Guía del modelo de madurez Essential Eight: ¿cómo aplicarlo a tu empresa?
Aprende a aplicar el modelo de madurez Essential Eight para reforzar la ciberseguridad, reducir riesgos y proteger los datos sensibles del negocio.
El Payment Card Industry Data Security Standard (PCI DSS, o PCI para abreviar) es un conjunto de reglas y procesos diseñados para proteger los datos sensibles de los titulares de tarjetas frente a brechas y fraudes. En esencia, indica a los comercios cómo manejar la información de las tarjetas de crédito de sus clientes de forma segura para que no caiga en malas manos.
El PCI DSS se introdujo por primera vez en EE. UU. en diciembre de 2004. Las 5 grandes compañías de tarjetas de crédito que crearon el estándar formaron a continuación el Payment Card Industry Security Standards Council (PCI SSC) como organismo rector. El PCI SSC supervisa la administración y el desarrollo posterior del PCI DSS.
El estándar sigue evolucionando y actualmente se encuentra en la versión 4.0, publicada en marzo de 2022.
¿A quién se aplica el PCI DSS?
El PCI DSS se aplica a escala global a todas las entidades que procesen, transmitan o almacenen datos de titulares de tarjetas, sin importar su tamaño o el número de transacciones.
Dicho de forma sencilla, si tu empresa u organización maneja tarjetas de crédito o débito con los logotipos de al menos una de las 5 compañías miembro, el PCI DSS te aplica. Los bancos adquirentes, los comercios online y offline y los proveedores de servicios deben cumplir con PCI.
No obstante, no es una situación de talla única. Existen 4 niveles de cumplimiento que dependen del número de transacciones procesadas por la empresa.
También se tienen en cuenta otros criterios, como si la empresa ha sufrido una brecha de datos previamente o la forma en que acepta los pagos con tarjeta (solo offline frente a una pasarela de pago online).
Lo básico para cumplir con el PCI DSS
El PCI DSS es un conjunto integral de directrices destinadas a proteger los datos de las tarjetas de crédito frente a fugas o robos por parte de un comercio u organización. Hay 12 requisitos generales, que comentaremos a continuación.
Es importante tener claro que mantenerse al día con el PCI DSS es un esfuerzo continuo, no un trámite puntual. Para mantener el cumplimiento, las evaluaciones e informes se presentan anualmente y los análisis de los sistemas se realizan con mayor frecuencia.
Los procedimientos específicos de prueba y validación varían de un nivel a otro.
En general, todas las organizaciones sujetas a las directrices del PCI DSS deben completar una autoevaluación anual. Esta indicará el grado de seguridad de sus prácticas de procesamiento y almacenamiento de tarjetas.
El formulario de evaluación puede tener apenas 9 páginas y resultar relativamente fácil de completar, o convertirse en una tarea de 80 páginas que requiera asistencia de terceros. Los formularios solo contienen preguntas de tipo «sí» o «no», lo que puede parecer sencillo, pero la naturaleza técnica y cada vez más exigente de las preguntas puede generar incertidumbre. Las empresas también están obligadas a resolver cualquier «no» antes de presentar el formulario, lo que añade un nivel adicional de dificultad.
Otros requisitos de validación de PCI pueden incluir aportar la prueba de haber superado un análisis de vulnerabilidades aprobado o completar una declaración de cumplimiento.
¿Cuáles son los 12 requisitos del PCI DSS?
Aunque cumplir con el PCI DSS puede ser una carga importante para una empresa, en esencia se trata de una lista de buenas prácticas (obligatorias) que no resultan descabelladas. Cada uno de los 12 requisitos se desarrolla a su vez en 3 secciones: definición, proceso de prueba y explicación de su finalidad.
Riesgos de no cumplir con el PCI DSS
Si una empresa está sujeta a PCI pero no cumple o incumple los términos establecidos en su contrato, se enfrentará a consecuencias. Estas pueden ir desde sanciones impuestas por las compañías de tarjetas de crédito hasta consecuencias inherentes al propio incumplimiento.
¿Cuáles son algunos de los riesgos de no cumplir con PCI?
- Tarifa por incumplimiento de PCI
Una empresa puede recibir una «tarifa por incumplimiento de PCI» de cientos de miles de USD al mes en función de su tamaño. La mires como la mires, esta tarifa es una multa recurrente. Se cobrará cada mes hasta que la empresa cumpla con los estándares PCI.
- Sufrir una brecha de datos
Lógicamente, si no cumples con los estándares PCI, aumentas el riesgo de que tu empresa sufra una brecha de datos. Aunque los requisitos de PCI no garantizan que los datos de los titulares de tarjetas de una empresa queden a salvo de los ataques, sí reducen significativamente la probabilidad de que una brecha tenga éxito.
- Auditoría forense
Será necesario realizar una auditoría forense, a expensas de la empresa que se haya visto comprometida, para determinar la causa de la brecha de datos.
- Costes adicionales tras una brecha
Si los datos de las tarjetas de crédito de los clientes se ven comprometidos, la empresa incurrirá en costes adicionales, como compensar a los clientes, costes por responsabilidad civil o multas por cada dato de titular de tarjeta robado o expuesto, además de las posibles tarifas más elevadas que apliquen los bancos o las compañías de tarjetas tras la brecha.
No es raro que tras una brecha de seguridad llegue una demanda, en cuyo caso los costes pueden multiplicarse rápidamente.
- Daño a la marca
Cualquier empresa que pierda o ponga en peligro los datos de los titulares de tarjetas se verá perjudicada a ojos de sus clientes. El inevitable daño a la marca puede convertir en una tarea imposible recuperar la confianza de los clientes. Muchas empresas han desaparecido tras sufrir una brecha de datos.
Ejemplos de incumplimientos del PCI DSS
Ignorar los requisitos técnicamente más complicados del PCI DSS es un ejemplo evidente de incumplimiento. Pero existen casos en los que la infracción es totalmente involuntaria. Algunos ejemplos:
- Almacenar información de tarjetas de crédito en sistemas o endpoints sin cifrar.
- Permitir que cualquier persona de la organización pueda acceder a los datos de las tarjetas de crédito.
- Perder la pista de dónde están los datos de las tarjetas de crédito y por dónde se mueven dentro de la organización.
- Enviar información de los titulares de tarjetas por correo electrónico dentro de la empresa.
- No exigir a los empleados que inicien sesión en el sistema con un ID y una contraseña únicos.
- Proteger los datos solo fuera del horario laboral pensando, erróneamente, que es entonces cuando se producen la mayoría de los intentos de hackeo.
En muchas ocasiones, la falta de comprensión o de atención a las directrices PCI basta para no implantar correctamente los procesos o, en algunos casos, para no implantarlos en absoluto.
Asegurarte de que el personal de la empresa esté correctamente formado en PCI DSS también es una parte importante del proceso.
¿El PCI es obligatorio por ley?
No. La entidad rectora y administradora del PCI DSS es el PCI SSC. Los requisitos del PCI DSS se hacen cumplir mediante contratos entre una empresa y su banco y compañía de tarjetas de crédito.
Algunos estados de EE. UU. han incorporado el PCI DSS a su legislación estatal, principalmente en el sentido de que las empresas que cumplen con el PCI DSS quedan protegidas frente a responsabilidades en caso de brecha de datos.
En Europa, el PCI DSS es un estándar ampliamente utilizado y cada vez más promovido en los últimos años. Al igual que en EE. UU., PCI no es obligatorio por ley.
Cómo Safetica te ayuda con el cumplimiento del PCI DSS
Descubre más sobre cómo Safetica te ayuda a cumplir con PCI-DSS