Qué es PCI DSS y qué exige al cobrar con tarjeta

Una empresa de venta en línea cobraba con tarjeta a través de una página de pago alojada en su propio sitio. El banco adquirente le pidió el cuestionario anual de cumplimiento, y al llenarlo el equipo descubrió que la página de pago cargaba scripts de analítica, de chat y de publicidad que nadie había inventariado. Cualquiera de ellos, si se modificaba, podía leer los datos de la tarjeta mientras el cliente los escribía. La empresa creía que no estaba en alcance porque el procesador guardaba las tarjetas.

Qué es PCI DSS

PCI DSS es el estándar de seguridad de datos de la industria de tarjetas de pago. Lo publica el PCI Security Standards Council, fundado por las principales marcas de tarjetas, y su versión vigente es la 4.0.1. Aplica a toda organización que almacena, procesa o transmite datos de tarjetahabientes, o que puede afectar la seguridad de esos datos: comercios, procesadores, adquirentes y proveedores de servicios. No es una ley; su cumplimiento lo exigen las marcas y los bancos por contrato.

Los doce requisitos

• —Instalar y mantener controles de seguridad de red.
• —Aplicar configuraciones seguras a todos los componentes del sistema.
• —Proteger los datos de cuenta almacenados.
• —Proteger los datos con criptografía fuerte durante su transmisión por redes abiertas.
• —Proteger los sistemas contra software malicioso.
• —Desarrollar y mantener sistemas y software seguros.
• —Restringir el acceso a los datos según la necesidad del negocio.
• —Identificar a los usuarios y autenticar el acceso a los componentes del sistema.
• —Restringir el acceso físico a los datos del tarjetahabiente.
• —Registrar y monitorear todo el acceso a los componentes del sistema y a los datos.
• —Probar la seguridad de los sistemas y redes con regularidad.
• —Respaldar la seguridad con políticas y programas organizacionales.

El alcance

El concepto central es el entorno de datos del tarjetahabiente: los sistemas, personas y procesos que manejan los datos de tarjeta, y todo lo que está conectado a ellos. Reducir ese alcance es la decisión más importante. La segmentación de red, la tokenización y el uso de páginas de pago alojadas por el procesador disminuyen los sistemas que hay que proteger, pero no lo eliminan: la versión 4.0 agregó requisitos para controlar los scripts de la página de pago y detectar cambios no autorizados en ella.

Cómo se valida

Las marcas clasifican a los comercios en niveles según su volumen anual de transacciones. Los de mayor volumen necesitan un reporte de cumplimiento elaborado por un evaluador calificado de seguridad (QSA). Los demás llenan un cuestionario de autoevaluación (SAQ) cuyo tipo depende de cómo procesan los pagos. En casi todos los casos se piden además escaneos trimestrales de vulnerabilidades externas por un proveedor aprobado (ASV).

Errores frecuentes

• —Suponer que tercerizar el procesamiento saca a la empresa del alcance.
• —Elegir el cuestionario de autoevaluación equivocado para el modelo de pago real.
• —Almacenar el código de seguridad de la tarjeta, que el estándar prohíbe guardar después de la autorización.
• —Tratar el cumplimiento como un trámite anual y no como controles que operan todo el año.

Dónde se sostiene

En la Ciudad de México, donde se concentran comercios en línea, procesadores, fintech y centros de contacto que cobran por teléfono, PCI DSS suele tratarse como un proyecto de TI que se cierra con el reporte. Se sostiene cuando los controles tienen dueño, se documentan, se miden y se revisan en auditorías internas y en la revisión por la dirección. Esa base de sistema de gestión es parte de lo que se trabaja en la Consultoría ISO 9001 en Ciudad de México.

En resumen

PCI DSS es el estándar de seguridad de la industria de tarjetas de pago. Define doce requisitos para proteger los datos del tarjetahabiente, se aplica a todo el entorno que los maneja o puede afectarlos, y se valida con un reporte de un evaluador calificado o con un cuestionario de autoevaluación, según el volumen del comercio.