Las Normas de Seguridad de los Datos del Sector de Tarjetas de Pago (PCI DSS, por sus siglas en inglés) establecen un estándar mínimo para la seguridad de los datos. En esta guía, te contamos, paso a paso, cómo cumplir con esta normativa y cómo Polipay puede ayudarte a hacerlo.
Introducción
Desde 2005, más de 11 mil millones de registros de consumidores se han visto comprometidos por más de 8500 violaciones de datos. Estas son las cifras más recientes de The Privacy Rights Clearinghouse, una organización que informa sobre las violaciones de datos y de seguridad que afectan a los consumidores desde 2005.
Para mejorar la seguridad de los datos del consumidor y la confianza en el ecosistema de pagos, se creó una norma básica para la seguridad de los datos. En 2006, Visa, Mastercard, American Express, Discover y JCB formaron el Consejo de Normas de Seguridad del Sector de las Tarjetas de Pago (PCI SSC) destinado a administrar y gestionar las normas de seguridad de las empresas que manejan los datos de tarjetas de crédito. Antes de la creación de este consejo, estas cinco empresas de tarjetas de crédito tenían programas de normas de seguridad propios, cada una con requisitos y objetivos bastante similares. Con el fin de adoptar unos estándares unificados, se unieron en el PCI SSC y establecieron las Normas de Seguridad de los Datos de PCI (conocidas como la «normativa PCI») para garantizar unos mínimos de protección para los consumidores y los bancos en la era de Internet.
Entender la normativa PCI es una tarea compleja y desafiante
Si tu modelo de negocio exige que manejes datos de tarjetas, es posible que debas cumplir con cada uno de los más de 300 controles de seguridad estipulados en esta normativa. La documentación oficial consta de más de 1800 páginas (más de 300 solo para entender qué formularios hay que utilizar para garantizar el cumplimento): necesitarías 72 horas solo para leer la normativa al completo.
Para evitarte las decenas de horas que te tomaría leer (y entender cómo aplicar en cada caso) la normativa PCI, te preparamos esta guía paso a paso sobre cómo validar y asegurar su cumplimiento.
Resumen sobre la normativa de seguridad de los datos PCI (PCI DSS)
PCI DSS es la normativa de seguridad global para todas las entidades que almacenan, procesan o transmiten datos de titulares de tarjetas o datos confidenciales de autenticación. La normativa PCI DSS establece un nivel básico de protección para los consumidores y ayuda a reducir el fraude y las violaciones de datos en todo el ecosistema de pagos. Es aplicable a cualquier organización que acepte o procese tarjetas de pago.
El cumplimiento de la normativa PCI DSS gira en torno a tres componentes principales:
- Gestionar la recepción de los datos de las tarjetas de crédito de los clientes, es decir; recopilar y transmitir los datos confidenciales de las tarjetas de forma segura.
- Guardar los datos de manera segura, según se describe en los 12 dominios de seguridad de la normativa PCI (por ejemplo, mediante cifrado, supervisión continua y verificación de la seguridad del acceso a los datos de las tarjetas).
- Validar anualmente la implementación adecuada de los controles de seguridad necesarios, que pueden incluir formularios, cuestionarios, servicios externos de análisis de vulnerabilidades y auditorías de terceros (encuentra más adelante en la guía paso a pasouna tabla con los cuatro niveles de requisitos)
Manejo de los datos de tarjeta
Si bien existen muchas excepciones, muchos modelos de negocio exigen el manejo directo de los datos confidenciales de tarjetas de crédito al aceptar los pagos. Las empresas que sí necesitan manejar esos datos (por ejemplo, porque aceptan números de cuentas primarias sin un token en una página de pago) podrían tener que cumplir los más de 300 controles de seguridad estipulados en la normativa PCI. Aunque los datos de las tarjetas solo pasen unos instantes por su servidor, la empresa deberá comprar, instalar y mantener software y hardware de seguridad.
Si una empresa no necesita manejar esos datos confidenciales, no tendrá la obligación de hacerlo. Existan soluciones de terceros (como Polipay) que aceptan y almacenan los datos de forma segura, lo que evita complicaciones, costos y riesgos considerables. Al usar uno de estos servicios de terceros, los datos de las tarjetas nunca entran en contacto con los servidores de la empresa y solo necesitan confirmar 22 controles de seguridad, en su mayoría muy simples (por ejemplo, garantizar que se está usando una contraseña segura).
Almacenamiento seguro de los datos
Si una organización maneja o almacena datos de tarjetas de crédito, debe definir el alcance del entorno de datos del titular de la tarjeta (CDE, por sus siglas en inglés). La normativa PCI DSS define el CDE como las personas, los procesos y las tecnologías que sirven para almacenar, procesar o transmitir datos de tarjetas de crédito, o bien cualquier sistema relacionado con esto. Debido a que al CDE se le aplican todos los requisitos de seguridad de la normativa PCI, que son más de 300, es importante segmentar bien el entorno de pago del resto de la empresa para limitar el alcance de esa validación. Si una organización no puede contener el alcance del CDE con una segmentación pormenorizada, los controles de seguridad conforme a la normativa PCI deben aplicarse a todo sistema, computadoras portátiles y dispositivos que se encuentren en tu red corporativa.
Validación anual
Independientemente de cómo se acepten los datos de tarjeta, las organizaciones están obligadas a completar un formulario de validación conforme a la normativa PCI todos los años. La forma como se valide el cumplimiento de la normativa PCI depende de varios factores (que hemos descrito más abajo). A continuación, te presentamos tres escenarios en los que se podría solicitar a una organización que demuestre que cumple con la normativa PCI:
- Los procesadores de pagos pueden solicitarlo como parte de su proceso obligatorio de notificación a las marcas de tarjetas de pago.
- Los socios de empresas pueden solicitarla como un requisito previo a la firma de acuerdos comerciales.
- En el caso de las empresas que usan una plataforma (cuya tecnología facilita las transacciones en línea entre múltiples grupos de usuarios), los clientes pueden solicitarla para demostrarles a sus clientes que manejan los datos de forma segura.
El conjunto de normas de seguridad más reciente, PCI DSS versión 3.2.1, incluye 12 requisitos principales con más de 300 subrequisitos que reflejan las mejores prácticas de seguridad.
CREAR Y MANTENER UNA RED Y SISTEMAS SEGUROS
- 1. Instala y mantén un cortafuegos configurado para proteger los datos del titular de la tarjeta.
- 2. No uses los valores predeterminados proporcionados por el proveedor para las contraseñas del sistema y otros parámetros de seguridad.
PROTEGER LOS DATOS DE LOS TITULARES DE TARJETAS
- 3. Protege los datos almacenados de los titulares de tarjetas.
- 4. Cifra la transmisión de datos del titular dela tarjeta tanto en redes abiertas como públicas.
MANTENER UN PROGRAMA DE GESTIÓN DE VULNERABILIDADES
- 5. Protege todos los sistemas contra programas maliciosos y actualiza el software antivirus de manera regular.
- 6. Desarrolla y mantén aplicaciones y sistemas seguros.
APLICAR MEDIDAS DE CONTROL DE ACCESO SÓLIDAS
- 7. Restringe el acceso a los datos del titular de la tarjeta en función de las necesidades de tu empresa.
- 8. Identifica y autentica el acceso a los componentes del sistema.
- 9. Restringe el acceso físico a los datos del titular de la tarjeta.
SUPERVISAR Y PROBAR LAS REDES DE FORMA PERIÓDICA
- 10. Rastrea y monitoriza todo el acceso a los recursos de la red y los datos del titular de la tarjeta.
- 11. Verifica los sistemas y procesos de seguridad de manera regular.
TENER UNA POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN
- 12. Desarrolla y mantén una política que aborde la seguridad de la información para todo el personal.
Para que a las nuevas empresas les resulte «más fácil» el proceso de validación del cumplimiento de la normativa PCI, el Consejo PCI creó nueve formularios—también conocidos como cuestionarios de autoevaluación (SAQ, por sus siglas en inglés)—distintos que subdividen los requisitos de la normativa PCI para que las empresas puedan validar el cumplimiento de la normativa PCI. La clave es determinar cuál es aplicable o si es necesario contratar a un auditor aprobado por consejo para que verifique el cumplimiento de cada requisito. Además, este consejo modifica las reglas cada tres años y publica actualizaciones durante todo el año, lo que hace que su complejidad sea aún más dinámica.
Guía paso a paso para el cumplimiento de normativa PCI DSS versión 3.2.1
1. Conoce tus requisitos
El primer paso para cumplir con la normativa PCI implica conocer los requisitos que se aplican a tu empresa. Hay cuatro niveles diferentes de cumplimiento de la normativa PCI que, por lo general, se basan en el volumen de transacciones con tarjeta de crédito que procesa tu empresa en un lapso de 12 meses.
| Nivel de cumplimiento de la normativa | Se aplica a | Requisitos |
|---|---|---|
|
| |
| Nivel 2 | Organizaciones que procesan entre 1 y 6 millones de transacciones por año |
|
| Nivel 3 |
| Igual que el anterior |
| Nivel 4 |
| Igual que el anterior |
Para los niveles 2 a 4, hay diferentes tipos de SAQ según el método de integración de pagos que utilices. A continuación, una tabla resumida:
| SAQ | Descripción |
|---|---|
| A | Comerciantes que operan sin presentar tarjeta (e-commerce o pedidos por teléfono o por correo) y que subcontratan a proveedores de servicios externos acreditados conforme a la normativa PCI para que se ocupen de todas las funciones relacionadas con los datos de titulares de tarjetas que sin que se almacenen, procesen ni transmitan de manera electrónica tales datos en los sistemas o establecimientos de los comerciantes. No se aplica a los canales presenciales. |
| A-EP | Comerciantes que se dedican al e-commerce y que subcontratan a terceros validados conforme a los estándares de seguridad de datos de la normativa PCI (PCI DSS) para que procesen todos los pagos y que tienen sitios web donde no se reciben los datos de los titulares de tarjetas directamente, pero que pueden afectar la seguridad de la transacción de pago. No se almacenan, procesan ni transmiten por vía electrónica datos de los titulares de tarjetas a través de los sistemas o establecimientos de los comerciantes. Se aplica solo a los canales de comercio electrónico. |
| B | Comerciantes que usan solo:
|
| B-IP | Comerciantes que usan solo terminales de pago autónomas aprobadas conforme a la norma de seguridad de transacciones con PIN (PTS) con una conexión IP al procesador de pagos sin almacenar de manera electrónica los datos de titulares de tarjetas. No se aplica a los canales de comercio electrónico. |
| C-VT | Comerciantes que ingresan de forma manual las transacciones de una en una mediante un teclado conectado a una terminal de pago virtual basada en Internet, proporcionada y alojada por un proveedor de servicios externo acreditado conforme a los estándares de seguridad de datos de la normativa PCI (PCI DSS). Sin almacenamiento electrónico de datos de titulares de tarjetas. No se aplica a los canales de comercio electrónico. |
| C | Comerciantes con sistemas de aplicaciones de pago conectados a Internet sin almacenamiento electrónico de los datos de titulares de tarjetas. No se aplica a los canales de comercio electrónico. |
| P2PE | Comerciantes que solo usan terminales de pago físicas incorporadas a una solución de cifrado de punto a punto (P2PE) incluida en la lista del consejo PCI SSC y administradas por dicha solución sin almacenamiento electrónico de los datos de titulares de tarjetas. No se aplica a los canales de comercio electrónico. |
| D | SAQ D PARA COMERCIANTES: Todos los comerciantes no incluidos en las descripciones de los tipos de SAQ mencionados arriba. SAQ D PARA PROVEEDORES DE SERVICIOS: Todos los proveedores de servicios definidos por una marca de pago como aptos para completar un SAQ. |
2. Traza el diagrama de tus flujos de datos
Para poder proteger los datos confidenciales de tarjetas de crédito, debes saber dónde residen y cómo llegan hasta allí. Tendrás que trazar un diagrama integral de los sistemas, las conexiones de red y las aplicaciones que interactúen con datos de tarjetas de crédito en tu organización. Según cuál sea tu función, es probable que tengas que trabajar con los equipos de TI y seguridad para hacerlo.
- En primer lugar, identifica las áreas de la empresa orientadas al consumidor que impliquen transacciones de pago. Por ejemplo, puedes aceptar pagos a través de un carrito de compras virtual, las terminales de pago de una tienda o pedidos telefónicos.
- En segundo lugar, identifica las diferentes formas en que se manejan los datos de los titulares de tarjetas en toda la empresa. Es importante saber exactamente dónde se almacena la información y quién tiene acceso a ella.
- Por último, identifica los sistemas internos o las tecnologías subyacentes que se utilizan para procesar las transacciones de pago. Esto incluye los sistemas de red, los centros de datos y los entornos en la nube.
3. Verificación de los controles y protocolos de seguridad
Una vez que identifiques todos los posibles puntos de contacto de los datos de las tarjetas de crédito en tu organización, trabaja con los equipos de TI y de seguridad para asegurarte de que se establezcan las configuraciones y los protocolos de seguridad adecuados (consulta la lista de 12 requisitos de seguridad de la normativa PCI que se encuentra más arriba). Estos protocolos se diseñaron para proteger la transmisión de datos, como Transport Layer Security (TLS).
Los 12 requisitos de seguridad de la normativa PCI v3.2.1 se basan en las mejores prácticas para proteger los datos confidenciales de cualquier empresa. Varios se superponen con los requisitos exigidos conforme al RGPD, la HIPAA y otros mandatos de privacidad, por lo que es posible que tu organización ya esté cumpliendo con algunos de ellos.
4. Vigilar y mantener
Cabe destacar que el cumplimiento de la normativa PCI no es un acontecimiento aislado, sino un proceso continuo que permita asegurar que tu empresa sigue cumpliendo con la normativa a medida que el flujo de datos y los puntos de contacto con los clientes aumentan. Algunas marcas de tarjetas de crédito pueden solicitar que envíes informes trimestrales o anuales, o que realices una evaluación anual en las instalaciones para validar el cumplimiento continuo de la normativa, en especial si se procesan más de 6 millones de transacciones al año.
La gestión del cumplimiento de la normativa PCI durante el año (y a través de los años) suele requerir apoyo y colaboración interdepartamental. Si no existe, vale la pena crear un equipo interno dedicado a ello para asegurar debidamente el cumplimiento. Si bien cada empresa es única, para crear un buen «equipo PCI» se puede empezar por incluir un representante de cada uno de los siguientes sectores:
- Seguridad: el director general de Seguridad (CSO), el director general de Seguridad Informática (CISO) y sus equipos garantizan que la organización invierta siempre de forma adecuada en las políticas y los recursos de seguridad y privacidad de datos necesarios.
- Tecnología y pagos: el director general de Tecnología (CTO), el vicepresidente de Pagos y sus equipos garantizan que las principales herramientas, integraciones e infraestructuras se mantengan dentro de la norma a medida que los sistemas de la organización se desarrollan.
- Finanzas: el director general de Finanzas (CFO) y su equipo garantizan la consideración de todos los flujos de datos de pago cuando se trata de sistemas de pago y socios.
- Asuntos jurídicos: este equipo puede ayudar a manejar la gran cantidad de matices legales que implica el cumplimiento de las DSS del PCI.
Para obtener más información sobre el complejo mundo del cumplimiento de la normativa PCI, visita el sitio web de PCI Security Standards Council. Si solo lees esta guía y otros documentos acerca de la normativa PCI, te recomendamos empezar por estos: enfoque prioritario de las DSS del PCI, instrucciones y pautas sobre los SAQ, preguntas frecuentes sobre el uso de los criterios de admisibilidad de los SAQ a fin de determinar los requisitos presenciales de evaluación y preguntas frecuentes sobre las obligaciones de los comerciantes que desarrollan aplicaciones para los dispositivos de consumo que aceptan datos de tarjetas de pago de los clientes.
¿Cómo te ayuda Polipay a cumplir la normativa PCI?
simplifica de manera significativa la carga del cumplimiento de la normativa PCI para las empresas. Polipay utiliza un campo de pago alojado para gestionar todos los datos de las tarjetas de pago, de modo que el titular de la tarjeta ingresa toda la información de pago confidencial en un campo de pago que se origina directamente en nuestros servidores validados por la normativa PCI. Los SKD para dispositivos móviles y para terminales de Polipay también permiten al titular de la tarjeta enviar la información confidencial de pago directamente a nuestros servidores validados por la normativa.
Con métodos de aceptación de tarjetas más seguros como estos, completamos el cuestionario de autoevaluación (SAQ) de la normativa PCI en el Dashboard, haciendo que la validación de la normativa PCI sea tan simple como hacer clic en un botón. Para las organizaciones más pequeñas, esto les ahorra cientos de horas de trabajo y para las más grandes, miles.
Para todos nuestros usuarios, independientemente del tipo de integración, Polipay actúa como defensor de la normativa PCI y puede ayudar de diferentes maneras.
- Analizamos tu método de integración y te aconsejamos sobre qué formulario usar y cómo simplificar el cumplimiento de la normativa.
- Te notificamos (siempre con el tiempo necesario para que tomes las medidas oportunas) en caso de que el volumen de transacciones haya aumentado e implique cambios a la hora de validar el cumplimiento.
- Para grandes comerciantes (Nivel 1), proporcionamos un paquete sobre la normativa PCI que reduce de meses a tan solo unos días el tiempo necesario para validar el cumplimiento de esta normativa. Si almacenas datos de tarjetas de crédito o tienes un flujo de pago más complejo y necesitas trabajar con un asesor de seguridad certificado (QSA), hay más de 350 empresas que ofrecen ese tipo de servicios y podemos ponerte en contacto con varios auditores que conocen a fondo los diferentes métodos de integración de Polipay.
Conclusión
La evaluación y la validación del cumplimiento de la normativa PCI suele realizarse una vez al año. Sin embargo, no se trata de un acontecimiento aislado, sino de un gran esfuerzo continuo de evaluación y rectificación. A medida que una empresa crece, se amplían los principales procesos y lógicas comerciales, lo que implica que aumentan también los requisitos de cumplimiento. Una empresa en línea, por ejemplo, puede decidir abrir tiendas físicas, entrar en nuevos mercados o lanzar un centro de soporte para el cliente. Si algo de lo nuevo implica datos de tarjetas de pago, es aconsejable que verifiques de forma proactiva si repercute en tu método de validación conforme a la normativa PCI y revalida el cumplimiento de esa normativa según sea necesario.
Cumplir la normativa PCI es solo el primer paso
Seguir las directrices de la normativa PCI DSS es solo una capa de protección para tu empresa. Una capa obligatoria y muy importante, pero que no es suficiente. La normativa PCI establece una serie de reglas a la hora de gestionar y almacenar los datos del titular de la tarjeta, pero no ofrece una protección completa para los entornos de pago. Una forma mucho más eficaz de proteger tu empresa pasa por introducir un método de aceptación de tarjetas más seguro. Además, a largo plazo, te evita tener que limitarte a seguir las normas más básicas del sector o que tengas que preocuparte por un posible fallo en los controles de seguridad. Este enfoque no solo proporciona una forma de mitigar filtraciones de datos, sino que evita el proceso de validación de la normativa PCI (una gran inversión de tiempo, dinero y estrés). Recuerda: un método de integración más seguro es fiable todos los días del año.
| Nivel de comerciante de Visa | Tiempo promedio de auditoría (estimaciones anuales) | Tiempo promedio de auditoría con Polipay (estimaciones anuales) |
|---|---|---|
| Nivel 1 | De 3 a 5 meses | De 2 a 5 días |
| Nivel 2 | De 1 a 3 meses | 0 días |
| Nivel 3 | De 1 a 3 meses | 0 días |
| Nivel 4 | De 1 a 3 meses | 0 días |