Almacenar la información de las tarjetas de crédito de los clientes es un requisito para casi todas las empresas, pero no siempre es fácil encontrar la mejor forma de hacerlo. Existen requisitos y reglamentos específicos con respecto al almacenamiento de tarjetas, y las empresas deben cumplirlos en todo momento sin sacrificar la experiencia del cliente ni su propia eficiencia operativa. El fraude con las tarjetas de crédito es un problema grave y frecuente: en Estados Unidos, por ejemplo, el 65 % de los titulares de tarjetas de crédito han sido víctimas de fraude. Para las empresas, el almacenamiento seguro de los datos de las tarjetas de los clientes es una protección importante contra el fraude.

A continuación, tratamos el estándar de seguridad de datos del sector de pagos con tarjeta (PCI DSS, por sus siglas en inglés), el principal estándar de seguridad que rige el almacenamiento de las tarjetas de los clientes, y describimos las mejores prácticas que las empresas pueden adoptar para almacenar la información de las tarjetas de crédito de los clientes de manera segura y eficiente.

¿De qué trata este artículo?

• ¿Cómo funciona el almacenamiento de tarjetas?
  
• ¿Qué es el estándar PCI DSS?
  
• Requisitos PCI para el almacenamiento de tarjetas
  
• Mejores prácticas para el almacenamiento de tarjetas
  
• Desafíos y soluciones del almacenamiento de tarjetas
  
• Cómo puede ayudarte Stripe
  

¿Cómo funciona el almacenamiento de tarjetas?

El almacenamiento de tarjetas hace referencia a la retención de la información de la tarjeta de pago de un cliente por parte de las empresas, incluidos los números de las tarjetas de crédito y débito y los detalles de identificación asociados. Las cuatro categorías de datos que las empresas suelen almacenar son el nombre del titular de la tarjeta, el número de cuenta principal (PAN), la fecha de caducidad y el código de servicio.

Las empresas pueden elegir entre varios sistemas para el almacenamiento de tarjetas, que suelen implicar componentes como sistemas de almacenamiento de datos dedicados, cifrado y tokenización, además de herramientas de prevención de pérdida de datos (DLP, por sus siglas en inglés).

¿Qué es el estándar PCI DSS?

La normativa PCI DSS es un conjunto de estándares de seguridad que rigen la forma en que las empresas deben aceptar, procesar, almacenar y transmitir la información de las tarjetas de crédito. Este estándar protege los datos de los titulares de las tarjetas del fraude y el robo, y cualquier organización que haga transacciones con tarjetas de crédito debe cumplirlo. La normativa PCI DSS la gestiona el Consejo de estándares de seguridad del sector de pagos con tarjeta, fundado por las principales empresas de tarjetas de crédito como Visa, Mastercard, American Express, Discover y JCB. Cumplir con la normativa PCI DSS ayuda a las empresas a reducir el riesgo de filtraciones de datos y a garantizar que sus transacciones con tarjeta sean seguras.

Requisitos PCI para el almacenamiento de tarjetas

La normativa PCI DSS especifica los requisitos que deben cumplir las empresas en relación con el almacenamiento de tarjetas, entre los que destacan los siguientes:

• Limitar el almacenamiento de datos: almacena solo los datos del titular de la tarjeta que sean estrictamente necesarios para la empresa. No almacenes datos de autenticación confidenciales después de la autorización, aunque estén cifrados. Esto incluye datos como la banda magnética completa, el código de validación de la tarjeta o el número de identificación personal (PIN)/bloque PIN.

• Proteger los datos almacenados: cifra todos los datos almacenados del titular de la tarjeta, incluido el PAN, que deben quedar ilegibles en cualquier lugar donde se almacenen utilizando métodos como la criptografía.

• Restringir el acceso a los datos: el acceso a los datos de los titulares de tarjetas debe limitarse a las personas cuyas funciones requieran dicho acceso. Implementa una política de cumplimiento obligatorio que restrinja el acceso.

• Crear identificadores únicos: asigna un identificador único a cada persona con acceso informático a los datos del titular de la tarjeta. Después de una filtración de datos, esto ayuda a controlar quién ha accedido a ellos.

• Proteger las ubicaciones físicas: protege las ubicaciones físicas donde se almacenan los datos de los titulares de las tarjetas. Esto engloba medidas como vigilancia, acceso restringido a los espacios de almacenamiento de datos y sistemas de almacenamiento seguros.

• Establecer políticas de retención y eliminación: desarrolla una política de retención de datos que elimine los datos del titular de la tarjeta en cuanto ya no sean necesarios. Elimina esos datos y asegúrate de que no se puedan recuperar.

• Usar claves de cifrado: gestiona e implementa el uso de criptografía y protocolos de seguridad reforzados, como capa de sockets seguros (SSL)/seguridad de la capa de transporte (TLS) o seguridad de protocolo de Internet (IPSec), para proteger los datos confidenciales de los titulares de tarjetas durante la transmisión a través de redes públicas abiertas.

Mejores prácticas para el almacenamiento de tarjetas

Las empresas pueden adoptar diferentes enfoques para cumplir con los requisitos de cumplimiento de la normativa PCI. Estas mejores prácticas ayudarán a las empresas a proteger la información de las tarjetas de sus clientes y a mantener el cumplimiento de la normativa PCI de una manera que proteja la experiencia del usuario:

• Minimizar el almacenamiento de los datos de los titulares de las tarjetas: almacena solo la información requerida del titular de la tarjeta y evita retener datos confidenciales a menos que sea estrictamente necesario. Reducir la cantidad de datos almacenados puede minimizar el riesgo y simplificar los esfuerzos de cumplimiento.

• Adoptar el estándar de cifrado avanzado: utiliza el estándar de cifrado avanzado AES (Advanced Encryption Standard) con una clave de 256 bits para cifrar los datos almacenados del titular de la tarjeta. Esta metodología se ajusta a las mejores prácticas actuales y supera los requisitos mínimos de cumplimiento.

• Implementar el cifrado de extremo a extremo (E2EE): aparte de las prácticas básicas de cifrado, implementa E2EE para proteger los datos de los titulares de tarjetas desde el punto en que se capturan hasta que llegan al entorno de procesamiento seguro.

• Mejorar los mecanismos de control de acceso: utiliza la autenticación multifactor y los controles de acceso granulares basados en roles para garantizar que solo el personal autorizado pueda acceder a los datos confidenciales del titular de la tarjeta, con una pista de auditoría clara de todos los accesos y las acciones realizadas.

• Integra herramientas de prevención de pérdida de datos (DLP): implementa estrategias de DLP para supervisar y controlar la transferencia de datos con el fin de evitar la exfiltración de datos no autorizada y asegurarte de que los datos de los titulares de tarjetas no se almacenen o distribuyan incorrectamente.

• Hacer pruebas de seguridad periódicas: para identificar y remediar de forma proactiva posibles deficiencias de seguridad, realiza pruebas de penetración sofisticadas y evaluaciones de vulnerabilidad más allá de los requisitos estándar de la normativa PCI DSS.

• Valorar técnicas avanzadas de tokenización: considera la posibilidad de utilizar la tokenización dinámica, en la que los tokens varían con cada transacción, para proporcionar una capa adicional de seguridad y reducir aún más la utilidad de los datos interceptados.

• Emplear una supervisión automatizada del cumplimiento de la normativa: utiliza herramientas automatizadas para supervisar continuamente el cumplimiento de los estándares PCI DSS y detectar y abordar rápidamente cualquier desviación.

• Usar una arquitectura de confianza cero: adopta un marco de seguridad de confianza cero que asuma que todos los usuarios, incluso los de la organización, podrían comprometer los datos de los titulares de tarjetas, aplicando principios estrictos de verificación y acceso mínimo.

• Analizar las herramientas de criptografía resistente a la cuántica: para protegerte contra las amenazas emergentes que plantea la computación cuántica, estudia la integración de algoritmos criptográficos resistentes a la cuántica.

• Desarrollar un plan de respuesta: ten un plan para responder a los incidentes de seguridad. Si se produce una filtración de datos, deberías poder identificar rápidamente el problema, frenar la filtración y mitigar cualquier daño potencial.

Desafíos y soluciones del almacenamiento de tarjetas

El almacenamiento de tarjetas está estrechamente relacionado con muchos aspectos de la experiencia del cliente, cómo se accede a los productos y servicios, y cómo el equipo interno gestiona su interacción con los datos de los clientes. Incluso los sistemas de almacenamiento de tarjetas mejor diseñados crearán bastante complejidad. Estos son algunos desafíos comunes y sus soluciones:

Escalabilidad

• Desafío: a medida que aumentan los volúmenes de transacciones, puede ser difícil mantener un alto rendimiento y el cumplimiento de la normativa PCI. Los problemas de escalabilidad tienen el potencial de repercutir en la experiencia del cliente y la eficiencia operativa.
  
• Solución: implementa arquitecturas de bases de datos distribuidas que puedan soportar un alto rendimiento de lectura/escritura mientras se mantiene la coherencia de los datos y el cumplimiento normativo. Utiliza soluciones elásticas basadas en la nube que puedan escalar dinámicamente en respuesta a la demanda fluctuante, de tal forma que se pueda mantener el rendimiento sin comprometer la seguridad.
  

Integración de sistemas heredados

• Desafío: muchas organizaciones utilizan sistemas heredados que no están diseñados para cumplir con los estándares PCI DSS. Esto puede ocasionar brechas de cumplimiento y seguridad.
  
• Solución: utiliza capas de abstracción de datos o arquitecturas orientadas a servicios para encapsular sistemas heredados, minimizando el acceso directo a los datos de los titulares de tarjetas. Plantéate reemplazar o modernizar los sistemas heredados a lo largo del tiempo mediante microservicios o contenedorización para mejorar la agilidad y el cumplimiento.
  

Privacidad de datos transfronteriza

• Desafío: las diferentes regiones tienen distintos reglamentos de protección de datos, y los requisitos de cumplimiento aumentan para las empresas cuando almacenan datos de titulares de tarjetas en otros países.
  
• Solución: implementa soluciones de residencia de datos que procesen y almacenen datos de conformidad con las normativas locales. Utiliza el almacenamiento y el procesamiento de datos basados en la geolocalización para enrutar y almacenar datos automáticamente según la ubicación del titular de la tarjeta y de conformidad con los requisitos de cumplimiento regionales.
  

Amenazas de seguridad avanzadas

• Desafío: debido a que los atacantes no paran de mejorar sus tácticas, las organizaciones deben luchar contra ciberataques cada vez más sofisticados y amenazas persistentes avanzadas (APT, por sus siglas en inglés) capaces de eludir las medidas de seguridad convencionales.
  
• Solución: adopta un enfoque de seguridad por capas que incluya mecanismos avanzados de detección y respuesta a amenazas, como análisis de comportamiento basados en IA, para identificar y mitigar las amenazas en tiempo real. Actualiza periódicamente los planes de respuesta a incidentes y recuperación ante desastres para hacer frente a los nuevos tipos de ciberamenazas.
  

Estándares de cumplimiento de la normativa en evolución

• Desafío: los estándares PCI DSS y los requisitos normativos relacionados evolucionan continuamente, y cumplir la normativa puede ser un desafío continuo.
  
• Solución: establece un programa de supervisión continua del cumplimiento de la normativa que utilice herramientas automatizadas de seguimiento e informes en materia de cumplimiento. Participa en foros y colaboraciones proactivas del sector para mantenerte a la vanguardia de los estándares emergentes e incorporar las mejores prácticas en tu estrategia de cumplimiento de la normativa.
  

Coherencia y calidad de los datos

• Desafío: puede ser difícil garantizar la integridad y la coherencia de los datos de los titulares de tarjetas en distintos sistemas y entornos de almacenamiento, especialmente en arquitecturas distribuidas.
  
• Solución: implementa marcos sólidos de gobernanza de datos y utiliza herramientas de gestión de la calidad de los datos que mantengan la precisión y la coherencia de los datos. Usa técnicas de sincronización y replicación de datos que se adhieran a las propiedades de atomicidad, consistencia, aislamiento y durabilidad (ACID, por sus siglas en inglés) para mantener la integridad de los datos.
  

Cómo puede ayudarte Stripe

Trabajar con Stripe puede ayudar a las empresas a reducir la carga que plantea el cumplimiento de la normativa PCI DSS. Al procesar los pagos a través de Stripe, las empresas no manejan directamente los datos confidenciales de las tarjetas, lo que reduce el alcance de sus responsabilidades de cumplimiento. Stripe es un proveedor de servicios con la certificación PCI de nivel 1, el nivel más alto de cumplimiento de la normativa PCI, y se encarga de la mayoría de las tareas de seguridad de los datos de las tarjetas. Estas funciones de Stripe mantienen seguros los datos de los titulares de tarjetas a la vez que ayudan a las empresas a cumplir la normativa PCI:

• Tokenización: el servicio de tokenización de Stripe reemplaza los datos confidenciales de la tarjeta con identificadores únicos (tokens), que se pueden almacenar y utilizar de forma segura para transacciones sin exponer los datos de la tarjeta.

• E2EE: Stripe cifra todos los datos confidenciales desde el punto en que se capturan hasta que se procesan dentro de su entorno seguro. Este cifrado de extremo a extremo minimiza el riesgo de que se intercepten los datos durante la transmisión.

• Escalabilidad: la infraestructura de Stripe se basa en una plataforma en la nube diseñada para gestionar grandes volúmenes de transacciones sin comprometer el rendimiento. Las empresas pueden escalar sus operaciones sin preocuparse por mantener los estándares de cumplimiento y seguridad.

• Integración con sistemas modernos y heredados: Stripe ofrece una amplia compatibilidad con la interfaz de programación de aplicaciones (API), lo que facilita la integración con sistemas modernos y heredados. Esta flexibilidad ayuda a las empresas a modernizar su procesamiento de pagos sin necesidad de realizar revisiones exhaustivas de los sistemas existentes.

• Supervisión y actualizaciones continuas: Stripe supervisa continuamente sus sistemas en busca de amenazas y actualiza periódicamente sus medidas de seguridad para hacer frente a las vulnerabilidades emergentes. Las funciones de seguridad incluyen algoritmos de machine learning que detectan y previenen el fraude.

• Cumplimiento de la normativa a nivel global: Stripe opera en todo el mundo y puede ayudar a las empresas a lidiar con las complejidades de la residencia de datos y el cumplimiento normativo regional más allá de las fronteras.

• Gobernanza de datos: la infraestructura de Stripe respalda la integridad y la coherencia de los datos.

Al confiar en Stripe para gestionar la mayor parte de la responsabilidad relacionada con el almacenamiento seguro de tarjetas, el cifrado de datos, el cumplimiento de la normativa y la escalabilidad, las empresas pueden dedicar más tiempo a las operaciones principales. Obtén más información sobre los estándares de seguridad de Stripe.