¿A quién se aplica el Cumplimiento PCI?
El cumplimiento PCI se relaciona con cada empresa (sin importar su tamaño) que maneja datos de titulares de tarjetas de alguna de las siguientes maneras: aceptando, procesando, almacenando o transmitiendo. Por lo tanto, esta lista contiene un amplio espectro de negocios: pequeñas tiendas locales, sitios web de comercio electrónico, corporaciones, bancos y proveedores de servicios. Sin embargo, los requisitos específicos de cumplimiento dependen del volumen de transacciones del negocio, el cual se divide en diferentes niveles de comerciante.
¿Cómo se logra el Cumplimiento PCI?
Cumplir con la normativa PCI no es un esfuerzo de una sola vez, sino un proceso continuo que incluye los siguientes pasos principales:
• Identifica tu nivel de comerciante: Esto se centra en el número de transacciones gestionadas anualmente y determina los requisitos de validación específicos.
• Rellena un Cuestionario de Autoevaluación (SAQ): Los comercios de menor tamaño generalmente deben hacer esto una vez al año.
• Someterse a una evaluación in situ: En la mayoría de los casos, un gran comercio requiere una auditoría de seguridad realizada por un Asesor de Seguridad Calificado (QSA).
• Realizar análisis de vulnerabilidades regularmente: Todo negocio tiene que llevar a cabo estos para detectar posibles vulnerabilidades en el sistema de seguridad.
• Adoptar los 12 requisitos de PCI DSS: Técnica y operativamente, esta es la parte más esencial del programa de seguridad, que abarca ampliamente diversas medidas de seguridad.
¿Cuáles son los 12 requisitos de cumplimiento PCI?
Los 12 requisitos de PCI DSS son fundamentales para el estándar y se relacionan con la seguridad de los datos del titular de la tarjeta. Están estructurados en torno a seis objetivos de seguridad:
• Construir y mantener una red segura: Emplee firewalls y contraseñas seguras.
• Proteja los datos de los titulares de tarjetas: Codifique los datos y utilice un cifrado robusto.
• Mantenga un programa de gestión de vulnerabilidades: Instale software antivirus y mantenga los sistemas seguros.
• Implemente medidas de control de acceso sólidas: Limite el acceso a los datos a quienes lo necesiten absolutamente.
• Supervise y pruebe las redes regularmente: Registre cada acceso y pruebe las medidas de seguridad.
• Mantenga una política de seguridad de la información: Establezca una política que aborde la seguridad para todo el personal.
¿Qué sucede si no cumple con PCI?
Las variaciones en el cumplimiento de los estándares de la Industria de Tarjetas de Pago (PCI) pueden correlacionarse con resultados diferentes:
• Las compañías de tarjetas de crédito tienen la opción de establecer límites a posibles sanciones monetarias, con valores de ejemplo que van desde miles hasta cientos de miles de dólares al mes.
• El nivel de las medidas de cumplimiento en las organizaciones puede correlacionarse con la frecuencia de ataques de piratería informática.
• La aceptación continuada de pagos con tarjeta de crédito está sujeta a términos y condiciones específicos.
¿Cuál es la relación entre la Conformidad PCI y las brechas de datos?
El cumplimiento de PCI es una medida destinada a mitigar el robo de datos, una preocupación actual, y tiene como objetivo reducir la probabilidad de filtraciones de datos. Cumplir con los requisitos de PCI DSS a menudo se vincula con seguridad mejorada, lo que podría complicar los esfuerzos de los ciberatacantes para acceder al sistema y extraer información. Si bien el cumplimiento de la normativa PCI es crucial, no garantiza una protección completa contra las filtraciones de datos. El proceso de cumplimiento puede afectar la asignación de recursos dentro de las organizaciones. En consecuencia, el cumplimiento constituye una fase vital en el sistema de defensa contra los riesgos de las filtraciones de seguridad, evitando así que empresas y clientes sean víctimas de fraude.
¿Con qué frecuencia se requiere el Cumplimiento PCI?
El cumplimiento de PCI es una obligación anual. Por lo tanto, las empresas deben verificar y demostrar su estado de cumplimiento al menos una vez al año. Esta verificación anual (que puede ser a través de un SAQ o una auditoría dirigida por un QSA) tiene como objetivo confirmar que las precauciones de seguridad están actualizadas y son funcionales. Además de las inspecciones anuales, muchos comerciantes necesitan realizar escaneos de red trimestralmente para mantener la red libre de vulnerabilidades en todo momento. PCI DSS es un estándar que evoluciona; monitorear y actualizar los protocolos de seguridad debe ser parte de una rutina diaria para lograr el cumplimiento.
Conclusión
Ser compatible con PCI es una obligación, y es una obligación continua esencial para toda empresa que gestiona datos de titulares de tarjetas. El cumplimiento de los 12 requisitos de PCI DSS puede correlacionarse potencialmente con una reducción de incidentes de violación de datos y los consiguientes impactos financieros y reputacionales. El cumplimiento de las normas no debe ser meramente una obligación desde la perspectiva de las autoridades, sino también un paso fundamental para salvaguardar su empresa y sus clientes.
