Requisitos PCI DSS 4.0: dónde debe centrarse

¿Qué es PCI DSS?

El Estándar de Seguridad de Datos de la Industria de Tarjetas de Pago, conocido como PCI DSS, es un conjunto de pautas que describe cómo garantizar la seguridad tanto de usted como de sus clientes al aceptar pagos. Dado que se trata de una obligación para toda la industria, todo proveedor que procese pagos en su nombre esperará que trate... PCI DSS En serio. El Consejo de Normas de Seguridad PCI (PCI SSC) es una organización independiente encargada de mantener el PCI DSS, cuyo objetivo es aumentar la seguridad de las transacciones con tarjetas de pago y reducir el fraude con tarjetas de crédito.

Los proveedores de servicios y los comerciantes son los dos tipos de organizaciones que deben presentar informes PCI. Los requisitos para Cumplimiento de PCI DSS Varían según la cantidad de pagos con tarjeta que un comercio procesa anualmente. Un mayor volumen de pagos exige regulaciones más estrictas, ya que implica un mayor riesgo de problemas de seguridad. Estos umbrales suelen ser establecidos por el banco adquirente del proveedor de servicios o del comercio. Las marcas de tarjetas determinan los volúmenes de transacciones, que varían ligeramente entre sí.

PCI DSS 4.0

El PCI SSC publicó recientemente la versión 4.0 del PCI DSS. Desde su primera publicación hace dieciocho años, esta última edición representa el cambio más sustancial. No debe subestimarse el trabajo necesario para cumplir con el PCI DSS 4.0, ya que implica modificaciones como la exigencia de análisis de vulnerabilidades autenticados, la autenticación multifactor para todo acceso a entornos de datos de tarjetas (CDE) y una validación de alcance más frecuente para sectores específicos. Aunque el 31 de marzo de 2024, fecha de implementación del PCI DSS, parezca lejano, los directivos, los profesionales de seguridad informática y los responsables de cumplimiento deben comenzar a prepararse hoy mismo.

Es fundamental evaluar el estado de cumplimiento, identificar cualquier obstáculo que lo dificulte e informar al personal —en especial a los directivos— sobre las revisiones de PCI-DSS 4.0. El principal cambio radica en que PCI DSS 4.0 ahora prioriza la seguridad, fomentando prácticas de datos flexibles que se integran en la estrategia de seguridad general de la organización. La norma actualizada aporta mayor flexibilidad al cumplimiento mediante su enfoque personalizado, reconociendo que las nuevas tecnologías no siempre se ajustan a una estructura de control estricta y prescriptiva.

Requisitos

Los cambios significativos en PCI DSS 4.0 incluyen:

• Medidas de autenticación más estrictas

  Los comerciantes necesitan adoptar requisitos de autenticación más estrictos A medida que el sector de pagos se traslada rápidamente a plataformas en la nube, la versión más reciente de PCI DSS está ahora más conectada con... Instituto Nacional de Estándares y Tecnología (NIST) Estrategia para utilizar la verificación de identidad digital y la gestión del ciclo de vida, mejorando la defensa del comercio contra riesgos emergentes. La Gestión de Identidad y Acceso (IAM) es el enfoque principal de la Versión 4.0 y se reconoce como esencial para prevenir riesgos emergentes para los datos del titular de la tarjeta.

• Validación del alcance y descubrimiento de datos

  Exigir que los proveedores de servicios identifiquen todos los sitios donde se almacenan datos de los titulares de tarjetas, reemitan su alcance cada seis meses y asignen organizaciones para llevar a cabo operaciones trimestrales de descubrimiento de datos.

• Enfoque personalizado adicional

  La actualización de versión ofrece un enfoque personalizado para la implementación y validación de PCI DSS, lo que constituye una de las modificaciones más importantes. Los resultados de seguridad asociados a cada requisito se definirán explícitamente mediante la nueva técnica de validación adaptada. Posteriormente, las organizaciones podrán implementar el control según las especificaciones o de forma personalizada.

• Un nuevo subrequisito confirma que todos los comerciantes deben documentar, rastrear e inventariar todos Certificados SSL y TLS en uso en dominios públicos con el fin de fortalecer su validez.
• Las organizaciones ya no pueden revisar manualmente sus registros. El proceso se considera demasiado lento y propenso a errores. Por lo tanto, los comerciantes deben implementar herramientas de revisión automatizadas.
• Las organizaciones deben tener un firewall de aplicaciones web para cualquier aplicación web expuesta a Internet.

Dónde debes centrarte

Para migrar a PCI DSS 4.0, hay algunas cosas en las que debe centrarse

• Asegúrese de cumplir con PCI DSS 3.2.1. Si aún no lo ha hecho, identifique los obstáculos que le impiden hacerlo. Una causa común de incumplimiento es desconocer la ubicación de todos los datos del titular de su tarjeta. El descubrimiento frecuente de datos verifica la ubicación del almacenamiento de los datos de su tarjeta y su ruta de red.
• Haga todo lo posible por cumplir con la estrategia especificada al migrar a PCI DSS 4.0. El enfoque personalizado no elimina la necesidad de cumplir con los controles; más bien, ofrece flexibilidad para su cumplimiento.
• Leer un solo artículo no le proporcionará todos los conocimientos necesarios sobre el nuevo estándar, ya que es complejo. Solicite ayuda a un experto para familiarizarse con PCI DSS 4.0 y realice capacitaciones frecuentes para el personal.
• El número de directores de datos (CDO) en la plantilla ha aumentado significativamente, sobre todo en las grandes empresas. Esto no es sorprendente, dado que los CDO suelen tener un amplio conocimiento de numerosos requisitos de cumplimiento. Asignar un CDO o delegar autoridad a especialistas internos en datos.
• Las grandes empresas suelen utilizar diversas soluciones de seguridad, muchas de las cuales no se utilizan, están mal configuradas y son inútiles. Saber cómo aprovechar al máximo las características de los productos ya disponibles le ayudará a evitar inversiones innecesarias para implementar PCI DSS 4.0.

Conclusión

Los estrictos requisitos para el uso de los protocolos TLS/SSL para proteger los datos de tarjetas de crédito se describen en PCI DSS 4.0. Respetar estas directrices es esencial tanto para garantizar el cumplimiento normativo como para proteger los datos privados de los clientes.

Las organizaciones pueden asegurarse de que sus entornos TLS/SSL cumplan con los altos requisitos establecidos por PCI DSS 4.0 concentrándose en evitar protocolos inseguros, implementar controles criptográficos sólidos y mantener una sólida estrategia de seguridad. La protección de datos de tarjetas de pago es fundamental en el entorno de ciberseguridad actual. Un primer paso vital para cumplir con PCI DSS 4.0 y proteger los datos confidenciales de los clientes es comprender y aplicar estos principios. Seguridad TLS/SSL poner en práctica las áreas prioritarias.

Para proteger estas identidades de máquinas en toda su infraestructura, Administrador de CertSecure Puede ayudarle a localizar todos sus certificados TLS que admiten claves privadas. Automatizar la renovación de certificados caducados le ayuda a prevenir interrupciones y a reaccionar con rapidez ante problemas, vulnerabilidades y vulnerabilidades de la CA. Visite nuestro sitio web. consultoríaencriptación.com Para obtener más información, también puede contactarnos para solicitar una demostración o una prueba de concepto.