Desde 2005, más de 11 mil millones de registros de consumidores se han visto comprometidos por más de 8500 violaciones de datos. Estas son las cifras más recientes de The Privacy Rights Clearinghouse, una organización que informa sobre las violaciones de datos y de seguridad que afectan a los consumidores desde 2005.

Para mejorar la seguridad de los datos del consumidor y la confianza en el ecosistema de pagos, se creó una norma básica para la seguridad de los datos. En 2006, Visa, Mastercard, American Express, Discover y JCB formaron el Consejo de Normas de Seguridad del Sector de las Tarjetas de Pago (PCI SSC) destinado a administrar y gestionar las normas de seguridad de las empresas que manejan los datos de tarjetas de crédito. Antes de la creación de este consejo, estas cinco empresas de tarjetas de crédito tenían programas de normas de seguridad propios, cada una con requisitos y objetivos bastante similares. Con el fin de adoptar unos estándares unificados, se unieron en el PCI SSC y establecieron las Normas de Seguridad de los Datos de PCI (conocidas como la «normativa PCI») para garantizar unos mínimos de protección para los consumidores y los bancos en la era de Internet.

Entender la normativa PCI es una tarea compleja y desafiante

Si tu modelo de negocio exige que manejes datos de tarjetas, es posible que debas cumplir con cada uno de los más de 300 controles de seguridad estipulados en esta normativa. La documentación oficial consta de más de 1800 páginas (más de 300 solo para entender qué formularios hay que utilizar para garantizar el cumplimento): necesitarías 72 horas solo para leer la normativa al completo.

Para evitarte las decenas de horas que te tomaría leer (y entender cómo aplicar en cada caso) la normativa PCI, te preparamos esta guía paso a paso sobre cómo validar y asegurar su cumplimiento.

Qué es el cumplimiento PCI DSS: un panorama general

La PCI DSS es una normativa de seguridad internacional diseñada para todas las entidades que almacenan, procesan o transmiten datos de titulares de tarjetas o datos confidenciales de autenticación. Esta norma establece un nivel básico de protección para los consumidores, contribuyendo a reducir el fraude y las filtraciones de datos dentro de todo el ecosistema de pagos. Es aplicable a cualquier organización que acepte o procese tarjetas de pago.

El cumplimiento de la PCI DSS consta de tres componentes principales:

1. Gestionar la recepción de los datos de las tarjetas de crédito de los clientes. Es decir, recopilar y transmitir los datos confidenciales de las tarjetas de forma segura.
   
2. Guardar los datos de manera segura, según se describe en los 12 dominios de seguridad de la normativa PCI, por ejemplo, mediante cifrado, vigilancia continua y verificación de la seguridad del acceso a los datos de tarjeta.
   
3. Validar anualmente la implementación adecuada de los controles de seguridad necesarios, que pueden incluir formularios, cuestionarios, servicios externos de análisis de vulnerabilidades y auditorías de terceros (encuentra en la guía paso a paso una tabla con los cuatro niveles de requisitos).
   

Manejo de los datos de tarjeta

Algunos modelos comerciales exigen el manejo directo de los datos confidenciales de tarjetas de crédito al aceptar los pagos, mientras que otros no. Es posible que a las empresas que sí necesitan manejar los datos (por ejemplo, porque aceptan números de cuentas primarias sin un token en una página de pago) se les solicite que cumplan cada uno de los más de 300 controles de seguridad estipulados en la PCI DSS. Aun cuando los datos de las tarjetas pasen por su servidor brevemente, la empresa deberá comprar, instalar y mantener software y hardware de seguridad.

Si una empresa no necesita manejar los datos confidenciales de tarjetas de crédito, no debe hacerlo. Las soluciones de terceros (como Stripe Elements) aceptan y almacenan los datos de forma segura, lo que evita complicaciones, costos y riesgos considerables. Debido a que los datos de las tarjetas nunca entran en contacto con sus servidores, estas empresas solo necesitan confirmar algunos controles de seguridad simples como el uso de una contraseña segura.

Almacenamiento seguro de los datos

Si una organización maneja o almacena datos de tarjetas de crédito, debe definir el alcance del entorno de datos del titular de la tarjeta (CDE). La PCI DSS define el CDE como las personas, los procesos y las tecnologías que almacenan, procesan o transmiten datos de tarjetas de crédito, o bien cualquier sistema relacionado. Debido a que al CDE se le aplican todos los requisitos de seguridad de la PCI DSS, que son más de 300, es importante segmentar bien el entorno de pago del resto de la empresa para limitar el alcance de la validación de la PCI. Si una organización no puede contener el alcance del CDE con una segmentación pormenorizada, los controles de seguridad conforme a la PCI deben aplicarse a todo sistema, computadora y dispositivo que esté en su red corporativa.

Validación anual

Independientemente de cómo se acepten los datos de tarjeta, las organizaciones deben completar un formulario de validación conforme a la normativa PCI todos los años. La validación del cumplimiento de la normativa PCI varía según varios factores. A continuación, se presentan tres escenarios en los que una organización podría necesitar demostrar su conformidad con los estándares PCI:

• Los procesadores de pagos pueden solicitarlo como parte de su proceso obligatorio de notificación a las marcas de tarjetas de pago.
  
• Los socios de empresas pueden solicitarlo como un requisito previo a la firma de acuerdos de negocios.
  
• En el caso de las empresas que usan una plataforma (cuya tecnología facilita las transacciones en línea entre varios conjuntos distintos de usuarios), los clientes pueden solicitarlo para demostrarles a sus clientes que manejan los datos de forma segura.
  

La PCI DSS incluye 12 requisitos principales con más de 300 subrequisitos que reflejan las mejores prácticas de seguridad.

CREAR Y MANTENER UNA RED Y SISTEMAS SEGUROS

• 1. Instalar y mantener los controles de seguridad de la red.
  
• 2. Aplicar configuraciones seguras a todos los componentes del sistema.
  

PROTEGER LOS DATOS DE LA CUENTA

• 3. Proteger los datos almacenados de los titulares de tarjetas.
  
• 4. Proteger los datos de los titulares de tarjeta con sólida criptografía durante la transmisión por redes abiertas y públicas.
  

MANTENER UN PROGRAMA DE GESTIÓN DE VULNERABILIDADES

• 5. Proteger todos los sistemas y redes del software malicioso.
  
• 6. Desarrollar y mantener software y sistemas seguros.
  

APLICAR MEDIDAS DE CONTROL DE ACCESO SÓLIDAS

• 7. Restringir el acceso a los componentes del sistema y los datos de los titulares de tarjetas solo en los casos en que sea necesario para la empresa.
  
• 8. Identificar y autenticar el acceso a los componentes del sistema.
  
• 9. Restringir el acceso físico a los datos de los titulares de tarjetas.
  

CONTROLAR Y VERIFICAR LAS REDES DE MANERA REGULAR

• 10. Iniciar sesión y controlar el acceso a los componentes del sistema y los datos de los titulares de tarjetas.
  
• 11. Probar la seguridad de los sistemas y las redes periódicamente.
  

DISPONER DE UNA POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN

• 12. Respaldar la seguridad de la información con procedimientos y políticas de organización.
  

Para «facilitar» el proceso de validación de cumplimiento de la normativa PCI para las nuevas empresas, el consejo de PCI creó nueve formularios distintos, conocidos como cuestionarios de autoevaluación (SAQ). Estos cuestionarios incluyen un subconjunto de todos los requisitos completos de la normativa PCI DSS. El desafío radica en determinar cuál de estos cuestionarios se aplica a tu negocio o si es necesario contratar a un auditor aprobado por el consejo de PCI para verificar que se cumplan todos los requisitos de seguridad de PCI DSS. Además, el consejo de PCI actualiza las reglas cada tres años y publica actualizaciones progresivas durante todo el año, lo que añade una capa adicional de complejidad dinámica al proceso.

Guía paso a paso sobre el cumplimiento de las DSS del PCI

1. Conoce tus requisitos

El primer paso para cumplir con la normativa PCI implica conocer los requisitos que se aplican a tu organización. Hay cuatro niveles diferentes de cumplimiento de la normativa PCI que, por lo general, se basan en el volumen de transacciones con tarjeta de crédito que procese tu empresa en un lapso de 12 meses.

Para los niveles 2 a 4, hay diferentes tipos de SAQ según el método de integración de pagos que utilices. A continuación, una tabla resumida:

2. Traza el diagrama de los flujos de datos

Para poder proteger los datos confidenciales de tarjetas de crédito, debes saber dónde residen y cómo llegan hasta allí. Tendrás que trazar un diagrama integral de los sistemas, las conexiones de red y las aplicaciones que interactúen con datos de tarjetas de crédito en tu organización. Según cuál sea tu función, es probable que tengas que trabajar con los equipos de TI y seguridad para hacerlo.

• En primer lugar, identifica las áreas de la empresa orientadas al consumidor que impliquen transacciones de pago. Por ejemplo, puedes aceptar pagos a través de un carrito de compras virtual, las terminales de pago de una tienda o pedidos telefónicos.
  
• En segundo lugar, identifica las diferentes formas en que se manejan los datos de los titulares de tarjetas en toda la empresa. Es importante saber exactamente dónde se almacena la información y quién tiene acceso a ella.
  
• Por último, identifica los sistemas internos o las tecnologías subyacentes que se utilizan para procesar las transacciones de pago. Esto incluye los sistemas de red, los centros de datos y los entornos en la nube.
  

3. Verificación de los controles y protocolos de seguridad

Una vez que identificas todos los puntos que podrían tener acceso a los datos de tarjetas de crédito en tu organización, trabaja con los equipos de TI y seguridad para garantizar que se instituyan las configuraciones y los protocolos de seguridad correctos (ver la lista de 12 requisitos de seguridad de las DSS del PCI que se incluye más arriba). Estos protocolos se diseñaron para proteger la transmisión de datos, como Transport Layer Security (TLS).

Los 12 requisitos de seguridad de las DSS del PCI se basan en las mejores prácticas para proteger los datos confidenciales de cualquier empresa. Varios se superponen con los requisitos exigidos conforme al RGPD, la HIPAA y otros mandatos de privacidad, por lo que es posible que tu organización ya esté cumpliendo con algunos de ellos.

4. Vigilar y mantener

Cabe destacar que el cumplimiento de la normativa PCI no es un acontecimiento aislado, sino un proceso continuo que permita asegurar que tu empresa sigue cumpliendo con la normativa a medida que el flujo de datos y los puntos de contacto con los clientes aumentan. Algunas marcas de tarjetas de crédito pueden solicitar que envíes informes trimestrales o anuales, o que realices una evaluación anual en las instalaciones para validar el cumplimiento continuo de la normativa, en especial si se procesan más de 6 millones de transacciones al año.

La gestión del cumplimiento de la normativa PCI durante el año (y a través de los años) suele requerir apoyo y colaboración interdepartamental. Si no existe, vale la pena crear un equipo interno dedicado a ello para asegurar debidamente el cumplimiento. Si bien cada empresa es única, para crear un buen «equipo PCI» se puede empezar por incluir un representante de cada uno de los siguientes sectores:

• Seguridad: el director general de Seguridad (CSO), el director general de Seguridad Informática (CISO) y sus equipos garantizan que la organización invierta siempre de forma adecuada en las políticas y los recursos de seguridad y privacidad de datos necesarios.
  
• Tecnología/Pagos: el director general de Tecnología (CTO), el vicepresidente de Pagos y sus equipos garantizan que las principales herramientas, integraciones e infraestructuras se mantengan dentro de la norma a medida que los sistemas de la organización se desarrollan.
  
• Finanzas: el director general de Finanzas (CFO) y su equipo garantizan la consideración de todos los flujos de datos de pago cuando se trata de sistemas de pago y socios.
  
• Legal: este equipo puede ayudar a manejar la gran cantidad de matices legales que implica el cumplimiento de las DSS del PCI.
  

Para obtener más información sobre el complejo mundo del cumplimiento de la normativa PCI, visita el sitio web del SSC del PCI. Si solo lees esta guía y algunos otros documentos sobre la normativa PCI, te recomendamos que empieces por estos: el enfoque según la prioridad respecto de las DSS del PCI, las pautas y las instrucciones de SAQ, las preguntas frecuentes sobre el uso de los criterios de elegibilidad de SAQ para determinar los requisitos de evaluación en el lugar y las preguntas frecuentes sobre las obligaciones de los comerciantes que desarrollan aplicaciones para los dispositivos de consumidores que aceptan datos de las tarjetas de pago.

Cómo ayuda Stripe a que las organizaciones cumplan y mantengan el cumplimiento de la PCI

Stripe simplifica de manera significativa la carga del cumplimiento de la PCI para las empresas que adoptan Checkout, Elements, SDK para dispositivos móviles y SDK para Terminal. Stripe Checkout y Stripe Elements utilizan un campo de pago alojado para gestionar todos los datos de las tarjetas de pago, de modo que el titular de la tarjeta ingresa toda la información de pago confidencial en un campo de pago que se origina directamente en nuestros servidores validados por la PCI DSS. Los SKD para dispositivos móviles y para Terminal de Stripe también permiten al titular de la tarjeta enviar la información confidencial de pago directamente a nuestros servidores validados por la PCI DSS.

Stripe actúa como defensor de la normativa PCI y puede ayudar de diferentes maneras a todos los usuarios, independientemente del tipo de integración con el que cuenten.

• Analizaremos tu método de integración y te aconsejaremos sobre cómo reducir la carga del proceso de cumplimiento de la normativa.
  
• Te notificaremos con anticipación si es necesario un cambio en la forma de validar el cumplimiento de la normativa debido a un volumen creciente de transacciones.
  
• Para grandes comerciantes (Nivel 1), si necesitas trabajar con un asesor de seguridad certificado de PCI QSA debido a que almacenas datos de tarjetas de crédito o tienes un flujo de pago más complejo, hay más de 350 empresas de QSA en el mundo, y podemos ponerte en contacto con varios auditores que comprenden a fondo los diferentes métodos de integración de Stripe.
  

Conclusión

Por lo general, la evaluación y la validación del cumplimiento de la normativa PCI se realizan una vez al año. Sin embargo, no se trata de un acontecimiento aislado, sino de un gran esfuerzo continuo de evaluación y rectificación. A medida que una empresa crece, se amplían los principales procesos y lógicas comerciales, lo que implica que aumentan también los requisitos de cumplimiento. Una empresa online, por ejemplo, puede decidir abrir tiendas físicas, entrar en nuevos mercados o lanzar un centro de soporte para el cliente. Si algo de lo nuevo implica datos de tarjetas de pago, es aconsejable que verifiques de forma proactiva si repercute en tu método de validación conforme a la normativa PCI y revalida el cumplimiento de esa normativa según sea necesario.

El cumplimiento de la normativa PCI ayuda, pero no es suficiente.

Cumplircons las directrices de la PCI DSS es una capa esencial de protección para tu empresa, pero no es suficiente. Aunque PCI DSS establece estándares importantes para manejar y almacenar datos de titulares de tarjetas, por sí solo no proporciona una protección completa para todos los entornos de pago. Optar por elementos más seguros de aceptación de tarjetas, como Stripe Checkout, Elements y los SDK para dispositivos móviles, es una forma mucho más eficaz de proteger a tu organización. Este enfoque permite a las empresas ágiles mitigar posibles filtraciones de datos y evitar el costoso, lento y tedioso método tradicional de validación de PCI. Además, una integración más segura ofrece fiabilidad constante durante todo el año.