En la era digital en rápida evolución, el panorama del fraude ha cambiado su mirada de los robos bancarios tradicionales a un nuevo objetivo: las instituciones encargadas de manejar los datos de los titulares de tarjetas.
Tanto si es un individuo como una organización involucrada en transacciones con tarjeta de pago, es de suma importancia proteger tanto a usted como a los usuarios de la tarjeta de posibles violaciones de datos.
Aquí es donde el cumplimiento del Estándar de Seguridad de Datos (DSS) de la Industria de Tarjetas de Pago (PCI) entra en juego como una herramienta crucial para mitigar las vulnerabilidades y proteger los datos de los titulares de tarjetas.
Al adherirse a las pautas de PCI DSS, puede minimizar eficazmente los riesgos y mantener la seguridad de la información financiera confidencial.
¿Qué es PCI DSS?
PCI DSS es un conjunto de estándares de seguridad establecidos por el Payment Card Industry Security Standards Council (PCI SSC) para garantizar la protección de los datos de los titulares de tarjetas y mejorar la seguridad de las transacciones con tarjeta de pago. Se aplica a todas las organizaciones que procesan, almacenan o transmiten información de tarjetas de pago, incluidos comerciantes, proveedores de servicios, instituciones financieras y otras entidades involucradas en el ecosistema de tarjetas de pago.
¿Por qué es importante PCI DSS?
La creciente dependencia de los pagos con tarjeta y el aumento de las amenazas cibernéticas han requerido un estándar unificado para garantizar la seguridad de la información financiera confidencial. Con cada transacción procesada, los comerciantes se exponen a posibles brechas de datos. PCI DSS sirve como un marco integral, que describe los requerimientos de seguridad y las mejores prácticas para el manejo de dichos datos. Adherirse a PCI DSS permite a las empresas establecer medidas de seguridad sólidas, detectar vulnerabilidades y mitigar riesgos, proteger a los titulares de tarjetas y mejorar la confianza. También ayuda a las organizaciones a mantener el cumplimiento de normas y proteger su reputación.
¿A quién se aplica?
PCI DSS se aplica a todas las entidades involucradas en el procesamiento de tarjetas de pago, incluidos comerciantes, procesadores, adquirentes, emisores y proveedores de servicios. Abarca a individuos u organizaciones que almacenan, procesan, aceptan o transmiten información de tarjetas dentro del ecosistema de tarjetas de pago. Esto incluye no solo a las instituciones financieras sino también a los comerciantes que aceptan pagos con tarjeta de crédito o débito, independientemente del canal utilizado.
Si bien no es jurídicamente vinculante, PCI DSS ha sido ampliamente adoptado como estándar mundial por las instituciones financieras. Por lo tanto, las organizaciones que subcontratan cualquier operación relacionada con tarjetas de pago deben verificar que sus proveedores externos cumplan con PCI, lo que garantiza la protección continua de los datos de los titulares de tarjetas.
¿Qué tipo de datos protege PCI DSS?
PCI DSS protege principalmente dos tipos de datos: datos del titular de la tarjeta (CHD) y datos confidenciales de autenticación (SAD). CHD incluye el número de cuenta principal (PAN), el nombre del titular de la tarjeta, la fecha de vencimiento y el código de seguridad (CVV/CVC). El SAD, por su parte, incluye elementos de datos utilizados para la autenticación, como datos de banda magnética completa, PIN o bloques PIN.
Principios y requerimientos de PCI DSS
1. Construir y mantener una red segura
- Instalar y mantener una configuración de firewall para proteger los datos del titular de la tarjeta
Los firewalls actúan como barreras entre las redes internas de confianza y las redes externas no confiables, monitoreando y controlando el tráfico de la red para evitar el acceso no autorizado y el software malicioso. Los estándares de configuración del firewall y del router deben implementarse para identificar todas las conexiones a los datos de los titulares de tarjetas, denegar el tráfico de redes que no sean de confianza y permitir sólo los protocolos necesarios. Además, el acceso público directo al entorno de datos del titular de la tarjeta debe estar estrictamente prohibido y se debe instalar software de firewall personal en cualquier dispositivo con conectividad directa a Internet que se utilice para acceder a la red de la organización. Se debe realizar una revisión periódica de las reglas de configuración cada seis meses para una seguridad óptima.
- No utilice valores predeterminados proporcionados por el proveedor para las contraseñas del sistema y otros parámetros de seguridad
Las contraseñas predeterminadas y la configuración de seguridad a menudo se conocen públicamente y se adivinan fácilmente, lo que representa un riesgo significativo para la protección de los datos de los titulares de tarjetas. Cambie siempre los valores predeterminados a contraseñas únicas y seguras antes de instalar los sistemas en la red para mejorar la seguridad general.
2. Proteja los datos de los titulares de tarjetas
- Proteja los datos almacenados del titular de la tarjeta
En general, los datos de los titulares de tarjetas nunca deben almacenarse a menos que sea necesario para satisfacer las necesidades del negocio. Si es necesario almacenar, la información almacenada y el tiempo durante el cual se retiene deben limitarse a lo requerido para fines comerciales o legales. Los datos confidenciales de autenticación nunca deben almacenarse después de la autenticación, incluso si están cifrados. Los datos del titular de la tarjeta, como PAN, fecha de vencimiento y nombre del titular de la tarjeta, se pueden almacenar cuando sea necesario, pero deben ser ilegibles. Cualquier clave criptográfica utilizada para el cifrado de los datos de los titulares de tarjetas debe protegerse contra la divulgación y el uso indebido.
- Cifrar la transmisión de datos de titulares de tarjetas a través de redes públicas abiertas
Dado que la transmisión de datos del titular de la tarjeta puede ser interceptada a través de redes abiertas, es necesario encriptar para que los datos transmitidos sean ilegibles por cualquier persona no autorizada. Se deben usar protocolos de criptografía y seguridad sólidos como SSL/TLS o IPSEC para proteger los datos confidenciales del titular de la tarjeta, y las redes PANs no cifradas nunca deben ser enviadas por tecnologías de mensajería de usuarios finales como chat, correo electrónico, etc.
3. Mantener un programa de administración de vulnerabilidades
- Usar y actualizar regularmente software o programas antivirus
Para protegerse contra las amenazas de software malicioso existentes y en evolución, el software antivirus debe ser utilizado en todos los sistemas afectados por malware. El correo electrónico y las actividades en línea de los empleados a menudo sirven como puntos de entrada para tales amenazas. Implemente el software en todos los sistemas relevantes, incluyendo computadoras personales y servidores, asegurando que permanezca activo, actualizado regularmente con la última tecnología y firmas, y capaz de generar registros de auditoría.
- Desarrollar y mantener sistemas y aplicaciones seguros
Para proteger los datos de los titulares de tarjetas, se deben abordar las vulnerabilidades del sistema y de las aplicaciones instalando rápidamente parches de seguridad suministrados por el proveedor. Mantenga todos los sistemas actualizados con los últimos parches de seguridad, establezca un proceso para identificar nuevas vulnerabilidades y desarrolle aplicaciones web basadas en pautas de codificación segura. Revise regularmente el código y utilice un firewall de aplicaciones web para aplicaciones de cara al público.
4. Implementar medidas sólidas de control de acceso
- Restrinja el acceso a los datos de los titulares de tarjetas según la necesidad de saber del negocio
El acceso a los datos del titular de la tarjeta debe limitarse solo a aquellos que lo requieran para hacer su trabajo. En sistemas con múltiples usuarios, el acceso debe configurarse como “denegar todo” de forma predeterminada, y solo se debe permitir el acceso explícitamente autorizado.
- Asignar una identificación única a cada persona con acceso a la computadora
Proporcionar una identificación (ID) única a cada individuo con acceso asegura que las acciones realizadas en datos y sistemas críticos se puedan atribuir a usuarios conocidos y autorizados, lo que permite la trazabilidad. Implementar medidas de autenticación como contraseñas, frases de contraseña o autenticación de dos factores, especialmente para el acceso remoto a la red. Además, las contraseñas deben estar encriptadas para que sean ilegibles durante el almacenamiento y la transmisión.
- Restringir el acceso físico a los datos del titular de la tarjeta
El acceso físico a los datos debe restringirse, ya que brinda la oportunidad de manipularlos. Esto incluye la implementación de controles de entrada a las instalaciones, la distinción de los empleados de los visitantes, la autorización y el seguimiento de los visitantes, el almacenamiento seguro de backups de medios, la protección física de los medios que contienen datos del titular de la tarjeta y el control de su distribución con la aprobación de la administración.
5. Monitoree y pruebe regularmente las redes
- Rastree y supervise todo el acceso a los recursos de red y a los datos de los titulares de tarjetas
Al realizar investigaciones forenses después de un incidente, es esencial contar con registros completos en todos los entornos. Estos registros permiten un seguimiento y monitoreo exhaustivos de las actividades del usuario, lo que ayuda a determinar la causa del compromiso. Es crucial registrar las entradas de seguimiento de auditoría para todos los componentes del sistema, asegurando que estén protegidos de las alteraciones y conservados durante un mínimo de un año. Además, es necesario realizar revisiones diarias periódicas de los registros de los componentes del sistema relacionados con las funciones de seguridad.
- Probar regularmente los sistemas y procesos de seguridad
Para mantener la seguridad a lo largo del tiempo, es esencial probar regularmente los sistemas y procesos de seguridad. Dado el descubrimiento continuo de vulnerabilidades y la aparición de nuevo software por parte de individuos malintencionados, las pruebas frecuentes se vuelven necesarias. Realice análisis de vulnerabilidades al menos trimestralmente y realice pruebas de penetración anuales para identificar posibles debilidades. Utilice sistemas de detección de intrusiones en la red y monitoreo de integridad de archivos para detectar posibles compromisos y alertar de inmediato al personal afectado.
6. Mantener una política de seguridad de la información
- Mantener una política que aborde la seguridad de la información para empleados y contratistas
Al contar con una política de seguridad integral, los empleados y contratistas están informados sobre sus responsabilidades y los procedimientos necesarios a seguir para proteger los datos del titular de la tarjeta. Las evaluaciones periódicas, la evaluación de los empleados y la implementación de políticas de uso para tecnologías críticas mejoran aún más las medidas de seguridad. Además, requerir que los proveedores de servicios se adhieran a las políticas PCI DSS protege la integridad de los datos compartidos de los titulares de tarjetas. Por último, contar con un plan de respuesta a incidentes permite a las organizaciones responder de manera efectiva y minimizar el impacto de cualquier violación de seguridad.
Sanciones por incumplimiento
Las sanciones por incumplimiento de PCI DSS varían según las circunstancias específicas y las marcas de tarjetas de pago involucradas. Si bien PCI DSS en sí no impone sanciones directas, las marcas de tarjetas (como Visa, Mastercard, American Express, etc.) tienen sus propios programas de aplicación y pueden imponer multas o sanciones a las organizaciones que no cumplan con las normas. Estas sanciones pueden incluir multas monetarias, mayores tarifas de transacción, restricciones en la aceptación de tarjetas e incluso la posible pérdida de privilegios de procesamiento de tarjetas. Además, el incumplimiento también puede resultar en daños a la reputación, pérdida de confianza del cliente y posibles consecuencias legales en caso de violaciones de datos o actividades fraudulentas.
