El Estándar de Seguridad de Datos para la Industria de Tarjeta de Pago (PCI DSS) requiere que las empresas protejan los datos del titular de tarjeta cuando están almacenados y cuando circulan por una red. Esto significa exigir una criptografía segura, así como un conjunto de reglas complementarias que abarcan desde la solidez de los certificados hasta la generación, el almacenamiento y la retirada de las claves criptográficas.

Cumplir con estos requisitos de cifrado de PCI afecta a algo más que tu lista de verificación de cumplimiento de la normativa. Puede ayudar a reducir tu superficie de ataque y determinar qué tan expuesta está tu empresa si alguna vez ocurre una filtración de datos. El costo promedio de una filtración de datos alcanzó los USD 4.44 millones a nivel mundial en 2025, lo que subraya la importancia de proteger los registros confidenciales. A continuación, detallamos lo que PCI DSS requiere realmente para el cifrado, qué algoritmos y protocolos cumplen con ese estándar en la actualidad y cómo el cifrado interactúa con estrategias relacionadas, como la tokenización y la segmentación de la red.

Puntos clave

• PCI DSS requiere una criptografía segura para los datos del titular de tarjeta, tanto en reposo como en tránsito, y acepta como niveles básicos el Estándar de Cifrado Avanzado (AES) con una clave de 256 bits y la Seguridad de la Capa de Transporte (TLS) 1.2 o superior.

• Dado que el cifrado y la tokenización resuelven diferentes problemas, puedes reducir tu alcance de cumplimiento de la normativa PCI si combinas el cifrado de punto a punto (P2PE) con la tokenización.

• La mala gestión de las claves es una de las razones más comunes por las que las empresas no superan una evaluación de PCI DSS, a pesar de tener algoritmos criptográficos subyacentes sólidos.

¿Qué son los requisitos de cifrado según la normativa PCI?

Las reglas de cifrado del PCI DSS se definen en el Requisito 3 de la lista de verificación de cumplimiento de la normativa, que abarca el almacenamiento de los datos del titular de tarjeta, y el Requisito 4, que se centra en los datos que se mueven a través de las redes. Los auditores del PCI comprueban ambas áreas a la hora de evaluar cómo se gestiona la información de la tarjeta.

Según el Requisito 3, si almacenas el número de cuenta principal (PAN), debes hacerlo de manera ilegible en cualquier lugar en el que aparezca, ya sea en una base de datos, un archivo de registro o una copia de seguridad. Aunque la principal medida de protección es el uso de sistemas criptográficos robustos, el truncamiento y el hash también son opciones válidas, en especial para enmascarar los PAN en los recibos o las pantallas destinadas a los clientes. En el Requisito 4, se establece que todos los datos de tarjetas que cruzan redes abiertas o públicas deben cifrarse de un extremo a otro. No hay excepciones por conveniencia interna ni para entornos heredados anteriores al estándar.

Los datos de autenticación confidenciales (SAD, por sus siglas en inglés) adoptan un enfoque distinto que incluye los datos completos del chip o la banda magnética, el código de verificación de la tarjeta (CVV, por sus siglas en inglés) y el bloque del PIN. El PCI DSS no permite que almacenes ninguno de estos datos una vez completada la autorización, sea cual sea su estado de cifrado.

¿Qué estándares y protocolos criptográficos aprueba el PCI DSS para el cifrado?

Para el PCI DSS, se requiere el uso de un «sistema criptográfico robusto», definido por el PCI SSC como todo método que proporcione una fortaleza de clave efectiva de al menos 112 bits. En la práctica, esa definición remite a una breve lista de opciones aceptadas:

• Datos en reposo: el estándar común es el AES-256, que supera el umbral de fortaleza y cuenta con un amplio nivel de adopción por parte de los proveedores de nube y la infraestructura de pagos. El estándar Triple DES (3DES) sigue cumpliendo los requisitos en términos técnicos en algunas configuraciones, pero el PCI SSC ha indicado que dejará de admitirlo y en la mayoría de los sistemas nuevos se omite por completo.

• Cifrado asimétrico: se usa para el intercambio de claves simétricas o la firma de certificados. Por lo general, se trata del algoritmo Rivest-Shamir-Adleman (RSA) de 2048 bits o más, o de la criptografía de curva elíptica (ECC, por sus siglas en inglés) de 224 bits o más.

• Datos en tránsito: la versión TLS 1.2 es la base; cada vez es más habitual considerar el TLS 1.3 como la opción predeterminada. El SSL, en todas sus versiones, y las versiones iniciales del TLS (1.0 y 1.1) están excluidos de forma explícita.

• Conjuntos de cifrado: los conjuntos válidos no deben tener vulnerabilidades conocidas, lo que excluye a la versión RC4 (Rivest Cipher 4) y a cualquier cifrado con calidad de exportación heredado de las configuraciones más antiguas.

• Fortaleza de los certificados: los certificados de acceso público necesitan el algoritmo RSA de 2048 bits o más y una fecha de vencimiento válida, y deben estar emitidos por una autoridad de certificación de confianza.

• Negociación de protocolos: los servidores deben rechazar cualquier intento de conexión en los que se recurra a versiones de protocolo excluidas en vez de permitirlas de manera implícita.

¿De qué manera el cifrado reduce el alcance del cumplimiento de la normativa PCI?

En la terminología del PCI DSS, por «alcance del cumplimiento de la normativa», se hace referencia a todos los sistemas que almacenan, procesan o transmiten los datos del titular de tarjeta, además de cualquier elemento que esté conectado a esos activos y que pueda afectar a su seguridad. Esto se conoce de forma colectiva como el entorno de datos del titular de tarjeta (CDE, por sus siglas en inglés).

Si un sistema gestiona datos del titular de tarjeta cifrados y no se puede acceder a los medios para descifrarlos, el Consejo de Normas de Seguridad de la Industria de Tarjetas de Pago (PCI SSC, por sus siglas en inglés) considera que está fuera del alcance, o bien, que el alcance es reducido. Aquí es donde entra en juego el cifrado P2PE. Una solución P2PE validada por el PCI cifra los datos de la tarjeta en el punto de interacción, en el interior de un hardware validado. El descifrado se limita al entorno seguro del proveedor de la solución P2PE y no a la propia infraestructura de la empresa.

Una solución P2PE validada suele cumplir los requisitos para realizar un Cuestionario de autoevaluación (SAQ, por sus siglas en inglés) para P2PE (uno de los SAQ más breves del PCI), ya que el P2PE reduce de manera considerable el alcance de la evaluación. La segmentación lo reduce aún más. Al aislar en su propio segmento de red a los sistemas de datos de la tarjeta, separados de los sistemas generales de la empresa, es posible excluir por completo de la evaluación a aquellos sistemas en los que los datos del titular de tarjeta no están visibles.

Cifrado o tokenización: ¿qué estrategia satisface mejor tus necesidades de cifrado según la normativa PCI?

El cifrado transforma el PAN en texto cifrado ilegible, pero el número original sigue existiendo en algún lugar. Cualquier persona que tenga la clave adecuada puede revertir el proceso. La tokenización elimina el PAN por completo del entorno de la empresa y lo reemplaza por un token que no tiene relación matemática con el número original ni valor en caso de robo.

Cuando se necesita hacer referencia al método de pago de un cliente después de la transacción inicial, como en el caso de las suscripciones, los métodos de pago guardados o la confirmación de compra con un solo clic, la tokenización marca la diferencia. Si se almacena internamente un PAN cifrado, sigues teniendo un número de tarjeta completo y todo lo que ello conlleva, como las tareas de gestión de claves, el alcance ampliado de las auditorías y la exposición de los datos en caso de que la clave asociada se vea comprometida. Sin embargo, si almacenas un token generado y retenido por un proveedor de pagos, como Stripe, el valor confidencial nunca pasará por tus sistemas. En muchas configuraciones se combinan ambos métodos, y se usa la tokenización para todo lo que se almacena a largo plazo y el cifrado para todo lo que se mueve a través de una red.

¿Por qué la gestión de claves es una parte del cifrado del PCI que suele pasarse por alto?

El cifrado depende de la forma en que se protegen las claves, y esas prácticas se suelen pasar por alto. Ten en cuenta lo siguiente:

• Conocimiento dividido y control dual: no es necesario que una clave criptográfica completa sea accesible para una sola persona. Si se dividen los componentes de la clave entre varias personas y se exige la participación de más de una para reconstruir una clave, se evitará que una sola persona pueda comprometer el entorno de forma individual.

• Almacenamiento seguro de claves: las claves se deben almacenar por separado de los datos que protegen, por lo general en un módulo de seguridad de hardware (HSM, por sus siglas en inglés) o un sistema de gestión de claves equivalente. Además, se deben guardar de manera independiente de la base de datos o el sistema de archivos en donde se encuentren los valores cifrados.

• Criptoperíodos definidos: cada clave necesita tener una vida útil documentada al cabo de la cual se retira y se sustituye en función de factores como la cantidad de datos que protege y su frecuencia de uso.

• Responsabilidades documentadas del custodio de las claves: es necesario contar con procedimientos por escrito en los que se identifique al responsable de las tareas de gestión de las claves, y esos custodios deben confirmar dicha responsabilidad de forma oficial.

Según el PCI DSS 4.0, las empresas deben revisar su arquitectura criptográfica al menos una vez cada 12 meses para confirmar que los algoritmos, los protocolos y las longitudes de clave usados sigan cumpliendo los estándares actuales y no estén desactualizados.

¿Qué ocurre si tu empresa no cumple los requisitos de cifrado según la normativa PCI?

El incumplimiento de los requisitos de cifrado del PCI DSS cambia lo que ocurre antes y después de una filtración. Antes de que se produzca un incidente, el incumplimiento se pone de manifiesto en el proceso de revisión anual. Los bancos adquirentes y las redes de tarjetas podrían marcar a la empresa por incumplimiento, lo que afectaría a su capacidad para seguir procesando pagos con tarjeta y daría lugar a un control más exhaustivo o a la imposición de requisitos de revisión adicionales en el futuro.

Las consecuencias se agravan si se produce una filtración y, en la investigación, se concluye que no se cumplían esos controles en el momento de los hechos. Por lo general, se exige una investigación forense después de una filtración confirmada que implique los datos del titular de tarjeta. En ella, se examinará de manera específica si el PAN se cifró correctamente tanto en el almacenamiento como durante la transmisión. Si no es así, la responsabilidad no será compartida con el proveedor de pagos ni con el banco adquirente, sino que recaerá en mayor medida en la empresa.

Puede resultar difícil recuperar la confianza de un banco adquirente o de un proveedor de pagos tras un hallazgo como este. Dado que los fallos criptográficos también suelen sacar a la luz otros puntos débiles del manejo interno de los datos, es probable que a un banco no le baste con que se corrija un único control de forma aislada cuando ha detectado brechas en otros.

Cómo puede ayudar Stripe Payments

Stripe Payments proporciona una solución de pagos unificada y global que permite que cualquier empresa, desde startups en expansión hasta empresas globales, acepte pagos en línea, en persona y en todo el mundo.

Con Stripe Payments, puedes hacer lo siguiente:

• Optimiza tu proceso de compra: Crea una experiencia del cliente sin fricciones y ahorra tiempo de ingeniería con interfaces de usuario de pago prediseñadas, acceso a más de 125 métodos de pago y Link, una cartera integrada por Stripe.

• Llegar a nuevos mercados más rápido: conéctate con clientes de todo el mundo y reduce la complejidad y los costos de la gestión de múltiples monedas mediante opciones de pago transfronterizas, disponibles en 195 países y en más de 135 monedas.

• Unificar los pagos electrónicos y en persona: crea una experiencia de comercio unificado en todos los canales, tanto en línea como en persona, para personalizar las interacciones, recompensar la lealtad y aumentar los ingresos.

• Mejorar el rendimiento de los pagos: aumenta los ingresos con una gama de herramientas de pago personalizables y fáciles de configurar, que incluyen protección contra fraudes que no requiere programación, además de funcionalidades avanzadas para mejorar las tasas de autorización.

• Avanzar más rápido con una plataforma flexible y confiable para el crecimiento: desarrolla tu negocio sobre una plataforma diseñada a fin de crecer contigo, con un tiempo de actividad histórico del 99.999 % y una confiabilidad líder en el sector.

Obtén más información sobre cómo Stripe Payments puede potenciar tus pagos en línea y en persona, o empieza hoy.