Desde 2005, más de 11 mil millones de registros de consumidores se han visto comprometidos por más de 8500 violaciones de datos. Estas son las cifras más recientes de The Privacy Rights Clearinghouse, una organización que informa sobre las violaciones de datos y de seguridad que afectan a los consumidores desde 2005.

Para mejorar la seguridad de los datos del consumidor y la confianza en el ecosistema de pagos, se creó una norma básica para la seguridad de los datos. En 2006, Visa, Mastercard, American Express, Discover y JCB formaron el Consejo de Normas de Seguridad del Sector de las Tarjetas de Pago (PCI SSC) destinado a administrar y gestionar las normas de seguridad de las empresas que manejan los datos de tarjetas de crédito. Antes de la creación de este consejo, estas cinco empresas de tarjetas de crédito tenían programas de normas de seguridad propios, cada una con requisitos y objetivos bastante similares. Para garantizar un nivel básico de protección a los consumidores y a los bancos en la era de Internet, se unieron en el PCI SSC para adoptar una sola política estándar: las Normas de Seguridad de Datos del PCI (conocidas como PCI DSS o «normativa PCI»).

Entender la normativa PCI es una tarea compleja y desafiante

Si tu modelo de negocio exige que manejes datos de tarjetas, es posible que debas cumplir con cada uno de los más de 300 controles de seguridad estipulados en esta normativa. Hay más de 1800 páginas de documentación oficial sobre la normativa publicada por el consejo de dicho sector, y más de 300 páginas solo para entender qué formularios deben utilizarse al validar su cumplimiento. Esto implicaría más de 72 horas solo de lectura.

Con el fin de aliviar esta carga, la siguiente es una guía paso a paso para validar y mantener el cumplimiento de la normativa PCI.

Resumen sobre la normativa de seguridad de los datos PCI (PCI DSS)

PCI DSS es la normativa de seguridad global para todas las entidades que almacenan, procesan o transmiten datos de titulares de tarjetas y/o datos confidenciales de autenticación. PCI DSS establece un nivel básico de protección para los consumidores y ayuda a reducir el fraude y las violaciones de datos en todo el ecosistema de pagos. Es aplicable a cualquier organización que acepte o procese tarjetas de pago.

El cumplimiento de la PCI DSS consta de tres componentes principales:

1. La gestión de la entrada de datos de las tarjetas de crédito de los clientes. Es decir, recopilar y transmitir los datos confidenciales de las tarjetas de forma segura.
   
2. El almacenamiento seguro de los datos, según se describe en los 12 dominios de seguridad de la normativa PCI, por ejemplo, mediante cifrado, supervisión continua y verificación de la seguridad del acceso a los datos de las tarjetas.
   
3. Validar anualmente la implementación adecuada de los controles de seguridad necesarios, que pueden incluir formularios, cuestionarios, servicios externos de análisis de vulnerabilidades y auditorías de terceros (busca en la guía paso a paso que se encuentra a continuación una tabla con los cuatro niveles de requisitos)
   

Manejo de los datos de tarjeta

Algunos modelos de negocio exigen el manejo directo de los datos confidenciales de tarjetas de crédito al aceptar los pagos, mientras que otros no. Es posible que a las empresas que sí necesitan manejar los datos (por ejemplo, porque aceptan números de cuentas primarias sin un token en una página de pago) se les solicite que cumplan cada uno de los más de 300 controles de seguridad estipulados en las DSS del PCI. Aun cuando los datos de las tarjetas pasen por su servidor brevemente, la empresa deberá comprar, instalar y mantener software y hardware de seguridad.

Si una empresa no necesita manejar los datos confidenciales de tarjetas de crédito, no debería hacerlo. Las soluciones de terceros (por ejemplo, Stripe Elements) aceptan y almacenan los datos de forma segura, lo que evita complicaciones, costos y riesgos considerables. Debido a que los datos de las tarjetas nunca entran en contacto con sus servidores, estas empresas solo necesitan confirmar 22 controles de seguridad, la mayoría de los cuales son muy simples, como el uso de una contraseña segura.

Almacenamiento seguro de los datos

Si una organización maneja o almacena datos de tarjetas de crédito, debe definir el alcance del entorno de datos del titular de la tarjeta (CDE). PCI DSS define el CDE como las personas, procesos y tecnologías que almacenan, procesan o transmiten datos de tarjetas de crédito, o bien cualquier sistema relacionado. Debido a que los más de 300 requisitos de seguridad de la PCI DSS se aplican al CDE, es importante segmentar adecuadamente el entorno de pago del resto de la empresa para limitar el alcance de la validación del PCI. Si una organización no puede contener el alcance del CDE con una segmentación pormenorizada, los controles de seguridad conforme a la normativa PCI deben aplicarse a todo sistema, computadoras portátiles y dispositivos que se encuentren en tu red corporativa.

Validación anual

Independientemente de cómo se acepten los datos de tarjeta, las organizaciones están obligadas a completar un formulario de validación conforme a la normativa PCI todos los años. La forma como se valide el cumplimiento de la normativa PCI depende de varios factores, que se describen abajo. A continuación, se presentan tres escenarios en los que se podría solicitar a una organización que demuestre que cumple con la normativa PCI:

• Los procesadores de pagos pueden solicitarla como parte de su proceso obligatorio de notificación a las marcas de tarjetas de pago.
  
• Los socios de empresas pueden solicitarla como un requisito previo a la firma de acuerdos comerciales.
  
• En el caso de las empresas que usan una plataforma (cuya tecnología facilita las transacciones en línea entre múltiples grupos de usuarios), los clientes pueden solicitarla para demostrarles a sus clientes que manejan los datos de forma segura.
  

El conjunto de normas de seguridad más reciente, versión 3.2.1 de la PCI DSS, incluye 12 requisitos principales con más de 300 subrequisitos que reflejan las mejores prácticas de seguridad.

CREAR Y MANTENER UNA RED Y SISTEMAS SEGUROS

• 1. Instalar y mantener una configuración de cortafuegos para proteger los datos de los titulares de tarjetas.
  
• 2. No utilizar los valores predeterminados proporcionados por el proveedor para las contraseñas del sistema y otros parámetros de seguridad.
  

PROTEGER LOS DATOS DE LOS TITULARES DE TARJETAS

• 3. Proteger los datos almacenados de los titulares de tarjetas.
  
• 4. Cifrar la transmisión de datos de los titulares de tarjetas a través de redes abiertas o públicas.
  

MANTENER UN PROGRAMA DE GESTIÓN DE VULNERABILIDADES

• 5. Proteger todos los sistemas contra programas maliciosos y actualice el software antivirus de manera regular.
  
• 6. Desarrollar y mantener aplicaciones y sistemas seguros.
  

APLICAR MEDIDAS DE CONTROL DE ACCESO SÓLIDAS

• 7. Permitir el acceso a los datos de los titulares de tarjetas solo en los casos en que sea necesario para la empresa.
  
• 8. Identificar y autenticar el acceso a los componentes del sistema.
  
• 9. Restringir el acceso físico a los datos de los titulares de tarjetas.
  

SUPERVISAR Y PROBAR LAS REDES CON REGULARIDAD

• 10. Realizar un seguimiento y control de todos los accesos a los recursos de la red y a los datos de los titulares de tarjetas.
  
• 11. Verificar los sistemas y procesos de seguridad de manera regular.
  

DISPONER DE UNA POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN

• 12. Mantener una política que aborde la seguridad de la información para todo el personal.
  

Para que a las nuevas empresas les resulte «más fácil» el proceso de validación del cumplimiento de la normativa PCI, el consejo de la PCI creó nueve formularios diferentes o cuestionarios de autoevaluación (SAQ), que son un subconjunto de todos los requisitos de la norma PCI DSS. La clave es determinar cuál es aplicable o si es necesario contratar a un auditor aprobado por Consejo de la PCI para que verifique el cumplimiento de cada requisito de seguridad conforme a PCI DSS. Además, el consejo revisa las normas cada tres años y publica actualizaciones progresivas durante todo el año, lo que hace que su complejidad sea aún más dinámica.

Guía paso a paso para el cumplimiento de normativa PCI DSS versión 3.2.1

1. Conoce los requisitos

El primer paso para cumplir con la normativa PCI implica conocer los requisitos que se aplican a tu empresa. Hay cuatro niveles diferentes de cumplimiento de la normativa PCI que, por lo general, se basan en el volumen de transacciones con tarjeta de crédito que procesa tu empresa en un lapso de 12 meses.

Para los niveles 2 a 4, hay diferentes tipos de SAQ según el método de integración de pagos que utilices. A continuación, una tabla resumida:

2. Traza el diagrama de los flujos de datos

Para poder proteger los datos confidenciales de tarjetas de crédito, debes saber dónde residen y cómo llegan hasta allí. Tendrás que trazar un diagrama integral de los sistemas, las conexiones de red y las aplicaciones que interactúen con datos de tarjetas de crédito en tu organización. Según cuál sea tu función, es probable que tengas que trabajar con los equipos de TI y seguridad para hacerlo.

• En primer lugar, identifica las áreas de la empresa orientadas al consumidor que impliquen transacciones de pago. Por ejemplo, puedes aceptar pagos a través de un carrito de compras virtual, las terminales de pago de una tienda o pedidos telefónicos.
  
• En segundo lugar, identifica las diferentes formas en que se manejan los datos de los titulares de tarjetas en toda la empresa. Es importante saber exactamente dónde se almacena la información y quién tiene acceso a ella.
  
• Por último, identifica los sistemas internos o las tecnologías subyacentes que se utilizan para procesar las transacciones de pago. Esto incluye los sistemas de red, los centros de datos y los entornos en la nube.
  

3. Verificación de los controles y protocolos de seguridad

Una vez que identifiques todos los posibles puntos de contacto de los datos de las tarjetas de crédito en tu organización, trabaja con los equipos de TI y de seguridad para asegurarte de que se establezcan las configuraciones y los protocolos de seguridad adecuados (consulta la lista de 12 requisitos de seguridad para las DSS del PCI que se encuentra más arriba). Estos protocolos se diseñaron para proteger la transmisión de datos, como Transport Layer Security (TLS).

Los 12 requisitos de seguridad de la versión 3.2.1 de las DSS del PCI se basan en las mejores prácticas para proteger los datos confidenciales de cualquier empresa. Varios se superponen con los requisitos exigidos conforme al RGPD, la HIPAA y otros mandatos de privacidad, por lo que es posible que tu organización ya esté cumpliendo con algunos de ellos.

4. Vigilar y mantener

Cabe destacar que el cumplimiento de la normativa PCI no es un acontecimiento aislado, sino un proceso continuo que permita asegurar que tu empresa sigue cumpliendo con la normativa a medida que el flujo de datos y los puntos de contacto con los clientes aumentan. Algunas marcas de tarjetas de crédito pueden solicitar que envíes informes trimestrales o anuales, o que realices una evaluación anual en las instalaciones para validar el cumplimiento continuo de la normativa, en especial si se procesan más de 6 millones de transacciones al año.

La gestión del cumplimiento de la normativa PCI durante el año (y a través de los años) suele requerir apoyo y colaboración interdepartamental. Si no existe, vale la pena crear un equipo interno dedicado a ello para asegurar debidamente el cumplimiento. Si bien cada empresa es única, para crear un buen «equipo PCI» se puede empezar por incluir un representante de cada uno de los siguientes sectores:

• Seguridad: el director general de Seguridad (CSO), el director general de Seguridad Informática (CISO) y sus equipos garantizan que la organización invierta siempre de forma adecuada en las políticas y los recursos de seguridad y privacidad de datos necesarios.
  
• Tecnología/pagos: el director general de Tecnología (CTO), el vicepresidente de Pagos y sus equipos garantizan que las principales herramientas, integraciones e infraestructuras se mantengan dentro de la norma a medida que los sistemas de la organización se desarrollan.
  
• Finanzas: el director general de Finanzas (CFO) y su equipo garantizan la consideración de todos los flujos de datos de pago cuando se trata de sistemas de pago y socios.
  
• Legal: este equipo puede ayudar a manejar la gran cantidad de matices legales que implica el cumplimiento de las DSS del PCI.
  

Para obtener más información sobre el complejo mundo del cumplimiento de la normativa PCI, visita el sitio web del SSC del PCI. Si solo lees esta guía y otros documentos acerca de la normativa PCI, te recomendamos empezar por estos: enfoque prioritario de las DSS del PCI, instrucciones y pautas sobre los SAQ, preguntas frecuentes sobre el uso de los criterios de admisibilidad de los SAQ a fin de determinar los requisitos de evaluación en las instalaciones y preguntas frecuentes sobre las obligaciones de los comerciantes que desarrollan aplicaciones para los dispositivos de consumo que aceptan datos de tarjetas de pago de los clientes.

¿Cómo Stripe ayuda a las organizaciones a lograr y mantener el cumplimiento de la normativa PCI?

Stripe simplifica de manera significativa la carga del cumplimiento de la normativa PCI para las empresas que adoptan Checkout, Elements, SDK para dispositivos móviles y SDK para Terminal. Stripe Checkout y Stripe Elements utilizan un campo de pago alojado para gestionar todos los datos de las tarjetas de pago, de modo que el titular de la tarjeta ingresa toda la información de pago confidencial en un campo de pago que se origina directamente en nuestros servidores validados por la normativa PCI DSS. Los SKD para dispositivos móviles y para terminales de Stripe también permiten al titular de la tarjeta enviar la información confidencial de pago directamente a nuestros servidores validados por la normativa.

Con métodos de aceptación de tarjetas más seguros como estos, completamos el cuestionario de autoevaluación PCI (SAQ) en el Dashboard de Stripe, haciendo que la validación de la normativa PCI sea tan simple como hacer clic en un botón. Para las organizaciones más pequeñas, esto les ahorra cientos de horas de trabajo y para las más grandes, miles.

Para todos nuestros usuarios, independientemente del tipo de integración, Stripe actúa como defensor de la normativa PCI y puede ayudar de diferentes maneras.

• Analizamos tú método de integración, y te aconsejamos sobre el formulario de la normativa PCI que debes utilizar y cómo reducir su carga de cumplimiento.
  
• Te notificamos con anticipación si es necesario un cambio en la forma de validar el cumplimiento de la normativa debido a un volumen creciente de transacciones.
  
• Para los grandes comerciantes (Nivel 1), ofrecemos un paquete sobre la normativa PCI que puede reducir el tiempo de validación de meses a días. Si debes trabajar con un asesor de seguridad certificado (QSA) para PCI (porque almacenas datos de tarjetas de crédito o tienes un flujo de pago más complejo), existen más de 350 empresas asesoras en todo mundo y podemos ponerte en contacto con varios auditores que conocen a fondo los diferentes métodos de integración de Stripe.
  

Conclusión

La evaluación y la validación del cumplimiento de la normativa PCI suele realizarse una vez al año. Sin embargo, no se trata de un acontecimiento aislado, sino de un gran esfuerzo continuo de evaluación y rectificación. A medida que una empresa crece, se amplían los principales procesos y lógicas comerciales, lo que implica que aumentan también los requisitos de cumplimiento. Una empresa en línea, por ejemplo, puede decidir abrir tiendas físicas, entrar en nuevos mercados o lanzar un centro de soporte para el cliente. Si algo de lo nuevo implica datos de tarjetas de pago, es aconsejable que verifiques de forma proactiva si repercute en tu método de validación conforme a la normativa PCI y revalida el cumplimiento de esa normativa según sea necesario.

El cumplimiento de la normativa PCI ayuda, pero no es suficiente.

El cumplimiento de las pautas de la normativa PCI (PCI DSS) es una capa de protección necesaria para tu empresa, pero no es suficiente. La PCI (PCI DSS) establece normas importantes para el manejo y el almacenamiento de los datos de titulares de tarjetas, pero por sí solas, no ofrecen suficiente protección para todos los entornos de pago. En cambio, cambiar a un método de aceptación de tarjetas más seguro (como Stripe Checkout, Elements y SDK para dispositivos móviles) es una forma mucho más eficaz de proteger a tu organización. El beneficio que esto proporciona a largo plazo consiste en no depender de las normas básicas del sector ni preocuparte por el posible fallo de los controles de seguridad. Este enfoque proporciona a las empresas ágiles una forma de mitigar posibles filtraciones de datos y evitar el enfoque histórico emocional, lento y costoso de validación de la normativa PCI. Además, un método de integración más seguro resulta confiable todos los días del año.