PCI DSS
¿Qué es PCI DSS?
PCI DSS significa Estándar de Seguridad de Datos de la Industria de Tarjetas de Pago. Es un conjunto de reglas que las empresas deben seguir para mantener seguros los datos de las tarjetas de crédito. Se aplica a cualquier negocio que maneje tarjetas de crédito, independientemente de su tamaño. Seguir PCI DSS ayuda a prevenir violaciones de datos y el robo de la información de pago de los clientes.
El Consejo de Normas de Seguridad PCI gestiona los requisitos del DSS. Este consejo incluye las principales marcas de tarjetas de crédito como Visa, Mastercard y American Express. Trabajan juntos para establecer los estándares de seguridad que protegen a los titulares de las tarjetas.
Por qué PCI DSS es importante
En el mundo digital de hoy, el uso de tarjetas de crédito es extremadamente común. Millones de transacciones ocurren todos los días, tanto en línea como en tiendas físicas. La seguridad fuerte es crítica cuando se intercambia tanta información financiera.
Imagina si un hacker se infiltrara en el sistema de pago de un minorista y robara miles de números de tarjetas de crédito. Los titulares de las tarjetas podrían enfrentar cargos fraudulentos y robo de identidad. El minorista perdería la confianza de los clientes y podría enfrentar grandes multas o demandas. Seguir el estándar de seguridad ayuda a prevenir estos escenarios de pesadilla.
Por ejemplo, en 2013, Target tuvo una gran violación de datos que expuso los datos de tarjetas de crédito de 40 millones de clientes. Le costó a la empresa más de $200 millones. Una adherencia más fuerte podría haber prevenido este costoso desastre.
Los 12 requisitos de PCI DSS
Para cumplir con PCI DSS, las empresas deben cumplir continuamente con 12 requisitos básicos:
- Instalar y mantener cortafuegos
- Usar sistemas y contraseñas seguras
- Proteger los datos almacenados del titular de la tarjeta
- Encriptar las transmisiones de datos
- Usar y actualizar el software antivirus
- Desarrollar sistemas y aplicaciones seguras
- Restringir el acceso a los datos
- Asignar identificaciones únicas a quienes tienen acceso a las computadoras
- Restringir el acceso físico a los datos
- Rastrear y monitorear el acceso a los datos
- Probar la seguridad regularmente
- Mantener una política de seguridad de la información
Veamos algunos de estos más de cerca:
Protección de los datos del titular de la tarjeta
Las empresas deben proteger los datos del titular de la tarjeta cuando los almacenan y transmiten. Debe encriptar los datos usando criptografía fuerte cuando los almacene. Las empresas también deben revisar regularmente sus sistemas en busca de números de tarjetas no encriptados.
Restringir el acceso
Las empresas deben controlar estrictamente quién puede acceder a los datos del titular de la tarjeta y a los sistemas de pago. Los empleadores deben proporcionar acceso solo a aquellos que absolutamente lo necesiten para su trabajo. Incluso entonces, debemos restringir el acceso al mínimo necesario.
PCI DSS requiere asignar una identificación única a cada persona con acceso. Esto facilita rastrear quién está accediendo a qué datos. También debe limitar y monitorear el acceso físico a los servidores y almacenamiento de datos.
Seguridad de la red
Para prevenir violaciones de datos, las empresas deben mantener seguras sus redes y sistemas. PCI DSS requiere que los cortafuegos estén correctamente configurados para bloquear el acceso no autorizado. Todos los sistemas requieren protección actualizada de software antivirus.
Los usuarios deben cambiar las contraseñas predeterminadas, ya que los hackers pueden adivinarlas fácilmente. Mantener software seguro y actualizado también es clave. Los hackers explotan vulnerabilidades conocidas en el software desactualizado para infiltrarse en los sistemas.
Las pruebas de seguridad regulares son otro componente importante de PCI DSS. Las empresas deben realizar escaneos de vulnerabilidad y pruebas de penetración periódicas. Estas pruebas proactivas pueden revelar debilidades antes de que los criminales las encuentren y exploten.
Manteniendo el cumplimiento
Lograr el cumplimiento con PCI DSS no es una tarea única. Las empresas deben monitorear y actualizar continuamente su seguridad para permanecer en cumplimiento. Documentar todas las políticas y procedimientos de seguridad es clave. Los empleadores deben capacitar regularmente a los empleados en prácticas seguras.
Las organizaciones deben validar el cumplimiento de PCI DSS anualmente. Las empresas más pequeñas pueden hacerlo a través de un cuestionario de autoevaluación. Las empresas más grandes deben tener una evaluación in situ realizada por un Asesor de Seguridad Calificado. Debe enviar informes de cumplimiento y atestaciones de cumplimiento a las marcas de tarjetas y bancos adquirentes.
El costo del incumplimiento
No cumplir con PCI DSS es costoso en múltiples maneras. Las marcas de tarjetas podrían multar a las empresas que no sigan las reglas de datos de clientes. Las multas varían de $5,000 a $100,000 por mes. También pueden surgir demandas de clientes enojados.
Incluso si no ocurre una violación, las marcas de tarjetas pueden multar a las empresas que no presenten informes de cumplimiento. Estas multas pueden ser de miles de dólares por mes. Las empresas no cumplidoras incluso pueden perder la capacidad de procesar pagos con tarjeta de crédito por completo.
En 2019, las autoridades multaron a Marriott con $24 millones por no seguir las reglas de seguridad, lo que condujo a una violación de datos. Las multas y demandas son un enorme riesgo financiero que el cumplimiento ayuda a mitigar.
Los beneficios de PCI DSS
Aunque volverse compatible con PCI DSS requiere esfuerzo, tiene grandes beneficios. Más importante aún, mantiene segura la valiosa información financiera de los clientes. Esto protege a sus clientes y la reputación de su empresa. Cumplir con PCI DSS también ayuda a las empresas a evitar costosas multas y batallas legales.
Ser compatible con PCI DSS es cada vez más importante para ganar nuevos negocios. Muchas empresas ahora requieren el cumplimiento de sus proveedores. Cumplir con este estándar puede ser una ventaja competitiva. Demuestra que su negocio se toma en serio la seguridad.
Conclusión
PCI DSS no es solo una regulación onerosa. Es un marco probado para mantener seguros los datos de pago. En la era del crimen cibernético rampante, la seguridad rigurosa es una necesidad. Lograr y mantener el cumplimiento vale la pena el esfuerzo.
