PCI DSS (Norma de seguridad de datos del sector de tarjetas de pago) es una norma internacional de seguridad establecido por el Consejo de Normas de Seguridad de la PCI (PCI SSC)fundada en 2006 por American Express, Discover, JCB International, Mastercard y Visa. Su objetivo es proteger los datos de las tarjetas de pago y mejorar la seguridad de las transacciones.
Esta norma se aplica a cualquier entidad que almacene, procese o transmita datos de tarjetas de pago, incluidos :
- Minoristas de todos los tamaños
- Proveedores de servicios de pago
- Procesadores de transacciones
- Desarrolladores de software de pago
- Proveedores de servicios alojados
Se actualiza periódicamente para responder a las nuevas amenazas. La última versión es : PCI DSS v4.0 en 2022
Principales objetivos
1. Crear y gestionar una red segura
- Requisito1 : instalación y gestión de sistemas de seguridad de redes y cortafuegos proteger los datos
- Requisito 2: aplicar configuraciones seguras y no utilizar el parámetros proporcionadas por los proveedores
2. Protección de datos del titular
- Requisito 3: proteger los datos almacenados de los titulares de tarjetas
- Requisito 4: cifrar la transmisión de datos de los titulares de tarjetas a través de redes abiertas y públicas
3. Gestión de la vulnerabilidad
- Requisito 5: proteger todos los sistemas contra el software malintencionado y actualizar periódicamente los programas antivirus
- Requisito 6: desarrollar y mantener sistemas y aplicaciones seguros
4. Control de acceso robusto
- Requisito 7: restringir el acceso a los datos en función de la necesidad de conocerlos
- Requisito 8: identificar y autenticar el acceso a los componentes del sistema
- Requisito 9: restringir el acceso físico a los datos de los titulares de tarjetas
5. Supervisión y pruebas de la red
- Requisito 10: rastrear y supervisar todos los accesos a los recursos de la red y a los datos de los titulares de tarjetas
- Requisito11 : pruebas periódicas de los sistemas y procesos de seguridad
6. Política de seguridad
- Requisito12 : mantener una política de seguridad de la información para todo el personal
📝 Validación y cumplimiento
El cumplimiento de la norma PCI DSS se valida mediante auditorías externas para las grandes entidades o autoevaluaciones (SAQ) para las más pequeñas, en función del volumen de transacciones.. Las organizaciones deben cumplir la norma PCI DSS 4.0 antes del 31 de marzo de 2024, y los requisitos adicionales deben aplicarse antes del 31 de marzo de 2025.
El incumplimiento puede acarrear multas, sanciones y restricciones de acceso a las redes de pago. Por lo tanto, es crucial que las organizaciones empiecen a aplicar los nuevos requisitos de seguridad lo antes posible para asegurarse de que los cumplen en la fecha límite..
