Para almacenar la información de las tarjetas de los clientes de forma legal y segura, las empresas deben usar un cifrado avanzado o tokenización para proteger los datos del titular de tarjeta, lo que garantiza que la información confidencial nunca se retenga después de la autorización. Este proceso está estrictamente regulado a nivel mundial por el Estándar de seguridad de datos de la industria de tarjetas de pago (PCI DSS), un conjunto obligatorio de marcos de seguridad establecidos por las principales redes de tarjeta para prevenir filtraciones de datos y fraudes financieros.

El fraude con tarjetas de crédito es un problema grave y frecuente: en Estados Unidos, por ejemplo, el 61 % de los titulares de tarjetas de crédito han sido víctimas de fraude. Para las empresas, el almacenamiento seguro de los datos de las tarjetas de los clientes es una salvaguardia importante contra el fraude.

¿Qué contiene este artículo?

• ¿Cómo funciona el almacenamiento de tarjetas?
  
• ¿Qué es el cumplimiento de la normativa PCI DSS?
  
• Requisitos de PCI para el almacenamiento de tarjetas
  
• Prácticas recomendadas para el almacenamiento de tarjetas
  
• Desafíos y soluciones para el almacenamiento de tarjetas
  
• Cómo puede ayudar Stripe
  

¿Cómo funciona el almacenamiento de tarjetas?

El almacenamiento de tarjetas se refiere a la retención por parte de las empresas de la información de las tarjetas de pago de los clientes, incluidos los números de las tarjetas de crédito y débito y los datos de identificación asociados. Las cuatro categorías de datos que las empresas suelen almacenar son el nombre del titular de la tarjeta, el número de cuenta principal (PAN), la fecha de vencimiento y el código de servicio.

Las empresas pueden elegir entre una variedad de sistemas para el almacenamiento de tarjetas, y estos suelen incluir componentes como sistemas de almacenamiento de datos dedicados, técnicas de cifrado y tokenización, y herramientas de prevención de pérdida de datos (DLP).

La gestión de credenciales de pago de forma interna expone a una organización a graves responsabilidades legales, costosas auditorías de seguridad y posibles daños a la marca si se produce una vulneración. Por eso, el comercio digital moderno aísla los datos financieros confidenciales mediante un marco de tres partes que transfiere el riesgo fuera de la red interna de la empresa:

• Intercepción: Los campos de texto seguros (como los iFrames) se integran directamente en la página de confirmación de compra, e interceptan los datos sin procesar de la tarjeta en el momento de la entrada para que pasen por alto los servidores web de la empresa por completo.

• Tokenización: El procesador de pagos bloquea los datos reales de la tarjeta dentro de una bóveda digital fuertemente fortificada y externa, y genera una cadena de marcadores de posición aleatoria e inquebrantable llamada token.

• Almacenamiento: La empresa almacena solo este token inofensivo en su base de datos de clientes, y se lo devuelve al procesador de pagos para autorizar de forma segura las transacciones futuras sin tener que manejar datos financieros sin procesar.

¿Qué es el cumplimiento de la normativa del PCI DSS?

El PCI DSS es un conjunto de estándares de seguridad que rigen la forma en que las empresas deben aceptar, procesar, almacenar y transmitir la información de las tarjetas de crédito. Este estándar protege los datos de los titulares de tarjetas contra el fraude y el robo, y cualquier organización que maneje transacciones con tarjetas de crédito debe cumplirlo. El PCI DSS es administrado por el Payment Card Industry Security Standards Council, que fue fundado por las principales compañías de tarjetas de crédito como Visa, Mastercard, American Express, Discover y JCB. El cumplimiento de la normativa PCI DSS ayuda a las empresas a reducir el riesgo de filtraciones de datos y a garantizar que las transacciones con sus tarjetas sean seguras.

Estrictamente hablando, el PCI DSS no es una ley. No hay requisitos legales para su cumplimiento. Más bien, es un estándar de seguridad desarrollado por el sector. Sin embargo, considerarlo puramente como una recomendación voluntaria del sector es un error crítico. El PCI DSS funciona como un requisito contractual obligatorio.

Los requisitos legales privados se redactan directamente en los acuerdos comerciales y en las Condiciones de uso corporativas que toda empresa debe firmar con los procesadores de pagos, los bancos adquirentes y las redes de comerciantes antes de poder aceptar pagos electrónicos. Si deseas procesar tarjetas de crédito, estás obligado por contrato a mantener estos estándares.

Requisitos de PCI para el almacenamiento de tarjetas

El PCI DSS detalla los requisitos para las empresas con respecto al almacenamiento de tarjetas, tales como:

• Limita el almacenamiento de datos: almacena solo los datos del titular de tarjeta que sean necesarios para las necesidades de la empresa. No almacenes datos de autenticación confidenciales después de la autorización, incluso si están cifrados. Esto incluye datos como la banda magnética completa, el código de validación de la tarjeta o el número de identificación personal (PIN)/bloque de PIN.

• Protege los datos almacenados: cifra todos los datos del titular de tarjeta almacenados, incluido el PAN, que debe volverse ilegible en cualquier lugar donde esté almacenado mediante métodos como la criptografía.

• Limita el acceso a los datos: el acceso a los datos del titular de tarjeta debe limitarse a las personas cuyos trabajos requieran dicho acceso. Implementa una política de necesidad de saber que restrinja el acceso.

• Crea ID únicos: asigna un ID único a cada persona que tenga acceso informático a los datos del titular de tarjeta. Después de una filtración de datos, esto ayuda a rastrear quién accedió a los datos.

• Protege los lugares físicos: protege los lugares físicos donde se almacenan los datos del titular de tarjeta. Esto incluye medidas como vigilancia, acceso restringido a las áreas de almacenamiento de datos y sistemas de almacenamiento seguros.

• Establece políticas de retención y eliminación: desarrolla una política de retención de datos que elimine los datos del titular de tarjeta tan pronto como ya no sean necesarios. Elimina ese tipo de datos y asegúrate de que sean irrecuperables.

• Usa claves de cifrado: gestiona e implementa el uso de criptografía sólida y protocolos de seguridad como Secure Sockets Layer (SSL) / Transport Layer Security (TLS) o Internet Protocol Security (IPSEC) para salvaguardar los datos confidenciales del titular de tarjeta durante la transmisión a través de redes públicas abiertas.

Prácticas recomendadas para el almacenamiento de tarjetas

Las empresas pueden seguir diferentes enfoques para cumplir con los requisitos de la normativa PCI. Estas prácticas recomendadas ayudarán a las empresas a proteger la información de la tarjeta de sus clientes y a mantener el cumplimiento de la normativa PCI de una manera que proteja la experiencia del usuario:

• Minimiza el almacenamiento de datos del titular de tarjeta: almacena solo la información requerida del titular de tarjeta para la facturación recurrente y evita retener datos confidenciales a menos que sea absolutamente necesario. Usa una API (interfaz de programación de aplicaciones) especializada para los pagos de los clientes sin almacenar tarjetas. Reducir la cantidad de datos almacenados puede minimizar el riesgo y simplificar los esfuerzos de cumplimiento.

• Adopta un estándar de cifrado avanzado (AES): usa AES con una clave de 256 bits para el cifrado al almacenar números de tarjetas de crédito en una base de datos. Esta metodología se alinea con las prácticas recomendadas actuales y supera los requisitos mínimos de cumplimiento.

• Implementa el cifrado de extremo a extremo (E2EE): más allá de las prácticas de cifrado básicas, implementa E2EE para salvaguardar los datos del titular de tarjeta desde el punto de captura hasta que llegan al entorno de procesamiento seguro.

• Mejora los mecanismos de control de acceso: usa la autenticación multifactor y los controles de acceso basados en funciones granulares para garantizar que solo el personal autorizado pueda acceder a los datos confidenciales del titular de tarjeta. Mantén un registro de auditoría claro de todos los accesos y acciones realizadas.

• Integra herramientas de DLP: implementa estrategias de DLP para monitorear y controlar la transferencia de datos, lo que evita la filtración de datos no autorizada y garantiza que los datos del titular de tarjeta no se almacenen ni distribuyan de manera inapropiada.

• Realiza pruebas de seguridad periódicas: para identificar y remediar de forma proactiva las posibles debilidades de seguridad, realiza pruebas de penetración sofisticadas y evaluaciones de vulnerabilidades más allá de los estándares de PCI DSS requeridos. Crea una lista de control de PCI para desarrolladores.

• Considera técnicas de tokenización avanzadas: considera usar la tokenización dinámica, en la que los tokens varían con cada transacción, para proporcionar una capa adicional de seguridad y reducir aún más la utilidad de los datos interceptados.

• Usa el monitoreo de cumplimiento automatizado: usa herramientas automatizadas para monitorear continuamente el cumplimiento de los estándares PCI DSS y detectar y abordar rápidamente cualquier desviación.

• Usa una arquitectura de confianza cero: adopta un marco de seguridad de confianza cero que asuma que todos los usuarios, incluso los que se encuentran dentro de la organización, podrían comprometer potencialmente los datos del titular de tarjeta. Aplica principios de acceso mínimo y verificación estricta.

• Explora herramientas de criptografía resistentes a la computación cuántica: para proteger contra las amenazas emergentes que plantea la computación cuántica, explora la integración de algoritmos criptográficos resistentes a la computación cuántica.

• Desarrolla un plan de respuesta: ten un plan para responder a incidentes de seguridad. Si se produce una filtración de datos, debes poder identificar rápidamente el problema, contener la filtración y mitigar cualquier posible daño.

Desafíos y soluciones del almacenamiento de tarjetas

El almacenamiento de tarjetas está estrechamente ligado a muchos aspectos de la experiencia del cliente, la forma en que se accede a los productos y servicios, y la forma en que el equipo interno gestiona su interacción con los datos de los clientes. Incluso los sistemas de almacenamiento de tarjetas mejor diseñados crearán una cantidad considerable de complejidad. A continuación, presentamos algunos desafíos comunes junto con sus soluciones:

Diseño de almacenamiento de tarjetas que escala con el crecimiento de las transacciones

• Desafío: a medida que crecen los volúmenes de transacciones, puede resultar difícil mantener un alto rendimiento y el cumplimiento de la normativa PCI. Los problemas de escalabilidad tienen el potencial de afectar la experiencia del cliente y la eficiencia operativa.
  
• Solución: implementa arquitecturas de bases de datos distribuidas que puedan procesar altos rendimientos de lectura y escritura a la vez que mantienen la coherencia de los datos y el cumplimiento normativo. Usa soluciones basadas en la nube elásticas que puedan responder dinámicamente a la demanda fluctuante y mantener el rendimiento sin comprometer la seguridad.
  

Modernización de sistemas heredados a la vez que se mantiene el cumplimiento de la normativa PCI

• Desafío: muchas organizaciones usan sistemas heredados que no están diseñados para cumplir con los estándares PCI DSS. Esto puede crear brechas de cumplimiento y seguridad.
  
• Solución: usa capas de abstracción de datos o arquitecturas orientadas a servicios para encapsular los sistemas heredados, lo que minimiza el acceso directo a los datos del titular de tarjeta. Considera reemplazar o modernizar los sistemas heredados con el tiempo mediante microservicios o contenedores para mejorar la agilidad y el cumplimiento.
  

Gestión de datos de tarjetas transfronterizos y requisitos de privacidad regionales

• Desafío: las distintas regiones tienen diferentes regulaciones de protección de datos, y los requisitos de cumplimiento aumentan para las empresas cuando almacenan datos de titulares de tarjetas a través de las fronteras.
  
• Solución: implementa soluciones de residencia de datos que procesen y almacenen datos en cumplimiento de las regulaciones locales. Usa el almacenamiento y procesamiento de datos basados en geolocalización para enrutar y almacenar datos automáticamente de acuerdo con la ubicación del titular de tarjeta y en cumplimiento de los requisitos de cumplimiento regionales.
  

Defensa contra amenazas de seguridad avanzadas

• Desafío: dado que los atacantes cambian continuamente sus tácticas, las organizaciones deben luchar contra ciberataques cada vez más sofisticados y amenazas persistentes avanzadas (APT) que pueden eludir las medidas de seguridad convencionales.
  
• Solución: adopta un enfoque de seguridad en capas que incluya mecanismos avanzados de detección y respuesta a amenazas, como análisis de comportamiento impulsados por inteligencia artificial, para identificar y mitigar amenazas en tiempo real. Actualiza periódicamente los planes de respuesta a incidentes y recuperación ante desastres para hacer frente a los nuevos tipos de ciberamenazas.
  

Mantenimiento del cumplimiento a medida que cambian los estándares PCI DSS

• Desafío: los estándares PCI DSS y los requisitos reglamentarios relacionados cambian continuamente, y mantenerse en cumplimiento puede ser un desafío constante.
  
• Solución: establece un programa de monitoreo de cumplimiento continuo que use herramientas de elaboración de informes y seguimiento de cumplimiento automatizadas. Participa en foros y colaboraciones proactivas del sector para mantenerte a la vanguardia de los estándares emergentes e incorporar prácticas recomendadas a tu estrategia de cumplimiento.
  

Garantía de datos de tarjetas precisos y coherentes en todos los sistemas

• Desafío: puede resultar difícil garantizar la integridad y coherencia de los datos del titular de tarjeta en una variedad de sistemas y entornos de almacenamiento, especialmente en arquitecturas distribuidas.
  
• Solución: implementa marcos sólidos de gobernanza de datos y usa herramientas de gestión de calidad de datos que mantengan la precisión y coherencia de los datos. Usa técnicas de sincronización de datos y replicación que se adhieran a las propiedades de atomicidad, coherencia, aislamiento y durabilidad (ACID) para mantener la integridad de los datos.
  

Cómo puede ayudar Stripe

Trabajar con Stripe puede ayudar a las empresas a reducir la carga del cumplimiento de la normativa PCI DSS. Al procesar los pagos a través de Stripe, las empresas no manejan los datos de la tarjeta confidenciales directamente. En su lugar, Stripe utiliza una variedad de funciones de seguridad avanzadas para proteger los datos de pago, lo que reduce el alcance de las responsabilidades de cumplimiento de la normativa de una empresa. Stripe es un proveedor de servicios que cuenta con la certificación PCI de nivel 1, el nivel más alto de cumplimiento de la normativa PCI, y maneja la mayoría de las tareas de seguridad de los datos de la tarjeta. Estas funciones de Stripe mantienen seguros los datos de los titulares de tarjeta y, al mismo tiempo, ayudan a las empresas a cumplir con la normativa PCI:

• Tokenización: El servicio de tokenización de Stripe reemplaza los datos de la tarjeta confidenciales con identificadores únicos (tokens), que se pueden almacenar de manera segura y usar para transacciones sin exponer los datos de la tarjeta.

• E2EE: Stripe cifra todos los datos confidenciales desde el punto de captura hasta que se procesan dentro de su entorno seguro. Este cifrado integral minimiza el riesgo de que los datos se intercepten durante la transmisión.

• Escalabilidad: La infraestructura de Stripe se basa en una plataforma en la nube diseñada para gestionar grandes volúmenes de transacciones sin comprometer el rendimiento. Las empresas pueden escalar sus operaciones sin preocuparse por mantener los estándares de cumplimiento de la normativa y seguridad.

• Integración con sistemas modernos y heredados: Stripe ofrece una amplia compatibilidad con la interfaz de programación de aplicaciones (API), lo que facilita su integración con sistemas modernos y heredados. Esta flexibilidad ayuda a las empresas a modernizar su procesamiento de pagos sin la necesidad de realizar revisiones exhaustivas de los sistemas existentes.

• Monitoreo y actualizaciones continuos: Stripe monitorea continuamente sus sistemas en busca de amenazas y actualiza regularmente sus medidas de seguridad para abordar las vulnerabilidades emergentes. Las funciones de seguridad incluyen algoritmos de machine learning que detectan y previenen el fraude.

• Cumplimiento de la normativa global: Stripe opera a nivel mundial y puede ayudar a las empresas a lidiar con las complejidades de la residencia de datos y el cumplimiento de la normativa regional a través de las fronteras.

• Gobernanza de datos: La infraestructura de Stripe respalda la integridad y consistencia de los datos.

Al confiar en Stripe para gestionar la mayor parte de la responsabilidad con respecto al almacenamiento seguro de las tarjetas, el cifrado de datos, el cumplimiento de la normativa y la escalabilidad, las empresas pueden dedicar más tiempo a las operaciones principales. Obtén más información sobre los estándares de seguridad de Stripe Billing.