Los 12 requisitos
- 1. Instalar y mantener controles de seguridad de red.
- 2. Aplicar configuraciones seguras a todos los componentes del sistema.
- 3. Proteger los datos de cuenta almacenados.
- 4. Proteger los datos de titulares con criptografía robusta durante su transmisión por redes abiertas y públicas.
- 5. Proteger todos los sistemas y redes frente al software malicioso.
- 6. Desarrollar y mantener sistemas y software seguros.
- 7. Restringir el acceso según la necesidad de conocer.
- 8. Identificar a los usuarios y autenticar el acceso.
- 9. Restringir el acceso físico a los datos de titulares.
- 10. Registrar y supervisar todos los accesos.
- 11. Probar con regularidad la seguridad de sistemas y redes.
- 12. Respaldar la seguridad de la información con políticas y programas.
Cómo se valida el cumplimiento
Depende de su volumen de transacciones y de las reglas de las marcas de tarjetas o de su adquirente: un Report on Compliance elaborado por un evaluador cualificado, o un Self-Assessment Questionnaire para los comercios más pequeños. Pregunte a su adquirente cuál se aplica.
Reducir primero el alcance
- No almacene datos de tarjeta salvo que los necesite.
- Use una página de pago alojada o un proveedor validado cuando pueda.
- Segmente la red en torno a lo que quede.
- Recuerde que externalizar los pagos no elimina todas las obligaciones.
Preguntas
- ¿Es PCI DSS una ley?
- No. Es una norma contractual fijada por el PCI Security Standards Council y exigida a través de las marcas de tarjetas y los adquirentes. Algunas jurisdicciones se remiten a ella en sus leyes.
- ¿Usar un proveedor de pagos le hace cumplir?
- Puede reducir mucho su alcance, pero aún debe validar el cumplimiento de lo que queda y gestionar a ese proveedor.