Las compras en línea son algo natural para la mayoría de las personas. Haces clic, compras y la información se procesa de manera fluida, todo con la confianza de que los datos financieros están seguros.
Pero, ¿alguna vez te has preguntado qué sucede por detrás para garantizar esta confianza?
La respuesta se encuentra en un conjunto de estándares de seguridad llamado PCI DSS. A continuación, verás los requisitos de esta abreviatura y lo que significa tanto para los vendedores en línea como para los clientes.
¿Qué es el PCI DSS?
PCI DSS significa Payment Card Industry Data Security Standard (Estándar de Seguridad de Datos de la Industria de Tarjetas de Pago).
Es un conjunto de requisitos de seguridad que exigen las marcas de tarjetas de crédito principales (Visa, Mastercard, American Express, Discover y JCB) para asegurar que las empresas que manejan datos de titulares de tarjetas lo hagan de manera segura. Piensa en ello como un manual para proteger la información de pago de los clientes.
El PCI DSS lo supervisa un grupo independiente de expertos, el Consejo de Normas de Seguridad PCI (PCI SSC), fundado en 2006. Estos estándares se aplican a cualquier organización que acepte, transmita o almacene información de tarjetas de crédito, sin importar su tamaño o volumen de transacciones.
Esto incluye negocios como tiendas y proveedores de servicios, pero también se extiende a organizaciones sin ánimo de lucro y otros que puedan manejar pagos con tarjeta.
Es importante destacar que, incluso si subcontratas un procesamiento de pagos, sigues siendo responsable de cumplir con el PCI DSS para garantizar que los datos de las tarjetas de crédito de los clientes estén protegidos.
¿Cuál es el objetivo del PCI DSS?
El objetivo principal del PCI DSS es mantener segura la información sensible de los titulares de tarjetas, incluidos los números de tarjetas de débito y crédito, las fechas de vencimiento y los códigos de seguridad.
Al requerir medidas de seguridad, PCI DSS ayuda a las empresas a reducir las violaciones de datos, el robo de identidad y el fraude con tarjetas de crédito. También establece expectativas claras sobre cómo se debe manejar información sensible, creando un entorno más seguro para todos los involucrados.
6 principios del PCI DSS
El PCI DSS abarca 12 requisitos clave, que se organizan en seis grupos, conocidos como objetivos de control. Los objetivos de control son:
- Crear y mantener una red y sistemas seguros
- Proteger los datos de los titulares de tarjetas
- Mantener un programa de gestión de vulnerabilidades
- Implementar medidas de control de acceso fuertes
- Controlar y probar regularmente las redes
- Mantener una política de seguridad de la información
12 requisitos de PCI DSS
La versión más reciente del estándar es PCI DSS 4.0 (publicada en marzo de 2022), que incluye los siguientes 12 requisitos de cumplimiento:
- Instalar y mantener un firewall para proteger los datos de los titulares de tarjetas.
- No utilizar configuraciones predeterminadas que ofrezca el proveedor para contraseñas del sistema y otros parámetros de seguridad.
- Proteger los datos de los titulares de tarjetas almacenados.
- Cifrar la transmisión de datos de los titulares de tarjetas a través de redes abiertas y públicas.
- Proteger todos los sistemas contra malware y actualizar regularmente el software o programas antivirus.
- Desarrollar y mantener sistemas y aplicaciones seguras.
- Restringir el acceso a los datos de los titulares de tarjetas según la necesidad del negocio.
- Identificar y autenticar el acceso a los componentes del sistema.
- Restringir el acceso físico a los datos de los titulares de tarjetas.
- Rastrear y controlar todo acceso a recursos de red y datos de los titulares de tarjetas.
- Probar regularmente los sistemas y procesos de seguridad.
- Mantener una política que aborde la seguridad de la información para todo el personal.
Niveles de cumplimiento del PCI DSS
Como comerciante, debes cumplir con el PCI DSS; cómo demuestras que lo tienes depende de tu volumen de transacciones y métodos de procesamiento. Hay cuatro niveles principales de cumplimiento de PCI DSS para empresas u organizaciones.
Nivel 1
Las empresas de Nivel 1 procesan más de seis millones de transacciones con tarjeta al año y tienen que cumplir los requisitos más estrictos. Los grandes comerciantes en este nivel deben:
- Completar un informe anual de cumplimiento (ROC) trabajando con un evaluador de seguridad calificado (QSA) de terceros.
- Realizar escaneos de vulnerabilidad de red trimestrales y pruebas de penetración anuales.
- Completar una declaración de cumplimiento (AOC), que también debe firmarla el QSA.
Nivel 2
Los comerciantes que procesan entre uno y seis millones de transacciones con tarjeta al año caen bajo el Nivel 2. En este nivel, necesitas:
- Completar un cuestionario de autoevaluación anual (SAQ).
- Realizar escaneos de vulnerabilidad de red trimestrales.
- Completar un AOC.
Es posible que se te pida que una firma QSA de terceros atestigüe tu SAQ en el Nivel 2 de PCI. También podrías tener que presentar un escaneo de vulnerabilidad de red trimestral.
Nivel 3
Este nivel se aplica a todas las empresas y organizaciones que procesan entre 20.000 y un millón de transacciones con tarjeta al año, así como a todos los comerciantes de comercio electrónico. El Nivel 3 requiere que:
- Completes un SAQ anual.
- Realices escaneos de red trimestrales.
- Completes un AOC.
También podrías tener que presentar un escaneo de vulnerabilidad de red trimestral.
Nivel 4
El Nivel 4 se aplica a pequeñas empresas con menos de 20.000 transacciones al año. En el nivel 4 necesitas:
- Completar un SAQ anual.
- Realizar escaneos de red trimestrales (no se requiere informe).
- Completar un AOC.
También podrías tener que presentar un escaneo de vulnerabilidad de red trimestral.
Ventajas y desventajas del cumplimiento del PCI DSS
Aunque hay algunos costes para establecer y mantener el cumplimiento del PCI DSS, son mucho menores que los problemas que puede causar una violación de datos. Además, el cumplimiento del PCI DSS genera confianza entre tus clientes, lo que hace que la inversión valga la pena. Aquí tienes lo que puedes esperar:
Ventajas del PCI DSS
- Menos dolores de cabeza sobre la seguridad: una mayor seguridad de datos dificulta que los hackers roben información de los clientes, lo que se traduce en menos estrés y menos interrupciones para tu negocio.
- Relaciones más sólidas con los clientes: cumplir el PCI DSS demuestra a los clientes que estás comprometido con proteger su información financiera, lo que genera confianza y lealtad.
- Reducción de costes a largo plazo: evita las multas, demandas costosas y daños a la reputación relacionados con violaciones de datos al proteger la información sensible.
Desventajas del PCI DSS
- Costes de configuración: el cumplimiento del PCI DSS tiene costes iniciales para herramientas de seguridad y capacitación de empleados.
- Gestión continua: mantener el cumplimiento del PCI requiere revisar regularmente tus sistemas, actualizar las protecciones de seguridad y asegurarte de que los empleados estén al día.
- Entorno cambiante: las amenazas en evolución y los avances tecnológicos significan que el sector está en constante cambio, y las empresas deben adaptarse para estar al día.
- Complejidad: los detalles del PCI DSS pueden volverse complicados. Dependiendo del tamaño y tipo de negocio, podrías necesitar la ayuda de un profesional para configurarlo correctamente.
Mejores prácticas para el cumplimiento del PCI DSS
Aquí tienes las mejores prácticas para ayudarte a mantener el cumplimiento y manejar la información de pago de los clientes de manera segura:
- Restringir el acceso: los datos privados de los clientes deben mantenerse en un nivel de necesidad. Solo los empleados que lo necesiten para sus funciones laborales deben tener acceso a los datos de los titulares de tarjetas.
- Crear defensas fuertes: invierte en herramientas de seguridad como firewalls y software antivirus para proteger tus sistemas, y actualízalas regularmente.
- Separarlo: una infraestructura de red segura implica segmentar redes para separar los datos de los titulares de tarjetas de otras partes.
- Cifrarlo: almacenar o transmitir datos de clientes, utiliza cifrado para codificar la información, haciéndola ilegible para usuarios no autorizados.
- Realizar chequeos regulares: mantén los sistemas y software actualizados con parches de seguridad.
- Formar a tus equipos: forma y entrena a tus empleados sobre las mejores prácticas de seguridad de datos para evitar violaciones accidentales.
- Poner contraseñas fuertes: establece requisitos de complejidad para contraseñas y cambios regulares de contraseñas, y configura la autenticación de dos factores.
- Mantener registros de auditoría: conserva registros de auditoría detallados para controlar la actividad del sistema.
- Tener un plan: desarrolla un plan para responder a incidentes de seguridad de manera rápida y efectiva.
- Formalizarlo: establece una política de seguridad de la información a nivel empresarial que cubra cómo manejas y proteges los datos de los titulares de tarjetas.
Recuerda, el cumplimiento del PCI DSS es un proceso continuo. Siguiendo estas mejores prácticas, puedes reducir significativamente el riesgo de violaciones de datos y proteger tu negocio y a tus clientes.
Mantén el cumplimiento con Shopify Payments
Buenas noticias para los vendedores de Shopify: Shopify cumple con el PCI DSS, y eso se extiende a todas las tiendas impulsadas por Shopify.
Esto significa que se almacena de manera segura la información de facturación y envío de los clientes en servidores compatibles con el PCI. Se valida el cumplimiento a través de evaluaciones anuales y se gestiona proactivamente el riesgo continuo. El cumplimiento abarca las seis categorías estándar del PCI y se aplica a cada tienda que utiliza la plataforma.
En resumen, cuando eliges Shopify para impulsar tu tienda, puedes estar tranquilo sabiendo que se ha invertido tiempo y dinero para mantener la certificación del PCI de Nivel 1 y proteger cada transacción. Tu tienda, carrito de compras y alojamiento web están cubiertos.
Preguntas frecuentes sobre PCI DSS
¿Qué significa PCI DSS?
El Estándar de Seguridad de Datos de la Industria de Tarjetas de Pago, o PCI DSS, es el estándar de seguridad de la información que se utiliza para manejar tarjetas de crédito de las marcas de tarjetas principales como Visa, Mastercard, American Express, Discover y JCB. Este estándar ayuda a prevenir violaciones de datos, fraudes y robos de identidad al establecer mejores prácticas para la seguridad en los pagos. Aunque no es obligatorio, las organizaciones que procesan pagos con tarjeta están obligadas contractualmente a cumplir con los requisitos.
¿Cuáles son las 4 áreas que cubre el PCI DSS?
PCI DSS cubre cuatro áreas principales:
- El procesamiento de transacciones y pagos digitales utilizando tarjetas
- El almacenamiento de datos de tarjetas de pago
- La transmisión de información de los titulares de tarjetas
- El aseguramiento del entorno de procesamiento de tarjetas, incluidos dispositivos POS, proveedores y compradores.
¿Para qué se requiere el PCI DSS?
El PCI DSS se aplica a todas las organizaciones que procesan, transmiten y/o almacenan información de tarjetas de pago, sin importar el tamaño o el número de transacciones. También contiene requisitos para el entorno de procesamiento de tarjetas en sí, incluidos dispositivos de punto de venta (POS), servidores, redes, proveedores de servicios y procesadores de pagos de terceros.
