PCI DSS.

Qué regula realmente PCI DSS

PCI DSS es la base de seguridad que imponen las principales marcas de tarjetas de pago a toda organización que almacene, procese o transmita datos de titulares de tarjetas. No es una ley ni una regulación gubernamental. Es un requisito contractual, exigido a través de los bancos adquirentes y de las redes de tarjetas que se sitúan por encima de ellos. Si manejas un número de cuenta principal, la norma se te aplica, ya seas un minorista global o una pequeña tienda de comercio electrónico que opera una única página de pago.

La norma se organiza en torno a un conjunto de objetivos de control que abarcan a las personas, los procesos y la tecnología que entran en contacto con los datos de titulares de tarjetas: construir y mantener una red segura, proteger los datos de cuenta almacenados, cifrar la transmisión, gestionar las vulnerabilidades, restringir el acceso según el principio de necesidad de conocer, supervisar y registrar, y mantener una política escrita de seguridad de la información. Cada objetivo se descompone en requisitos concretos y verificables, razón por la cual PCI DSS se lee más como una lista de comprobación de auditoría que como un marco basado en principios como ISO 27001.

El alcance lo es todo

La decisión más importante para el profesional no es cómo superar la evaluación, sino cómo reducir lo que se evalúa. Todo lo que almacena, procesa o transmite datos de titulares de tarjetas, junto con cualquier elemento conectado a ello, queda dentro del entorno de datos de titulares de tarjetas (CDE). Cuanto mayor es el CDE, más sistemas deben cumplir cada requisito y más penosa y costosa resulta la evaluación.

Aquí es donde la tokenización, la segmentación de la red y la externalización a proveedores de pago conformes justifican su valor. Al sustituir los números de tarjeta por tokens, aislar el CDE detrás de cortafuegos y trasladar la captura real de la tarjeta a una página alojada o a un procesador externo, retiras sistemas por completo del alcance. Un entorno bien segmentado puede reducir un parque desbordado a un puñado de componentes que requieren validación completa.

Cómo funciona la validación en la práctica

La forma en que demuestras el cumplimiento depende del volumen de transacciones y de cómo aceptas los pagos. Los comercios más pequeños suelen completar un Cuestionario de Autoevaluación (SAQ), eligiendo la versión que corresponde a su canal de aceptación. Los comercios y proveedores de servicios de mayor tamaño se someten a una evaluación formal a cargo de un Qualified Security Assessor (QSA), que elabora un Report on Compliance. El escaneo de red por parte de un Approved Scanning Vendor y la presentación de pruebas trimestrales son obligaciones habituales en todos los niveles.

La revisión actual, la versión 4.0.1, va más allá de una mera lista de comprobación. Junto al «enfoque definido» prescriptivo, introduce un «enfoque personalizado» que permite a las organizaciones maduras cumplir un objetivo de control mediante sus propios controles diseñados, siempre que puedan documentar y evidenciar que el objetivo se cumple. También reformula el cumplimiento como un estado continuo en lugar de una instantánea anual, con varios requisitos que exigen explícitamente una supervisión integrada en las operaciones cotidianas.

Cómo se sitúa junto a otras normas

Los equipos confunden a menudo PCI DSS con ISO 27001. Se solapan, pero responden a preguntas distintas. ISO 27001 certifica que operas un sistema de gestión de seguridad de la información; PCI DSS valida que un conjunto de controles específico y prescrito protege los datos de titulares de tarjetas. Uno es una certificación de sistema de gestión cuyo alcance defines tú mismo; el otro es un conjunto de controles fijo impuesto por un organismo sectorial externo. Operar un SGSI ISO 27001 te aporta una estructura de gobernanza que facilita la producción de las pruebas PCI, pero no sustituye a los requisitos específicos de los datos de tarjetas.