-DSS sin personal dedicado a tiempo completo. La plataforma se encargaría del trabajo pesado, con la guía de nuestro gestor de cuenta. Esto nos dio mucha tranquilidad, sobre todo porque significaba que no tendríamos que leer miles de páginas sobre las directrices de PCI”, reflexiona Marine.
Boxoffice Company incorporó rápidamente a Sprinto, y un equipo especializado se puso a trabajar para determinar qué actividades estaban sujetas a la normativa PCI-DSS.
Posteriormente, The Boxoffice Company integró activos e infraestructura en la nube en diferentes ubicaciones geográficas y equipos para una supervisión de control centralizada y automatizada, e implementó capacitación en seguridad para empleados y un programa de divulgación de vulnerabilidades, incorporando proveedores verificados por Sprinto para ASV y VAPT y actualizando sus políticas para reflejar las medidas ahora implementadas, cada una de las cuales es clave para la auditoría PCI-DSS.
Esta fase inicial duró alrededor de 6 semanas y, partiendo de un nivel de preparación PCI de aproximadamente el 30%, permitió a The Boxoffice Company alcanzar el 50% del cumplimiento de la norma PCI-DSS en el panel de control unificado de Sprinto.
A partir de ahí, el equipo de cumplimiento de The Boxoffice Company se centró en corregir los controles y supervisarlos hasta la auditoría final de PCI-DSS, utilizando las alertas y correos electrónicos en tiempo real de Sprinto para detectar cualquier fallo o vulnerabilidad en los controles. The Boxoffice Company también creó un «comité PCI» integrado por representantes de los equipos legales, de recursos humanos, de ingeniería y de operaciones para garantizar el mantenimiento de los controles y la preparación para la auditoría, un enfoque novedoso para un mandato sin precedentes.
Marine comenta: “Se necesita la colaboración de todos para lograr el cumplimiento normativo. Con nuestro equipo distribuido en distintas zonas horarias, Sprinto nos ayudó a definir tareas y plazos claros, manteniendo a todos comprometidos y responsables de su parte”. En pocas semanas, The Boxoffice Company alcanzó un 98 % de cumplimiento de los controles PCI-DSS en el panel de control de Sprinto y estaba lista para su auditoría de nivel 1.
Generar impacto
La auditoría PCI-DSS de The Boxoffice Company fue impecable, en el mejor sentido de la palabra. La evidencia se recopiló automáticamente, se vinculó claramente con los requisitos de control PCI y fue revisada previamente por los expertos internos de Sprinto, lo que dio como resultado una auditoría rápida e impecable con pocas preguntas para The Boxoffice Company.
“La auditoría PCI fue muy fácil y rápida. Sprinto lo prepara todo con antelación y los auditores tienen su propio panel de control para revisar las pruebas. Simplemente revisaron la lista, vieron todas las marcas de verificación verdes y listo”, explica Marine.
Más allá de la auditoría en sí, The Boxoffice Company optimizó sus operaciones de seguridad al detectar ineficiencias en el sistema Sprinto, corregirlas y estandarizarlas. Un ejemplo claro son los aspectos relacionados con el personal: con más de 200 empleados distribuidos en 9 zonas horarias, The Boxoffice Company contaba con un proceso de incorporación fragmentado, y la auditoría logró armonizarlo, alineando las operaciones con las mejores prácticas de seguridad en todos los ámbitos.
Marine comenta: “Nuestros sistemas de recursos humanos son diferentes en cada territorio y no existe un sistema centralizado. En el Reino Unido usamos SageHR, en Estados Unidos ADP TotalSource, y así sucesivamente. Sprinto nos ayudó a optimizar el proceso de incorporación, ya que ahora, cada vez que llega un nuevo empleado, se le añade a Sprinto y el proceso de seguridad se realiza sin problemas”.
Utilizando el mecanismo de Sprinto para la formación en seguridad, la gestión de dispositivos del personal y la confirmación de políticas, The Boxoffice Company introdujo una capa de cumplimiento normativo sobre sus procesos operativos estándar y específicos de cada región: estándares de TI actualizados y uniformes tanto para la privacidad como para la seguridad, esenciales para demostrar el cumplimiento de la norma PCI DSS.
Actualmente, The Boxoffice Company supervisa los controles PCI-DSS y GDPR en Sprinto, y el cumplimiento normativo se integra de forma natural en las operaciones de la organización, lo que permite a The Boxoffice Company obtener grandes beneficios y mantener los negocios que ha conseguido. Marine añade: «Sprinto nos ayuda a ser honestos. Sprinto nos alerta sobre todo, ya sean escaneos omitidos en un portátil de un empleado sin protección o una nueva vulnerabilidad de código. Incluso después de la auditoría PCI, Sprinto nos ayuda a mantener la certificación».
¿Tienes preguntas? ¡Habla con nuestros expertos!
Medios de comunicación, tecnología y datos para la industria cinematográfica mundial.
200+
Francia, Escocia, Canadá, México, EE. UU., UE
