¿Qué es el certificado?

PCI DSS (Estándar de seguridad de datos de la industria de tarjetas de pago) es un estándar de seguridad desarrollado para organizaciones que procesan, transmiten o almacenan datos de titulares de tarjetas. No es una ley sino un régimen contractual impuesto por las redes de tarjetas (Visa, Mastercard y otras). El nivel de cumplimiento depende de los niveles (Nivel 1 a 4) establecidos por el volumen de transacciones: las organizaciones de alto volumen se someten a una evaluación in situ por parte de un QSA calificado y un Informe de Cumplimiento (RoC), mientras que las de menor volumen utilizan un Cuestionario de Autoevaluación (SAQ). La versión actualmente vigente es PCI DSS v4.0.1.

¿Quién lo necesita?

Sitios de comercio electrónico y empresas que aceptan pagos en línea
Minoristas que utilizan POS y terminales de pago
Proveedores de servicios de pago e instituciones de pago
Proveedores de centros de datos y nube que alojan datos de tarjetas
Empresas que aceptan pagos con tarjeta a través de un call center

¿Es obligatorio?

No es legalmente obligatorio; en la práctica es obligatorio debido a los contratos con las redes de tarjetas y los bancos. El incumplimiento puede resultar en una multa, tarifas de transacción más altas o la revocación del derecho a aceptar tarjetas. En caso de una violación de datos, el estado de cumplimiento afecta directamente la evaluación de la responsabilidad.

Alcance de la norma

Objetivo 1 — construir y mantener una red y sistemas seguros: controles de seguridad de la red, configuración segura
Objetivo 2 — proteger los datos de los titulares de tarjetas: proteger los datos almacenados, cifrado durante la transmisión a través de redes abiertas
Objetivo 3 — Mantener un programa de gestión de vulnerabilidades: protección contra malware, sistemas seguros y desarrollo de software.
Objetivo 4 — implementar un control de acceso sólido: restringir el acceso según las necesidades comerciales, autenticación y control de acceso físico
Objetivo 5 — Supervisar y probar las redes con regularidad: registro y supervisión, prueba periódica de la seguridad del sistema y de la red
Meta 6 — Mantener una política y un programa de seguridad de la información
Alcance: el entorno de datos de titulares de tarjetas (CDE) y segmentación
La ruta de validación por nivel: RoC (con QSA) o SAQ (autoevaluación)
Obligaciones de escaneo y pruebas de penetración de ASV
Emitir la Declaración de Cumplimiento (AoC)

Proceso de certificación

1Determinación del alcance y el programaSe determinan los sitios y procesos que se auditarán y la duración de la auditoría que requiere el esquema.
2PreevaluaciónOpcionalmente se lleva a cabo un análisis de deficiencias; Las lagunas se hacen visibles antes de la auditoría principal.
3Auditoría in situLa revisión de registros, la observación del sitio y las entrevistas a los trabajadores se llevan a cabo según la lista de verificación del plan.
4Reporte de los hallazgosLos resultados se informan según la clasificación del esquema. El resultado de estos sistemas es un informe de auditoría, no un certificado.
5Acción correctiva y seguimientoSe presenta un plan de acciones correctivas para los hallazgos; se cierra con una auditoría de seguimiento en el marco del plan.

Periodo de validez

El período de validez de los informes de auditoría lo establece el plan y suele oscilar entre uno y dos años. El informe se utiliza durante el período que acepta la marca compradora.

Documentos necesarios

Detalles de la organización y del sitio
Plantilla y patrón de turnos
Permisos y licencias legales
Políticas y procedimientos relevantes
Registros de nómina, tiempo y personal.
El diagrama de flujo de datos del titular de la tarjeta y la topología de la red.
La definición del alcance (CDE) y la evidencia de la segmentación.
El inventario del sistema y los estándares de configuración.
Informes de escaneo de ASV e informes de pruebas de penetración
La matriz de autorización de acceso y los registros de autenticación.
Políticas de seguridad de la información y plan de respuesta a incidentes
La lista de proveedores de servicios externos y su estado de cumplimiento.

Coste de la certificación

No existe un precio de lista fijo; el coste se calcula según las siguientes variables y se proporciona por escrito en el presupuesto.

El número de sitios a auditar y la plantilla.
La duración de la auditoría que prescribe el plan.
Si se solicita una evaluación previa (análisis de deficiencias)
Si se requiere una auditoría de seguimiento

Acreditación

La mayoría de estos sistemas producen informes de auditoría, no documentos, y están sujetos al propio sistema de aprobación del propietario del sistema (por ejemplo, Sedex, amfori, RBA); La acreditación en el sentido clásico no se encuentra en todos los sistemas. La competencia del auditor y la validez del informe están determinadas por las normas del propietario del plan.

El alcance en el que se puede ofrecer este esquema varía según su producto y actividad; se confirma por escrito en la etapa de presupuesto.

Alcance y autorizaciones

Certificaciones relacionadas

Preguntas frecuentes

¿Necesito un SAQ o un RoC?

Depende del volumen anual de transacciones con su tarjeta y del nivel establecido por el sistema de tarjetas. Las organizaciones de nivel 1 requieren una evaluación por parte de un QSA calificado y un RoC; Los niveles inferiores pueden utilizar la autoevaluación con el tipo de SAQ correspondiente. El tipo de SAQ que se aplica depende de su método de aceptación de pago.

No almaceno datos de tarjetas. ¿Aún estoy dentro del alcance?

Lo más probable es que sí. El estándar cubre tanto el PROCESAMIENTO y TRANSMISIÓN de datos como su almacenamiento. No almacenarlo reduce notablemente el alcance pero no lo elimina por completo; Para quedar fuera del alcance, el flujo de pagos debe subcontratarse completamente a un proveedor externo.

¿Por qué es importante la segmentación?

Separar el entorno de datos de los titulares de tarjetas del resto de la red reduce notablemente el alcance de la evaluación y, por tanto, el coste. La eficacia de la segmentación debe verificarse mediante una prueba de penetración.

Seguridad de datos de tarjetas de pago (PCI DSS)