Elegir un producto que cumpla con PCI DSS 4.0 en 2023

Con multas por infracción de hasta $100,000 por mes hasta que se logre el cumplimiento total, todas las entidades que procesan datos de titulares de tarjetas no pueden darse el lujo de pasar por alto una brecha en el cumplimiento de PCI DSS. Pero con el panorama digital en expansión que aumenta la complejidad de la seguridad de la información, cumplir con el Estándar de Seguridad de Datos de la Industria de Tarjetas de Pago es difícil a menos que aproveche un producto que pueda ayudarlo a realizar un seguimiento de sus esfuerzos de cumplimiento.

En esta publicación, describimos las características y capacidades esenciales de una solución de software de cumplimiento de PCI que reforzará la seguridad de su entorno de datos de titulares de tarjetas y minimizará significativamente las posibilidades de una violación de incumplimiento.

Descubra cómo UpGuard optimiza la gestión de riesgos de los proveedores >

Los 12 requisitos de cumplimiento de PCI DSS 4.0

Para realizar un seguimiento eficaz de la alineación de PCI DSS, una solución de cumplimiento debe incluir la asignación de características a la versión actualizada de esta regulación: PCI DSS 4.0. Una herramienta de cumplimiento que no se haya adaptado a los requisitos revisados de la versión 4 tendrá un error significativo a la hora de ayudarle a lograr el cumplimiento, ya que la versión 4.0 introduce algunos cambios drásticos.

Mientras que los 12 requisitos básicos de PCI DSS no han cambiado. Son los siguientes:

1. Implementar y mantener controles de seguridad de la red

2. Implementar una configuración segura

3. Proteger los datos almacenados de la cuenta y del titular de la tarjeta

4. Haber mejorado la criptografía durante la transmisión de los datos del titular de la tarjeta

5. Mejorar y mantener la protección contra el malware

6. Actualizar y mantener sistemas y aplicaciones

7. Limitar el acceso digital a los datos del titular de la tarjeta

8. Limitar el acceso físico a los datos del titular de la tarjeta

9. Asigne un ID único para cada usuario autenticado

10. Supervise e informe cuándo se accede a los recursos de la red y a los datos del titular de la tarjeta

11. Realizar pruebas frecuentes de sistemas, procesos, redes y dispositivos de seguridad

12. Crear, implementar y mantener políticas de seguridad de la información para la seguridad de la información

Obtenga más información sobre el cumplimiento de PCI DSS >

Nota: Cada marca de tarjetas de pago PCI SSC tiene su propio conjunto de requisitos de cumplimiento de PCI. A continuación se enumeran los enlaces a los estándares de cumplimiento de algunos de los miembros de marcas populares.

• Mastercard
• Expreso Americano
• VISADO
• JCB Internacional

3 características clave para el seguimiento del cumplimiento de PCI DSS

La mayoría de los requisitos de PCI DSS se pueden abordar con las siguientes tres iniciativas de ciberseguridad:

1. Gestión de riesgos de proveedores
2. Gestión de accesos privilegiados
3. Gestión de parches de seguridad

Si prefiere mantener su superficie de ataque al mínimo implementando solo una única solución de cumplimiento de PCI DSS, le recomendamos encarecidamente que implemente una herramienta de gestión de riesgos del proveedor. Una herramienta VRM le ayudará a realizar un seguimiento de sus esfuerzos generales de cumplimiento de PCI DSS al descubrir los riesgos internos y de terceros que afectan a la alineación con las funciones de cumplimiento de PCI DSS.

Obtenga más información sobre la solución de gestión de riesgos de proveedores de UpGuard >

1. Gestión de riesgos de proveedores

El Consejo de Normas de Seguridad PCI (PCI SSC), al igual que la mayoría de las regulaciones cibernéticas, reconoce el impacto de las prácticas de seguridad de los proveedores de servicios en los esfuerzos de cumplimiento de PCI DSS. Como tal, para cumplir con PCI DSS, las entidades de procesamiento de pagos deben proteger su superficie de ataque de terceros con una gestión de riesgos del proveedor (VRM), como se indica en el requisito 12.8.

- Requisito PCI DSS 12.8

Un componente de la gestión de riesgos de proveedores es el seguimiento del cumplimiento normativo, que, cuando se asigna a los estándares de PCI DSS, podría servir como una guía útil para realizar un seguimiento de sus niveles generales de cumplimiento según la influencia de factores internos y externos (de terceros).

En el ciclo de vida de VRM, el seguimiento del cumplimiento normativo se produce en su nivel más alto en la fase de diligencia debida y en sus niveles más profundos en las etapas de evaluación y monitoreo. En la fase de evaluación, se evalúa el cumplimiento normativo con cuestionarios de seguridad y evaluaciones de riesgos que se asignan a los requisitos de seguridad de PCI DSS y otros estándares para producir un informe sobre los esfuerzos de cumplimiento. La fase de supervisión continúa este esfuerzo con análisis de vulnerabilidades para realizar un seguimiento de los riesgos de cumplimiento emergentes que requieren una corrección inmediata para evitar infracciones.

Un producto ideal de cumplimiento de PCI DSS será capaz de realizar un seguimiento bilateral del cumplimiento de PCI DSS teniendo en cuenta los factores de riesgo internos y de terceros. Esto se logra mejor con cuestionarios de seguridad que se asignan a los estándares de PCI DSS para ser utilizados en las evaluaciones de proveedores y cuestionarios de autoevaluación.

Los cuestionarios oficiales de autoevaluación (SAQ) que confirman la certificación de cumplimiento para los comerciantes están disponibles en el sitio web de las normas de seguridad PCI.

Consulte esta guía de referencia rápida para asegurarse de que su solución de gestión de riesgos del proveedor cumple con los objetivos de actualización de seguridad de la versión 4 de PCI DSS:

• No utilice contraseñas predeterminadas proporcionadas por el proveedor para soluciones de terceros. Aplique contraseñas complejas con administradores de contraseñas.
• Evalúe periódicamente los esfuerzos de ciberseguridad de los proveedores externos que procesan datos de tarjetas de crédito.
• Aborde rápidamente los riesgos de los proveedores, lo que podría facilitar las infracciones de terceros.
• Utilice una estrategia de niveles de proveedores para procesar fácilmente datos de tarjetas de crédito de proveedores diferencialmente críticos.

UpGuard ofrece una biblioteca de plantillas de cuestionarios de seguridad personalizables que se asignan a los estándares de PCI DSS y otras regulaciones populares. Una vez completado, UpGuard detecta automáticamente los riesgos de seguridad que afectan al cumplimiento y aumenta el riesgo de infracciones costosas.

Más información sobre los cuestionarios de seguridad de UpGuard >

Al incluir esta función de seguimiento del cumplimiento de PCI DSS dentro de una plataforma de gestión de riesgos de proveedores, los riesgos de cumplimiento se pueden impulsar instantáneamente a través de un flujo de trabajo de corrección, lo que le ayuda a cerrar los riesgos de cumplimiento de PCI DSS más rápido.

UpGuard también ofrece una organización en niveles de proveedores que asigna automáticamente a los proveedores un nivel de criticidad en función de sus respuestas al cuestionario, un proceso que se puede configurar según sus requisitos de organización en niveles únicos.

Al configurar este proceso de organización en niveles para que todos los proveedores que procesan datos de tarjetas de crédito se asignen automáticamente a un nivel crítico, este grupo se puede priorizar en los esfuerzos de gestión de riesgos de proveedores para reducir el riesgo de infracciones de terceros que resulten en costosas violaciones de PCI DSS.

Para obtener más información sobre algunas de las funciones de informes de cumplimiento de UpGuard, vea este video.

Realice un recorrido autoguiado por los productos UpGuards Vendor Risk >

2. Gestión de accesos privilegiados

Podría soportar el cumplimiento de los siguientes requisitos de PCI DSS:

• Función 1 de PCI DSS: Implementar y mantener controles de seguridad de red
• Función 3 de PCI DSS: Proteger los datos almacenados de la cuenta y del titular de la tarjeta
• Función PCI DSS 7: Limitación del acceso digital a los datos del titular de la tarjeta
• Función PCI DSS 8: Limitación del acceso físico a los datos del titular de la tarjeta
• Función PCI DSS 10: Supervise e informe cuando se accede a los recursos de red y a los datos del titular de la tarjeta

Con tantos requisitos complejos de PCI, es común sentirse demasiado abrumado para saber por dónde empezar. Comience por reducir su enfoque en la protección de la información de la tarjeta de crédito. Este impulso inicial establecerá la base más segura para su programa de cumplimiento de PCI DSS.

Si su programa de ciberseguridad está configurado correctamente, los recursos que albergan los datos de los titulares de tarjetas generalmente solo son accesibles para usuarios privilegiados, es decir, cuentas de usuario con más potencial de acceso privilegiado que las cuentas de usuario generales.

Además de otorgar acceso a datos y sistemas de pago altamente confidenciales, como datos de tarjetas de crédito, datos de clientes, terminales de pago y transacciones con tarjetas de crédito, los datos de cuentas de débito privilegiadas también se pueden usar para iniciar sesión en medidas de seguridad, como:

• Cortafuegos
• Software antivirus
• Componentes del sistema de prevención de filtraciones de datos
• Software de protección de datos de endpoints.
• Programas de gestión de vulnerabilidades

Debido a que las cuentas privilegiadas ofrecen acceso a un espectro tan amplio de activos confidenciales, los ciberdelincuentes siempre tienen como objetivo descubrir cuentas privilegiadas casi inmediatamente después de penetrar en una red segura.

Según Forester, el 80% de las violaciones de datos involucran credenciales privilegiadas comprometidas.

Las cuentas de acceso privilegiado comprometidas podrían armar a los piratas informáticos con un ataque cibernético múltiple, proporcionando un camino a través de múltiples soluciones de seguridad para los datos de tarjetas de crédito en el centro de esta estructura de defensa cibernética.

Desde una perspectiva inversa, la protección de las cuentas de acceso privilegiado ampliará el límite de la protección más allá de los recursos que albergan los datos de los titulares de tarjetas para incluir múltiples capas de soluciones de seguridad, lo que reducirá significativamente las posibilidades de una violación de datos.

Aprenda a defenderse con éxito contra las filtraciones de datos >

Las cuentas de acceso privilegiado se protegen mejor con la gestión de acceso privilegiado (PAM), una estrategia de ciberseguridad que aplica el principio de privilegios mínimos para garantizar que los usuarios solo tengan acceso al nivel mínimo de recursos confidenciales necesarios para hacer su trabajo.

Más información sobre Privileged Access Management >

PCI DSS 4.0 aumenta el énfasis en la gestión de identidades y accesos y en una arquitectura Zero Trust, una estrategia de seguridad de red que confirma el acceso de los usuarios aprobados a través de protocolos de autenticación continua. Estas dos iniciativas de ciberseguridad amplían los principios de seguridad de las cuentas de la gestión de accesos privilegiados para proteger continuamente contra el acceso no autorizado a los datos de los titulares de tarjetas.

Consulte esta guía de referencia rápida para asegurarse de que su solución de seguridad de cuentas privilegiadas cumpla con los objetivos de control de acceso de PCI DSS versión 4.

• Restrinja el acceso de los usuarios (incluido el acceso remoto) a los entornos de datos del titular de la tarjeta.
• Limite el acceso a los datos de la tarjeta solo a los usuarios que lo requieran absolutamente para completar sus tareas diarias.
• Establezca una política de control de acceso de usuarios que defina qué usuarios específicos tienen acceso a los entornos de datos de los titulares de tarjetas.
• Implemente medidas sólidas de control de acceso que denieguen el acceso a todos los usuarios que no estén incluidos en las políticas de usuarios privilegiados.
• Establezca una política de contraseñas seguras para las cuentas con privilegios, idealmente aplicada con un administrador de contraseñas.
• Asigne un ID único a todas las cuentas de usuario, especialmente a los usuarios con privilegios.
• Supervise todo el acceso privilegiado a los recursos confidenciales y a los datos de los titulares de tarjetas.

3. Gestión de parches de seguridad

Podría soportar el cumplimiento de los siguientes requisitos de PCI DSS:

• Función 6: Actualizar y mantener sistemas y aplicaciones

Al igual que las credenciales privilegiadas comprometidas sirven como claves que facilitan un camino a través de los controles de seguridad y hacia los recursos de datos de tarjetas de crédito, las vulnerabilidades de seguridad también son vectores de ataque que podrían actuar como un camino hacia los datos de la marca de las tarjetas de pago.

Todas las soluciones digitales son susceptibles a las vulnerabilidades de seguridad, incluidas las herramientas de seguridad y el software de procesamiento de pagos de comercio electrónico, como el software de punto de venta (POS).

Si asume que los productos desarrollados específicamente para los procesadores de pagos con tarjeta de crédito son inherentemente seguros, está gravemente equivocado. Le sorprendería la cantidad de filtraciones de datos que se producen al explotar los riesgos de seguridad en el software de punto de venta.

Un programa de gestión de parches de seguridad informará a sus equipos de seguridad de los nuevos parches de seguridad disponibles y garantizará su implementación oportuna.

Para reforzar los esfuerzos de protección de datos de los parches de seguridad oportunos, asegúrese de implementar firewalls de aplicaciones web. Un WAF podría abordar los riesgos de seguridad de la transferencia de datos a través de una red pública. Según el Consejo de Estándares de Seguridad de la Industria de Tarjetas de Pago, los protocolos de transferencia como SSL y TLS 1.0 vulnerables ya no son tipos de cifrado seguros y, por lo tanto, deben evitarse.

El Consejo PCI requiere que las entidades creen un plan de mitigación de riesgos para reducir los riesgos de seguridad de los protocolos inseguros como SSL y TLS 1.0 vulnerables hasta que se complete la transición a protocolos de transferencia más seguros.

Las grandes y pequeñas empresas deben probar regularmente las redes en busca de vulnerabilidades para garantizar que los mecanismos de transferencia no puedan ser interceptados a pesar de contar con un programa eficiente de gestión de parches de seguridad.

Consulte esta guía de referencia rápida para asegurarse de que su solución de administración de parches de seguridad cumpla con los objetivos de actualización de seguridad de PCI DSS versión 4:

• Regístrese en una lista de correo electrónico de versiones de parches de seguridad para los proveedores que ofrecen este servicio.
• Asegúrese de que los nuevos parches se implementen dentro de las 24 horas posteriores a su lanzamiento.
• Establecer un plan de implementación de parches de seguridad.
• Realice pruebas de penetración periódicas para detectar vulnerabilidades en la red.
• Realice análisis de vulnerabilidades periódicos para descubrir vulnerabilidades y exposiciones del sistema, y vuelva a analizar los sistemas después de implementar parches para verificar el cumplimiento.

• Establecer una política de control en línea con las mejores prácticas estándar de la industria (como IEEE 802.11i)
• Diseñe un plan de remediación que priorice los riesgos críticos descubiertos en los análisis de vulnerabilidades.
• Pruebe los parches antes de la implementación y realice pruebas de penetración en sistemas actualizados con los últimos parches de seguridad.
• Asegúrese de que las actualizaciones de seguridad tengan las firmas más actualizadas
• Solo soluciones integradas que siguen las mejores prácticas estándar de la industria
• Implemente el estándar de cifrado punto a punto (P2PE) para el procesamiento de datos de titulares de tarjetas durante las transacciones, en redes abiertas y públicas.
• Haga que la seguridad de su infraestructura sea evaluada por un asesor de seguridad calificado (QSA) para la validación del cumplimiento.
• Asegúrese de que los firewalls que protegen los recursos de datos de tarjetas de crédito estén configurados de forma segura.

La plataforma UpGuard incluye una función de escaneo de vulnerabilidades que detecta vectores de ataque, lo que podría facilitar el acceso a los recursos de las tarjetas de crédito. UpGuard también asigna automáticamente una calificación de criticidad para los riesgos detectados, lo que ayuda a los equipos de seguridad a comprender dónde priorizar sus esfuerzos para lograr los planes de corrección más eficientes.

Al detectar riesgos pasados por alto comúnmente vinculados a activos digitales no mantenidos, la plataforma UpGuard amplía sus funciones de detección de vulnerabilidades a un marco completo de gestión de la superficie de ataque, una práctica esencial de mitigación de violaciones de datos que toda empresa debe implementar.

Mire este video para obtener más información sobre las funciones de administración de la superficie de ataque de UpGuard.