Estamos a solo unos días de la fecha límite del 31 de marzo para el cumplimiento de PCI DSS. Si bien es un paso emocionante hacia un futuro más seguro, la transición de PCI DSS 3.2.1 a 4.0 es un gran esfuerzo para muchas empresas, ya que implica una evaluación de riesgos mayor y más formalizada, múltiples mandatos de seguridad, leyes o regulaciones de privacidad y protección de datos para proteger los datos de pago y reducir el fraude con tarjetas de crédito.
Cumplimiento También es obligatorio para instituciones financieras, procesadores de pagos en línea, comerciantes que aceptan tarjetas de pago y cualquier organización que procese transacciones con tarjetas de pago, almacene o acceda a información de tarjetas de pago y cualquier proveedor de servicios que permita hacer negocios en cualquier lugar del ecosistema de procesamiento de tarjetas. En resumen, esto es todo negocio.
La importancia del cumplimiento de las medidas de seguridad
Para aquellos de ustedes que preguntan: «¿Qué importancia tiene cumplimiento de la seguridad ¿medidas?» Los hallazgos del Informe sobre amenazas de datos de Thales de 2024 muestran que la respuesta es “mucho”. El informe encuentra que el 93 por ciento de los profesionales cree que las amenazas a la seguridad están aumentando en volumen o gravedad. Aun así, el 43 por ciento de las empresas no pasó una auditoría de cumplimiento en los últimos 12 meses y el 31 por ciento de ellas experimentó una violación de datos en el mismo año. Esto se compara con sólo el 3 por ciento de los que aprobaron las auditorías de cumplimiento.
Además, el cumplimiento de los estándares de seguridad añade una capa extra de confianza para los consumidores. Así como los usuarios no se sentirían cómodos si una tienda dejara la información de su tarjeta de crédito en una nota adhesiva, PCI DSS garantiza que las empresas traten los datos de pago de los clientes con especial cuidado, manteniéndolos cifrados, bien protegidos y fuera del alcance de cualquiera que no debería tener acceso a ellos. Por lo tanto, cada vez que un cliente compra algo, PCI DSS trabaja entre bastidores para mantener su información financiera a salvo de «intrusiones» digitales.
Pasemos a la pregunta principal: ¿Es usted compatible con PCI? Para eso, primero comprendamos qué significa ser compatible con 4.0.
Requisitos para PCI DSS 4.0
PCI DSS 4.0 se actualizó desde 3.2.1 para incluir nuevos requisitos relacionados con la autenticación multifactor (MFA), contraseñas, comercio electrónico y conciencia de seguridad. Estos incluyen:
- Una ampliación del Requisito 8 para implementar MFA para todos los accesos al entorno de datos del titular de la tarjeta.
- Requisitos de contraseña actualizados, incluido el aumento del requisito de longitud de la contraseña de 8 a 12 caracteres.
- Cambio de requisitos en torno a cuentas compartidas, grupales y genéricas.
- Roles y responsabilidades claramente definidos necesarios para cada requisito.
- Nuevos requisitos para detectar y prevenir amenazas contra la industria de pagos, incluidos ataques de phishing, comercio electrónico y e-skimming.
- Terminología de firewall actualizada para controles de seguridad de red para admitir una gama más amplia de tecnologías utilizadas para cumplir con los objetivos de seguridad que tradicionalmente cumplen los firewalls.
- Informes de evaluación PCI DSS mejorados y la opción para que las organizaciones completen evaluaciones parciales.
- Mayor flexibilidad para que las organizaciones definan con qué frecuencia realizan ciertas actividades y demuestren cómo utilizan diferentes métodos para lograr objetivos de seguridad, según mejor se adapten a sus necesidades comerciales.
La complejidad técnica de los requisitos ha planteado un desafío importante para las organizaciones. Se espera que los minoristas cumplan con un conjunto de criterios completamente nuevos, muchos de los cuales son completamente nuevos para la industria. Hay muchos cambios, transiciones y objetivos, y las empresas que no cumplan con estos requisitos se enfrentarán a retrasos en el cumplimiento y fuertes multas. La buena noticia es que con el mandato de PCI, habrá más proveedores de servicios validados por PCI con los que las organizaciones trabajarán y reducirán la carga de cumplir con las obligaciones de cumplimiento.
Lograr el cumplimiento de PCI DSS 4.0
Dado que la fecha límite se acerca rápidamente, las empresas que aún no hayan cumplido con los requisitos deben tomar los siguientes pasos para prepararse para el cumplimiento de PCI DSS 4.0:
- Ejecute una evaluación de brechas: Revise las medidas de seguridad existentes para identificar posibles brechas que necesitan mejoras para cumplir con los requisitos de PCI. Esto incluye evaluar el cumplimiento de herramientas y proveedores de terceros.
- Actualizar políticas y prácticas relevantes.: Asegúrese de que los sistemas de la empresa admitan contraseñas más largas o diversas y mantengan prácticas de cifrado en los datos confidenciales. También es importante configurar herramientas de monitoreo automatizadas para que los registros del sistema detecten cualquier amenaza o anomalía.
- Comience la implementación inmediatamente: Una vez que los conceptos básicos se alinean, las empresas deben priorizar la implementación de las reglas y prácticas requeridas para cumplir con el plazo.
- Preparar a los empleados de la empresa: Todos los miembros de la organización deben conocer los requisitos de cumplimiento y recibir una comprensión profunda de su alcance, especialmente en lo que respecta a los scripts de terceros. Cuando se necesite experiencia técnica específica, consiga el socio de confianza relevante interna o externamente.
- Programe revisiones periódicas: Configure un monitoreo y mantenimiento trimestral o anual de controles de seguridad de hardware y software para detectar vulnerabilidades.
El incumplimiento puede dar lugar a sanciones, incluidas multas que oscilan entre 5.000 y 100.000 dólares estadounidenses por mes, mayores requisitos de auditoría y un posible cierre de la actividad de tarjetas de crédito por parte de un banco comercial o una marca de tarjetas de crédito. Estas sanciones dependen del volumen de transacciones, el nivel de PCI DSS que debe tener el comerciante o proveedor de servicios y el tiempo que ha incumplido.
A medida que comenzamos la cuenta regresiva para el cumplimiento, adaptarse a estos cambios puede resultar abrumador. Sin embargo, las organizaciones que sigan los pasos anteriores estarán mejor posicionadas para cumplir con el plazo de cumplimiento y mejorar su seguridad antes de las nuevas y crecientes amenazas que probablemente traerá el año 2025.
Cumplimiento con PCI DSS 4.0: Una Guía para Empresas
Estamos a pocos días de la fecha límite del 31 de marzo para el cumplimiento de PCI DSS. La transición de PCI DSS 3.2.1 a 4.0 es un gran esfuerzo para muchas organizaciones, ya que involucra evaluaciones de riesgos más formalizadas y múltiples mandatos de seguridad para proteger los datos de pago y reducir el fraude con tarjetas de crédito. Este cumplimiento es obligatorio para instituciones financieras, procesadores de pagos en línea, comerciantes y cualquier organización que trate con información de tarjetas de pago. Es un asunto empresarial de gran importancia.
Importancia del Cumplimiento de Seguridad
La relevancia del cumplimiento con las medidas de seguridad es destacada en el Informe sobre amenazas de datos de Thales de 2024, que indica que el 93% de los profesionales creen que las amenazas de seguridad están en aumento. Sin embargo, el 43% de las empresas no pasó una auditoría de cumplimiento en el último año y el 31% sufrió una violación de datos en el mismo periodo, comparado con solo el 3% que aprobó dichas auditorías. Adicionalmente, el cumplimiento aporta una capa de confianza para los consumidores, asegurando que las empresas manejan sus datos de pago con el debido cuidado y cifrado. Así, PCI DSS trabaja detrás de escena para proteger la información financiera de los usuarios.
Requisitos de PCI DSS 4.0
PCI DSS 4.0 trae nuevos requisitos sobre autenticación multifactor (MFA), contraseñas, comercio electrónico y conciencia de seguridad. Los cambios incluyen:
- MFA Obligatoria: Se debe implementar para todos los accesos al ambiente de datos del titular de la tarjeta.
- Requisitos de Contraseña: Aumento en la longitud de contraseñas de 8 a 12 caracteres.
- Cuentas Compartidas: Cambios en los requisitos relacionados con cuentas grupales y genéricas.
- Roles Definidos: Claridad en las responsabilidades asociadas a cada requisito.
- Detección de Amenazas: Nuevos requisitos para prevenir ataques de phishing y e-skimming.
- Terminología Actualizada: Cambios en el lenguaje relacionado con los controles de seguridad de red.
- Mejoras en los Informes: Se permite a las organizaciones realizar evaluaciones parciales.
- Mayor Flexibilidad: Las organizaciones pueden definir con qué frecuencia realizar ciertas actividades.
Estos nuevos criterios presentan un desafío significativo para los comerciantes, y el incumplimiento podría resultar en sanciones severas.
Pasos para Alcanzar el Cumplimiento de PCI DSS 4.0
Con la fecha límite próxima, las empresas que aún no han cumplido con los requisitos deben seguir estos pasos:
- Evaluación de Brechas: Revisar las medidas de seguridad existentes para identificar áreas de mejora.
- Actualizar Políticas: Asegurarse de que los sistemas soporten contraseñas fuertes y prácticas de cifrado.
- Implementación Inmediata: Priorizar la aplicación de nuevas reglas y prácticas requeridas.
- Capacitación de Empleados: Asegurar que todos los miembros comprendan los requisitos de cumplimiento.
- Revisiones Periódicas: Establecer un cronograma para el monitoreo de controles de seguridad.
El no cumplir con PCI DSS puede acarrear sanciones que varían desde multas de 5,000 a 100,000 dólares al mes hasta el cierre de actividades de tarjetas de crédito por parte de instituciones bancarias.
Conclusión
Mientras se aproxima la fecha límite para el cumplimiento, adaptarse a los cambios de PCI DSS 4.0 puede resultar abrumador. Sin embargo, las organizaciones que sigan estos pasos estarán mejor preparadas para cumplir y mejorar su seguridad frente a las crecientes amenazas en el futuro.