Almacenar la información de la tarjeta de crédito de los clientes es un requisito para casi todas las empresas, pero encontrar la mejor manera de hacerlo no siempre es sencillo. Existen requisitos y normativas específicos con respecto al almacenamiento de tarjetas, y las empresas deben cumplir con la normativa sin sacrificar la experiencia del cliente o su propia eficiencia operativa. El fraude con tarjetas de crédito es un problema grave y frecuente: en los Estados Unidos, por ejemplo, el 65 % de los titulares de tarjetas de crédito han sido víctimas de fraude. Para las empresas, el almacenamiento seguro de los datos de las tarjetas de los clientes es una medida importante de protección contra el fraude.

A continuación, abordaremos el Estándar de Seguridad de Datos del Sector de Tarjetas de Pago (PCI DSS), el principal estándar de seguridad que regula el almacenamiento de las tarjetas de los clientes, y presentaremos las prácticas recomendadas que las empresas pueden adoptar para almacenar de manera segura y eficiente la información de las tarjetas de crédito de los clientes.

¿Qué información encontrarás en este artículo?

• ¿Cómo funciona el almacenamiento de tarjetas?
  
• ¿Qué es el PCI DSS?
  
• Requisitos de PCI para el almacenamiento de tarjetas
  
• Prácticas recomendadas para el almacenamiento de tarjetas
  
• Desafíos y soluciones del almacenamiento de tarjetas
  
• Cómo puede ayudarte Stripe
  

¿Cómo funciona el almacenamiento de tarjetas?

El almacenamiento de tarjetas hace referencia a la retención por parte de las empresas de la información de la tarjeta de pago de los clientes, incluidos los números de las tarjetas de crédito y débito y datos de identificación asociados. Las cuatro categorías de datos que las empresas suelen almacenar son el nombre del titular de la tarjeta, el número de cuenta principal (PAN), la fecha de vencimiento y el código de servicio.

Las empresas pueden elegir entre una variedad de sistemas para el almacenamiento de tarjetas, que suelen incluir componentes como sistemas dedicados de almacenamiento de datos, técnicas de cifrado y tokenización, y herramientas de prevención de pérdida de datos (DLP).

¿Qué es el PCI DSS?

El PCI DSS es un conjunto de estándares de seguridad que rige la forma en que las empresas deben aceptar, procesar, almacenar y transmitir la información de las tarjetas de crédito. Esta norma protege los datos del titular de la tarjeta fraudes y robos, y toda organización que gestione transacciones con tarjetas de crédito debe cumplirlo. El PCI DSS es administrado por el Consejo de Estándares de Seguridad de la Industria de Tarjetas de Pago, que fue fundado por las principales compañías de tarjetas de crédito como Visa, Mastercard, American Express, Discover y JCB. Cumplir con el PCI DSS ayuda a las empresas a reducir el riesgo de filtraciones de datos y garantizar que sus transacciones con tarjeta sean seguras.

Requisitos de PCI para el almacenamiento de tarjetas

El PCI DSS detalla los requisitos para las empresas con respecto al almacenamiento de tarjetas, tales como:

• Limitar el almacenamiento de datos: almacena solo los datos del titular de la tarjeta que sean necesarios para las necesidades comerciales. No almacenes datos de autenticación confidenciales después de la autorización, incluso si están cifrados. Esto incluye datos como la banda magnética completa, el código de validación de la tarjeta o el número de identificación personal (PIN)/bloque de PIN.

• Proteger los datos almacenados: cifra todos los datos del titular de la tarjeta almacenados, incluyendo el PAN, el cual debe volverse ilegible en cualquier lugar donde se almacene utilizando métodos como la criptografía.

• Limitar el acceso a los datos: el acceso a los datos del titular de la tarjeta debe limitarse a las personas cuyos trabajos requieran dicho acceso. Implementa una política de acceso restringido basada en la necesidad de saber.

• Crear identificaciones únicas: asigna una identificación única a cada persona con acceso por computadora a los datos del titular de la tarjeta. Después de una filtración de datos, esto ayuda a rastrear quién accedió a la información.

• Proteger las ubicaciones físicas: protege las ubicaciones físicas donde se almacenan los datos del titular de la tarjeta. Esto incluye medidas como la vigilancia, el acceso restringido a las áreas de almacenamiento de datos y sistemas de almacenamiento seguros.

• Establecer políticas de retención y eliminación: desarrolla una política de retención de datos que elimine los datos del titular de la tarjeta tan pronto como dejen de ser necesarios. Elimina ese tipo de datos y asegúrate de que no se puedan recuperar.

• Utilizar claves de cifrado: gestiona e implementa el uso de criptografía sólida y protocolos de seguridad, como Secure Sockets Layer (SSL)/Transport Layer Security (TLS) o Internet Protocol Security (IPSEC) para proteger los datos confidenciales de los titulares de tarjetas durante la transmisión a través de redes públicas abiertas.

Prácticas recomendadas para el almacenamiento de tarjetas

Las empresas pueden seguir diferentes enfoques para cumplir con los requisitos de la normativa PCI. Estas prácticas recomendadas ayudarán a las empresas a proteger la información de la tarjeta de sus clientes y a mantener el cumplimiento de la normativa PCI de una manera que proteja la experiencia del usuario:

• Minimizar el almacenamiento de datos del titular de la tarjeta: almacena solo la información requerida del titular de la tarjeta y evita retener datos confidenciales a menos que sea absolutamente necesario. Reducir la cantidad de datos almacenados puede minimizar el riesgo y simplificar los esfuerzos de cumplimiento.

• Adoptar el Advanced Encryption Standard (AES): utiliza el cifrado AES con una clave de 256 bits para cifrar los datos almacenados del titular de la tarjeta. Esta metodología se alinea con las prácticas recomendadas actuales y supera los requisitos de cumplimiento normativo mínimos.

• Implementar el cifrado de extremo a extremo (E2EE): más allá de las prácticas básicas de cifrado, implementa el E2EE para proteger los datos del titular de la tarjeta desde el punto de captura hasta que llegan al entorno de procesamiento seguro.

• Mejorar los mecanismos de control de acceso: utiliza la autenticación multifactor y los controles de acceso basados en roles detallados para garantizar que solo el personal autorizado pueda acceder a los datos confidenciales del titular de la tarjeta, con una pista de auditoría clara para todo acceso y acción realizada.

• Integrar herramientas de DLP: implementa estrategias de DLP para supervisar y controlar la transferencia de datos, lo que evita la filtración no autorizada de datos y garantiza que los datos del titular de la tarjeta no se almacenen o distribuyan de forma inadecuada.

• Realizar pruebas de seguridad periódicas: para identificar y remediar de forma proactiva posibles debilidades de seguridad, realiza pruebas de penetración sofisticadas y evaluaciones de vulnerabilidad más allá de los requisitos estándar de PCI DSS.

• Considerar técnicas avanzadas de tokenización: considera la posibilidad de utilizar la tokenización dinámica, en la que los tokens varían con cada transacción, para proporcionar una capa adicional de seguridad y reducir aún más la utilidad de los datos interceptados.

• Implementar una supervisión automatizada del cumplimiento: utiliza herramientas automatizadas para supervisar continuamente el cumplimiento del PCI DSS y detectar y abordar rápidamente cualquier desviación.

• Utilizar una arquitectura de confianza cero: adopta un marco de seguridad de confianza cero que asuma que todos los usuarios, incluso aquellos dentro de la organización, podrían comprometer los datos del titular de la tarjeta, y aplica principios de verificación estricta y acceso mínimo.

• Explorar las herramientas de criptografía resistente a la computación cuántica: para protegerte contra las amenazas que trae la computación cuántica, explora la integración de algoritmos criptográficos resistentes a la cuántica.

• Desarrollar un plan de respuesta: ten un plan para responder a los incidentes de seguridad. Si se produce una filtración de datos, deberías poder identificar rápidamente el problema, contener la filtración y mitigar cualquier daño potencial.

Desafíos y soluciones del almacenamiento de tarjetas

El almacenamiento de tarjetas está estrechamente relacionado con muchos aspectos de la experiencia del cliente, la forma en que se accede a los productos y servicios, y la forma en que el equipo interno gestiona su interacción con los datos del cliente. Incluso los sistemas de almacenamiento de tarjetas mejor diseñados generan una gran complejidad. Estos son algunos de los desafíos más comunes junto con sus soluciones:

Escalabilidad

• Desafío: a medida que crece el volumen de transacciones, puede ser difícil mantener un alto rendimiento y el cumplimiento de la normativa PCI. Los problemas de escalabilidad tienen el potencial de afectar la experiencia del cliente y la eficiencia operativa.
  
• Solución: implementa arquitecturas de bases de datos distribuidas que puedan manejar grandes caudales de lectura/escritura, manteniendo la consistencia de los datos y el cumplimiento de la normativa. Utiliza soluciones elásticas basadas en la nube que puedan escalar dinámicamente en respuesta a la fluctuación de la demanda y mantener el rendimiento sin comprometer la seguridad.
  

Integración de sistemas heredados

• Desafío: muchas organizaciones utilizan sistemas heredados que no están diseñados para cumplir con el PCI DSS. Esto puede crear brechas de cumplimiento y seguridad.
  
• Solución: utiliza capas de abstracción de datos o arquitecturas orientadas a los servicios para encapsular los sistemas heredados y minimizar el acceso directo a los datos del titular de la tarjeta. Considera reemplazar o modernizar los sistemas heredados con el tiempo mediante el uso de microservicios o contenerización, para mejorar la agilidad y el cumplimiento normativo.
  

Privacidad de datos más allá de las fronteras

• Desafío: las diferentes regiones tienen diferentes normativas de protección de datos, y los requisitos de cumplimiento aumentan para las empresas cuando almacenan datos de titulares de tarjetas más allá de las fronteras.
  
• Solución: implementa soluciones de residencia de datos que procesen y almacenen datos conforme a las normativas locales. Utiliza el almacenamiento y el procesamiento de datos basados en la geolocalización para enrutar y almacenar datos automáticamente de acuerdo con la ubicación del titular de la tarjeta y de conformidad con los requisitos de cumplimiento de la normativa regional.
  

Amenazas de seguridad avanzadas

• Desafío: debido a que los atacantes evolucionan continuamente sus tácticas, las organizaciones deben luchar contra ataques cibernéticos cada vez más sofisticados y amenazas persistentes avanzadas (APT) que pueden eludir las medidas de seguridad convencionales.
  
• Solución: adopta un enfoque de seguridad por capas que incluya mecanismos avanzados de detección y respuesta a amenazas, como análisis de comportamiento impulsados por IA, para identificar y mitigar las amenazas en tiempo real. Actualiza periódicamente los planes de respuesta a incidentes y recuperación ante desastres para hacer frente a los nuevos tipos de amenazas cibernéticas.
  

Evolución de los estándares de cumplimiento

• Desafío: el PCI DSS y los requisitos normativos relacionados evolucionan continuamente, y cumplir con la normativa puede ser un desafío continuo.
  
• Solución: establece un programa de supervisión continua del cumplimiento de la normativa que utilice herramientas automatizadas para el seguimiento y la elaboración de informes de cumplimiento. Participa en foros y colaboraciones proactivas de la industria para mantenerte a la vanguardia de los estándares emergentes e incorporar las prácticas recomendadas en tu estrategia de cumplimiento.
  

Calidad y coherencia de los datos

• Desafío: puede ser difícil garantizar la integridad y la coherencia de los datos del titular de la tarjeta en una variedad de sistemas y entornos de almacenamiento, especialmente en arquitecturas distribuidas.
  
• Solución: implementa marcos de gobernanza de datos sólidos y utiliza herramientas de gestión de la calidad de los datos que mantengan la precisión y la coherencia de los datos. Utiliza técnicas de sincronización de datos y replicación que se adhieran a las propiedades de atomicidad, consistencia, aislamiento y durabilidad (ACID) para mantener la integridad de los datos.
  

¿Cómo puede ayudarte Stripe?

Trabajar con Stripe puede ayudar a las empresas a reducir la carga del cumplimiento del PCI DSS. Al procesar los pagos a través de Stripe, las empresas no manejan directamente los datos confidenciales de las tarjetas, lo que reduce el alcance de sus responsabilidades de cumplimiento de la normativa. Stripe es un proveedor de servicios que cuenta con la certificación PCI de nivel 1, el nivel más alto de cumplimiento de la normativa PCI, y se encarga de la mayoría de las tareas de seguridad de los datos de las tarjetas. Estas funcionalidades de Stripe mantienen los datos del titular de la tarjeta seguros mientras ayudan a las empresas a mantenerse en cumplimiento con la normativa PCI:

• Tokenización: el servicio de tokenización de Stripe reemplaza los datos confidenciales de las tarjetas por identificadores únicos (tokens), que pueden almacenarse y utilizarse de forma segura para las transacciones sin exponer los datos de la tarjeta.

• E2EE: Stripe encripta todos los datos confidenciales desde el punto de captura hasta que se procesan dentro de su entorno seguro. Este cifrado de extremo a extremo minimiza el riesgo de que los datos sean interceptados durante la transmisión.

• Escalabilidad: la infraestructura de Stripe se basa en una plataforma en la nube diseñada para manejar grandes volúmenes de transacciones sin comprometer el rendimiento. Las empresas pueden escalar sus operaciones sin preocuparse por mantener los estándares de cumplimiento y seguridad.

• Integración con sistemas modernos y heredados: Stripe ofrece un amplio soporte para interfaces de programación de aplicaciones (API), lo que facilita la integración con sistemas modernos y heredados. Esta flexibilidad ayuda a las empresas a modernizar su procesamiento de pagos sin necesidad de realizar reformas extensas en los sistemas existentes.

• Supervisión y actualizaciones continuas: Stripe supervisa continuamente sus sistemas en busca de amenazas y actualiza periódicamente sus medidas de seguridad para hacer frente a las vulnerabilidades emergentes. Las funcionalidades de seguridad incluyen algoritmos de machine learning que detectan y previenen el fraude.

• Cumplimiento de la normativa a nivel mundial: Stripe opera a nivel mundial y puede ayudar a las empresas a gestionar las complejidades de la residencia de datos y el cumplimiento de la normativa regional a través de fronteras.

• Gobernanza de datos: la infraestructura de Stripe respalda la integridad y la coherencia de los datos.

Al confiar en Stripe para gestionar la mayor parte de la responsabilidad relacionada con el almacenamiento seguro de tarjetas, el cifrado de datos, el cumplimiento de la normativa y la escalabilidad, las empresas pueden dedicar más tiempo a las operaciones principales. Obtén más información sobre los de Stripeestándares de seguridad.