PCI DSS

La versión actual de la página aún no ha sido revisada por colaboradores experimentados y puede diferir significativamente de la versión revisada el 31 de marzo de 2020; las comprobaciones requieren 16 ediciones .

El estándar de seguridad de datos de la industria de tarjetas de pago (PCI DSS) (del inglés "pago estándar de seguridad de la industria de tarjetas") es un estándar de seguridad de datos de tarjetas de pago establecido por los sistemas de pago internacionales Visa , MasterCard , American Express , JCB y Discover . [1] Los estándares de seguridad PCI están diseñados para proteger los datos de pago a lo largo del ciclo de vida de un pago y para proporcionar soluciones tecnológicas que devalúan esos datos y, por lo tanto, disuaden a los delincuentes de robarlos. [2]

Acerca del estándar de seguridad de datos de la industria de tarjetas de pago

El cumplimiento de los requisitos de PCI DSS implica un enfoque integral para garantizar la seguridad de la información de los datos de las tarjetas de pago. [3] Los operadores de sistemas de pago establecen la necesidad de cumplir con PCI DSS como parte de sus propios programas de seguridad.

Por ejemplo:

Todas las organizaciones que almacenan, transfieren o procesan datos de tarjetas de estos sistemas de pago deben cumplir con los requisitos de PCI DSS. Además, los sistemas de pago establecen reglas para confirmar el cumplimiento de PCI DSS. [3]

Los sistemas de pago nacionales (locales) también pueden especificar el requisito de cumplimiento de PCI DSS en sus programas de seguridad y establecer requisitos para el esquema de confirmación de cumplimiento. Por ejemplo, en el sistema de pago " Mir ", la necesidad de cumplir con PCI DSS se define en el Estándar del PS "Mir" "Programa de seguridad". [4] El programa también define los niveles organizativos y los requisitos de presentación de informes.

Desde septiembre de 2006, el estándar ha sido introducido por el sistema de pago internacional Visa en la región CEMEA ( Europa Central y Oriental , Medio Oriente y África ) como obligatorio, respectivamente, su efecto también se aplica a Rusia . Por lo tanto, los proveedores de servicios ( centros de procesamiento , pasarelas de pago , proveedores de Internet ) que trabajan directamente con VisaNet deben someterse a un procedimiento de auditoría para el cumplimiento de los requisitos de la norma.

Desde 2012, la certificación es obligatoria para todas las organizaciones que trabajan con tarjetas bancarias. [5]

Declaración de cumplimiento de PCI DSS

Los diferentes sistemas de pago internacionales tienen diferentes requisitos para el proceso de verificación del cumplimiento de los requisitos de PCI DSS.

Por lo general, los esquemas de confirmación varían para las organizaciones según la cantidad de transacciones con tarjeta que se procesen. A cada organización se le asigna un cierto nivel con un conjunto correspondiente de requisitos que deben cumplir. Como parte de los requisitos de los sistemas de pago, se proporcionan auditorías anuales de las organizaciones para el cumplimiento de PCI DSS o autoevaluación.

Los siguientes métodos están disponibles para verificar el cumplimiento de los requisitos de PCI DSS:

El método de verificación de conformidad, o la combinación de métodos, se selecciona según el nivel del comerciante o proveedor de servicios.

Niveles de comercio y empresas de servicios

Una empresa de comercio y servicios (TSE) es una organización que acepta tarjetas de pago como pago por bienes o servicios vendidos. Ejemplos de empresas comerciales y de servicios son tiendas, restaurantes, hoteles y tiendas en línea.

Según la clasificación de Visa:

Nivel 1:

Requisitos para la evaluación de la conformidad:

Nivel 2:

Requisitos para la evaluación de la conformidad:

Nivel 3:

Requisitos para la evaluación de la conformidad:

Nivel 4:

Requisitos para la evaluación de la conformidad:

Según la clasificación de MasterCard:

Nivel 1:

Requisitos para la evaluación de la conformidad:

Nivel 2:

Requisitos para la evaluación de la conformidad:

Nivel 3:

Requisitos para la evaluación de la conformidad:

Nivel 4:

Requisitos para la evaluación de la conformidad:

Niveles de proveedores de servicios

Los proveedores de servicios son organizaciones que brindan diversos servicios, principalmente en el campo de la tecnología de la información , a comerciantes, bancos adquirentes y emisores, y directamente a los sistemas de pago internacionales. Al mismo tiempo, la organización, el proveedor de servicios, obtiene acceso a los datos sobre los titulares de tarjetas. Ejemplos de proveedores de servicios son los centros de procesamiento , las pasarelas de pago, los centros de datos, la tokenización y los proveedores de servicios de cifrado punto a punto ( P2PE ).

Según la clasificación de Visa:

Nivel 1:

Requisitos para la evaluación de la conformidad:

Nivel 2:

Requisitos para la evaluación de la conformidad:

Según la clasificación de MasterCard:

Nivel 1:

Requisitos de certificación:

Nivel 2:

Requisitos para la evaluación de la conformidad:

Empresas auditoras PCI QSA

Como se desprende de la clasificación, la certificación en los niveles más altos debe ser realizada por una empresa auditora con estatus de Qualified Security Assessor (PCI QSA). Para otros niveles, la participación de QSA no es un requisito obligatorio. Sin embargo, QSA puede proporcionar servicios de consultoría para cualquier nivel de evaluación de la conformidad. .

Empresas Auditoras PCI PA-QSA

Existe un estándar de seguridad PCI DSS relacionado para las aplicaciones de pago - Aplicación de pago de la industria de tarjetas de pago - Estándar de seguridad de datos (PCI PA-DSS). Los fabricantes de software involucrados en el procesamiento de transacciones de pago deben certificar las aplicaciones según el estándar PA-DSS. De acuerdo con los requisitos de los sistemas de pago internacionales Visa y MasterCard, todos los comerciantes y proveedores de servicios, a partir del 1 de julio  de 2012, deben utilizar únicamente aplicaciones de pago certificadas según el estándar PA-DSS. El control del cumplimiento de este requisito se asigna a los bancos adquirentes. La certificación de aplicaciones de pago bajo el estándar PA-DSS puede ser realizada por empresas con estatus PCI PA-QSA .

Requisitos PCI DSS

PCI DSS define las siguientes seis áreas de control y 12 requisitos básicos de seguridad.

Construcción y mantenimiento de una red segura

Protección de los datos del titular de la tarjeta

Apoyo al programa de gestión de vulnerabilidades

Implementación de medidas estrictas de control de acceso

Supervisión y pruebas periódicas de la red

Soporte de políticas de seguridad de la información

Versiones del estándar PCI DSS

El PCI SSC Council sigue un ciclo de actualización estándar de tres años. El primer año es la introducción del estándar en la industria, el segundo año es la recopilación de opiniones en forma de comentarios y deseos de los participantes en la industria de las tarjetas de pago, el tercer año es la preparación de una nueva versión del estándar . Las conferencias PCI SSC Community Meeting se llevan a cabo entre las etapas, que consisten en sesiones americanas y europeas. Durante las conferencias, las organizaciones participantes, los sistemas de pago internacionales, los consultores y los QSA, así como los comerciantes y los proveedores de servicios debaten sobre el futuro de la norma y los documentos relacionados.

Historial de cambios estándar:

Notas

  1. ↑ ¿Qué es PCI DSS (Estándar de seguridad de datos de la industria de tarjetas de pago)? - Definición de WhatIs.com  (inglés) . BuscarSeguridad . Fecha de acceso: 16 de septiembre de 2022.
  2. ↑ Estándares  _  _ . Consejo de Normas de Seguridad PCI . Fecha de acceso: 16 de septiembre de 2022.
  3. ↑ 1 2 ¿ Preguntas   frecuentes ? . Consejo de Normas de Seguridad PCI . Fecha de acceso: 16 de septiembre de 2022.
  4. ↑ Programa de seguridad .
  5. ↑ Estándar PCI DSS: qué es, requisitos, cómo obtener un certificado . itglobal.com . Fecha de acceso: 16 de septiembre de 2022.
  6. ↑ Asegurar el futuro de los pagos: PCI SSC publica PCI Data Security Standard   v4.0 ? . Consejo de Normas de Seguridad PCI . Fecha de acceso: 16 de septiembre de 2022.

Enlaces