¿Qué es PCI DSS?
El Estándar de Seguridad de la Información para la Industria de las Tarjetas de Pago (PCI DSS por sus siglas en inglés) es el conjunto de requisitos diseñado para asegurar que toda empresa que procese, almacene o transmita información de tarjetas de crédito lo haga en un entorno seguro. Los requisitos se establecieron para ayudar a prevenir las filtraciones de datos de pago y el fraude con tarjetas de pago.
Los estándares PCI abarcan tanto las soluciones técnicas como las prácticas y los procesos operativos incluidos o relacionados con los sistemas que procesen datos de titulares de tarjetas de pago.
El Consejo de Estándares de Seguridad de PCI (PCI SSC, por sus siglas en inglés) es un organismo independiente que administra y gestiona este estándar. Está formado por las principales empresas de pago, como Visa, MasterCard, American Express, Discover y JCB. Sin embargo, exigir el Cumplimiento de PCI DSS es responsabilidad de las marcas de pago individualmente.
El Consejo proporciona estándares exhaustivos y presta asistencia para ayudar a proteger la información sensible de los titulares de tarjetas. PCI DSS es el marco que las organizaciones de la industria de los pagos pueden utilizar para desarrollar y mantener un proceso de Seguridad de la Información que incluya la prevención, detección y respuesta adecuada a posibles incidentes de Seguridad.
¿Qué incluyen los estándares de Seguridad PCI DSS?
PCI DSS incluye 12 requisitos de Cumplimiento diseñados para proteger y asegurar los datos de los titulares de tarjetas. Los equipos de IT tienen el reto de abordar cada uno de ellos en su entorno único, para lo cual recurren a soluciones de Seguridad en capas o a una suite de soluciones de Seguridad de datos.
Los 12 requisitos de PCI DSS son:
- Instalar y mantener una configuración de firewall para proteger los datos de los titulares de tarjetas.
- No utilizar los valores predeterminados suministrados por el proveedor en las contraseñas del sistema y otros parámetros de Seguridad.
- Proteger los datos almacenados de los titulares de las tarjetas.
- Encriptar la transmisión de los datos de los titulares de las tarjetas por redes públicas abiertas.
- Utilizar software o programas antivirus y actualizarlos regularmente.
- Desarrollar y mantener sistemas y aplicaciones seguros.
- Restringir el acceso a los datos de los titulares de las tarjetas según la necesidad de conocimiento que tenga el Negocio.
- Asignar un ID único a cada persona que tenga acceso a una computadora.
- Restringir el acceso físico a los datos de los titulares de las tarjetas.
- Rastrear y monitorear todos los accesos a los recursos de la red y a los datos de los titulares de las tarjetas.
- Testear regularmente los sistemas y procesos de Seguridad.
- Mantener una política que aborde la Seguridad de la Información de todo el personal.
¿Quién tiene que cumplir con PCI DSS?
Cualquier organización (desde un restaurante familiar hasta empresas globales) que acepte, transmita, procese o almacene tarjetas de pago o datos de los titulares de las tarjetas tiene que cumplir con PCI DSS. Sin embargo, hay diferencias en el grado de Cumplimiento de PCI necesario, en función del volumen de transacciones de una organización en un año determinado.
¿Cuáles son los diferentes niveles de Cumplimiento de PCI?
Aunque TODAS las organizaciones que aceptan, transmiten, procesan o almacenan datos de los titulares de las tarjetas están sujetas a los requisitos de PCI DSS, las organizaciones individuales están sujetas a cuatro niveles de Cumplimiento distintos. Estos niveles se basan en el volumen de transacciones en un periodo de 12 meses:
Nivel 1:
Nivel 2:
Nivel 3:
Nivel 4:
En el nivel más alto de Cumplimiento (Nivel 1), las organizaciones necesitan que un Asesor de Seguridad Cualificado (QSA) o un Asesor de Seguridad Interno (ISA) lleven a cabo una auditoría externa. En esta evaluación, se validará el alcance del consentimiento, se revisará la documentación, se determinará si se cumplen los requisitos de PCI DSS y proporcionará orientación para su Cumplimiento. Después, se envía un Reporte de Cumplimiento (RoC) para demostrar el Cumplimiento.
Las organizaciones sujetas a un menor nivel de Cumplimiento (niveles 2 a 4) no necesitan la auditoría externa y pueden rellenar un cuestionario de autoevaluación. La organización de nivel 2 también tendrá que completar un Reporte de Cumplimiento.
Mantener una política de Seguridad de Datos:
Establecer el tono de la organización puede ayudar a reforzar el Cumplimiento de PCI DSS y la Seguridad de la Información. Las organizaciones pueden desarrollar programas periódicos de capacitación y educación continua sobre la Seguridad de los datos y, en concreto, sobre el Cumplimiento de PCI DSS.
Política interna de Seguridad de Datos
Requisitos de PCI DSS
Cambios en los sistemas internos
Responsabilidades del Cumplimiento de PCI
Filtraciones de datos
Cumpla con PCI DSSS con una suite de soluciones de Seguridad
Cumplir con PCI DSS requiere un enfoque por capas, que se puede implementar mejor con una suite de soluciones de Seguridad que puedan integrarse fácilmente en toda la empresa, para proteger los datos sensibles. Fortra ofrece una variedad de productos que le ayudarán a cumplir con PCI DSS de forma fácil y sin complicaciones.
Podemos ayudarlo con el Cumplimiento de PCI DSS
Solicite una sesión gratuita de 30 minutos con nuestro equipo para conversar sobre sus necesidades de Seguridad y analizar cuáles son las mejores soluciones para su organización. Lo ayudaremos a determinar cuáles son los siguientes pasos para cumplir con PCI DSS y proteger correctamente sus datos.