Plantilla gratuita de cuestionario para proveedores de PCI DSS (edición 2023)

El cumplimiento de PCI DSS es obligatorio para todas las entidades que procesan datos de titulares de tarjetas, incluidos sus proveedores externos. Los informes de seguridad proporcionan una ventana al programa de seguridad de la información de un proveedor, descubriendo su estrategia de controles de seguridad y su alineación con regulaciones como PCI DSS. En muchos casos, las empresas pueden optar por obtener la certificación PCI para demostrar que cumplen con los requisitos de PCI DSS.

La siguiente plantilla le brindará una comprensión de alto nivel del grado de cumplimiento de PCI DSS de cada proveedor y descubrirá posibles brechas de cumplimiento que requieran una investigación más profunda.

Para obtener el máximo valor de esta publicación, asegúrese de descargar la plantilla editable que la acompaña.

26 preguntas de proveedores para evaluar el cumplimiento de PCI DSS en 2023

Estas preguntas le ayudarán a evaluar cómo el perfil de riesgo de cada proveedor afecta a su alineación con los estándares de PCI DSS. Para saber cómo se relacionan estas preguntas con los requisitos de la última versión de PCI DSS (versión 4), consulte esta guía sobre el cumplimiento de PCI DSS 4.0.

Pregunta de calificación: Especifique la categoría del servicio de pago que ofrece.

Proveedor para elegir una opción de la lista a continuación.

• Proveedor de aplicaciones de pago: ofrece y proporciona asistencia para las aplicaciones que administran, manejan o transfieren datos relacionados con los titulares de tarjetas.
• Proveedores de terminales de pago/Proveedores de soluciones de pago: ofrecen y brindan asistencia para dispositivos o soluciones, como terminales de pago o soluciones de cifrado, que se utilizan para aceptar pagos con tarjeta.
• Procesadores de pagos/Proveedores de servicios de pago de comercio electrónico/Pasarelas de pago/Centros de contacto: manejen, administren o transfieran datos del titular de la tarjeta en su nombre.
• Proveedores de alojamiento de comercio electrónico: proporcionan servicios de alojamiento y administración para su servidor/sitio web de comercio electrónico y desarrollan y respaldan su sitio web.
• Proveedores de software como servicio/Proveedor de alojamiento basado en la nube: ofrecen servicios para desarrollar, alojar y/o administrar su aplicación web o aplicación de pago (por ejemplo, emisión de boletos en línea o aplicación de reserva) en la nube.
• Integradores/Revendedores: instale y configure los sistemas de pago de los comerciantes.

Aprenda a elegir el software de automatización de cuestionarios de seguridad >

Nota: El estándar de seguridad de datos PCI solo se aplica a los cuatro puntos de categoría inferiores de esta lista. Los proveedores de aplicaciones de pago deben cumplir con el Estándar de Seguridad de Datos de Aplicaciones de Pago (PA-DSS). Los estándares de seguridad de transacciones con PIN (PTS) y cifrado PCI punto a punto se aplican a los proveedores de terminales de pago/proveedores de soluciones de pago.

Pregunta 1: ¿La solución/producto que ofrece recopila y transmite de forma segura la información de la tarjeta de pago?

• Sí
• No
• Proveedor para respaldar su respuesta con más detalles.

Descargar PDF >

Nota interna:

En el caso de los proveedores de tarjetas no presentes, incluidos los proveedores de comercio electrónico y pedidos telefónicos, puede comprobar si las siguientes marcas de tarjetas de crédito los incluyen en su lista de proveedores de servicios que cumplen con los requisitos.

• Mastercard.
• Visa Global.
• Visado Europa.

Pregunta 2: ¿Almacenan la información de la tarjeta de pago dentro de mis sistemas, como en mi tienda física/tienda física, aplicación web o sitio web de comercio electrónico?

• Sí
• No
• Proveedor para respaldar su respuesta con más detalles.

Pregunta 3: Si respondió "sí" a la pregunta 2, explique cómo su producto/servicio protege estos datos.

• Proveedor para proporcionar una respuesta detallada.

Pregunta 4: ¿Su producto/servicio utiliza un cifrado robusto para garantizar la seguridad de los datos de las tarjetas de pago durante la transmisión?

• Sí
• No
• Proveedor para respaldar su respuesta con más detalles.

Nota interna:

• Para terminales de pago y terminales de pago integrados: puede verificar si el proveedor es conocido por usar una solución de cifrado punto a punto haciendo referencia a este directorio.

Aprenda a prepararse para una auditoría de PCI DSS >

Pregunta 5: ¿Utiliza una versión segura de Transport Layer Security (TLS) para garantizar la seguridad de los datos de tarjetas de pago transmitidos?

• Sí
• No
• Proveedor para respaldar su respuesta con más detalles.

Nota interna:

Esta pregunta solo se aplica a los sitios web de comercio electrónico alojados, aplicaciones web o aplicaciones de pago.

Pregunta 6: ¿Su solución necesita integrarse con alguno de mis otros sistemas o centros de datos?

• Sí
• No
• Proveedor para respaldar su respuesta con más detalles.

Nota interna:

Estos son algunos ejemplos de sistemas/sectores de información relevantes con los que la solución de terceros podría requerir integración:

• Terminales de pago.
• Cuentas por cobrar.
• Cualquier sistema/cuenta con acceso a los datos del titular de la tarjeta.

Idealmente, la solución del proveedor es independiente o requiere pocas conexiones con otros sistemas internos. Estas soluciones segmentadas son más fáciles de asegurar y proteger contra el compromiso si se viola una red.

Si el proveedor requiere integraciones con sus otros sistemas, deberá evaluar si proporcionan un valor mayor que el impacto de sus riesgos de seguridad en su postura de seguridad. La mejor manera de lograrlo es comparando su exposición al riesgo con su apetito por el riesgo.

Aprende a calcular tu apetito por el riesgo >

Pregunta 7: ¿Necesita instalar una aplicación o sistema de pago en mi entorno informático?

• Sí
• No (pase a la pregunta 11)
• Proveedor para respaldar su respuesta con más detalles.

Pregunta 8: Si se requiere una instalación, ¿realizará la instalación?

• Sí

• No
• Proveedor para respaldar su respuesta con más detalles.

Pregunta 9: Si respondió "sí" a la pregunta 7, ¿es usted un integrador o revendedor calificado por PCI?

• Sí
• No
• Proveedor para respaldar su respuesta con más detalles.

Averigüe si necesita contratar a un profesional para cumplir con PCI DSS >

Pregunta 10: Si respondió "no" a la pregunta 7, ¿se espera que mi equipo de seguridad lo instale?

• Sí
• No
• Proveedor para respaldar su respuesta con más detalles.

Nota interna:

El proceso de instalación de cualquier aplicación de procesador de pagos de terceros en sus sistemas no debe recaer simplemente sobre sus hombros. Si las aplicaciones del proveedor no están instaladas correctamente, podría exponerlo a un mayor riesgo de una violación de PCI DSS o una violación de datos debido a una configuración incorrecta.

Lo ideal es que el proveedor instale la aplicación por sí mismo de forma conforme a la normativa ejerciendo su experiencia como integrador cualificado PCI (QIR). A falta de esto, el proveedor debe proporcionar a sus equipos de seguridad una guía de implementación que cumpla con los siguientes requisitos como mínimo. Estos puntos se examinan en las preguntas 10 a 15 infra.

• Detalles sobre cómo reemplazar las contraseñas predeterminadas de los sistemas por otras complejas.
• Detalles sobre la administración de parches de seguridad y actualizaciones.
• Una delimitación de cualquier software de acceso remoto que se utilizará para acceder a su negocio.
• Información sobre su rol durante dichas conexiones remotas.

Pregunta 11: ¿Ofrecerá asistencia durante el proceso de instalación o configuración del producto/solución para cambiar todas las contraseñas predeterminadas?

• Sí
• No
• Proveedor para respaldar su respuesta con más detalles.

Pregunta 12: ¿Qué asistencia y orientación ofrecerá a mi empresa durante todo el proceso de aplicación de parches/actualización?

• Proveedor para proporcionar una respuesta detallada.

Pregunta 13: ¿Los parches y las actualizaciones se proporcionan e instalan automáticamente?

• Sí
• No
• Proveedor para respaldar su respuesta con más detalles.

Pregunta 14: ¿Estoy obligado a adquirir e instalar esos parches/actualizaciones yo mismo?

• Sí
• No
• Proveedor para respaldar su respuesta con más detalles.

Pregunta 15: ¿Cómo me notificará cuando los parches/actualizaciones estén disponibles o se hayan implementado automáticamente?

• Sí
• No
• El proveedor proporcionará más detalles.

Nota interna:

Sin un sistema para verificar e implementar parches de seguridad con regularidad, la solución de terceros será vulnerable a las violaciones de datos, lo que aumenta el riesgo de sufrir una costosa violación de incumplimiento de PCI DSS. Lo ideal es que el proveedor externo notifique a sus equipos de seguridad cuando haya un nuevo parche de seguridad disponible y ofrezca orientación para el proceso de instalación.

Para asegurarse de que el proveedor es completamente consciente de sus expectativas de diligencia debida, incluya detalles de sus expectativas de notificación en su contrato.

Pregunta 16: ¿Asume la responsabilidad de parchear/actualizar su solución?

• Sí
• No
• Proveedor para respaldar su respuesta con más detalles.

Nota interna:

Esta pregunta es más relevante para los sitios web de comercio electrónico alojados, las aplicaciones web o las aplicaciones de pago.

Pregunta 17: ¿Necesitará, en algún momento, acceso remoto a la empresa para ofrecer soporte para su producto/servicio?

• Sí
• No
• Proveedor para respaldar su respuesta con más detalles.

Nota interna:

Cualquier forma de conexión remota de terceros es un vector de ataque potencial que, si se explota, podría resultar en una violación de datos. Como tales, estos eventos deben considerarse como riesgos críticos de ciberseguridad que se priorizan en los esfuerzos de monitoreo.

Idealmente, se deben denegar todas las conexiones remotas de terceros; El riesgo de interceptación maliciosa es demasiado significativo. Sin embargo, cuando se requiere acceso remoto para el soporte del producto, estas sesiones pueden tener lugar de una manera que cumpla con PCI y sea menos susceptible a la explotación si se cumplen los siguientes requisitos de PCI DSS:

• Las sesiones remotas se limitan al período más corto requerido para completar una tarea de soporte.
• El acceso remoto está completamente deshabilitado cuando no está en uso.
• La autenticación multifactor se utiliza para verificar las identidades de todos los usuarios de la empresa externa que intenta una conexión remota.
• Actualice periódicamente los nombres de usuario y las contraseñas para las sesiones de conexión remota.

Pregunta 18: ¿Su producto se ejecutará desde sus sistemas que son propiedad de su empresa y que son mantenidos por ella?

• Sí
• No
• Proveedor para respaldar su respuesta con más detalles.

Nota interna:

Esta pregunta es aplicable si el proveedor externo es un proveedor de servicios.

Pregunta 19: Si respondió "sí" a la pregunta 15, ¿su entorno cumple con PCI DSS?

• Sí
• No
• Proveedor para respaldar su respuesta con más detalles.

Nota interna

Esta pregunta es aplicable si el proveedor externo es un proveedor de servicios.

Pregunta 20: Si respondió "sí" a la pregunta 15, ¿sus evaluaciones PCI DSS cubren todos los servicios que me ofrecen?

• Sí
• No
• Proveedor para respaldar su respuesta con más detalles.

Nota interna

Esta pregunta es aplicable si el proveedor externo es un proveedor de servicios. Si desea tener confianza en la calidad de la evaluación PCI DSS que utiliza este proveedor, considere la posibilidad de utilizar una solución de gestión de riesgos del proveedor con un módulo de evaluación de terceros incorporado, como UpGuard.

Obtenga más información sobre la solución de cuestionario de seguridad de UpGuard >

Pregunta 21: ¿Qué soluciones de monitoreo existen para detectar actividades sospechosas que preceden a una violación de datos?

• Proveedor para proporcionar una respuesta detallada.

Pregunta 22: ¿Cuál es el plazo previsto para notificarme si su producto/solución se ve comprometido en una violación de datos?

• Proveedor para proporcionar una respuesta detallada.

Pregunta 23: ¿Debería mi empresa recibir una multa por violación de PCI DSS debido a su producto/servicio, ofrecería soporte/protección?

• Sí
• No
• Proveedor para respaldar su respuesta con más detalles.

Pregunta 24: ¿Tiene una póliza de seguro cibernético que cubra las infracciones relacionadas con su producto/servicio?

• Sí
• No
• Proveedor para respaldar su respuesta con más detalles.

Nota interna

Una póliza de seguro contra la violación de datos demuestra que el proveedor externo se toma muy en serio su postura de ciberseguridad. Si el proveedor tiene un seguro de violación de datos, pídale que proporcione detalles sobre el alcance de la cobertura.

Más información sobre el seguro cibernético >

Pregunta 25: Si sufro una violación debido a que su producto/servicio actúa como vector de ataque, ¿me ayudarán a notificar a todos mis clientes afectados?

• Sí
• No
• Proveedor para respaldar su respuesta con más detalles.

Nota interna

Si el proveedor no planea ofrecer asistencia para las notificaciones, su equipo de seguridad debe trabajar con ellos para diseñar un protocolo de notificación al cliente en caso de que los datos del titular de la tarjeta se vean comprometidos. Este protocolo debe agregarse a su Plan de Respuesta a Incidentes.

Aprenda a crear un plan de respuesta a incidentes >

Pregunta 26: Si respondió "sí" a la pregunta 21, ¿ofrecerá monitoreo de crédito para todos los clientes afectados?

• Sí
• No
• Proveedor para respaldar su respuesta con más detalles.

La plataforma UpGuard incluye un cuestionario de cumplimiento de PCI DSS que identifica las brechas de cumplimiento en función de las respuestas de los proveedores.

Con esta solución de evaluación de riesgos de proveedores dentro de un programa de gestión de riesgos de proveedores, los equipos de seguridad pueden pasar todos los riesgos identificados a través de un ciclo de vida completo de VRM, manteniendo las posturas de seguridad de terceros resistentes contra los intentos de violación de datos y las violaciones de PCI DSS.