El cumplimiento de la Norma de Seguridad de Datos de la Industria de Tarjetas de Pago (PCI DSS) es un requisito esencial para cualquier organización que procese, almacene o transmita datos de tarjetas de pago. Sin embargo, muchas empresas subestiman su complejidad y cometen errores que no solo retrasan el cumplimiento, sino que también aumentan el riesgo de brechas de seguridad.
En este artículo, repasamos cuatro de los errores más comunes que se cometen al implementar la norma PCI DSS y, lo que es más importante, cómo evitarlos.
Definir adecuadamente el alcance del entorno PCI DSS es probablemente el paso más crítico y, al mismo tiempo, el más subestimado de todo el proceso de cumplimiento. Uno de los errores más comunes es no definir correctamente el alcance del entorno PCI. Muchas organizaciones creen que solo se aplica a los sistemas que procesan pagos (o, peor aún, solo a los sistemas que almacenan datos de titulares de tarjetas), pero la realidad es mucho más amplia.
La sección 4 —«Alcance de los requisitos dela norma PCI DSS»— del documento «Estándar de Seguridad de Datos de la Industria de Tarjetas de Pago 4.0.1», con fecha de junio de 2024, establece que el alcance incluye no solo los sistemas que procesan, almacenan o transmiten datos de titulares de tarjetas, sino también cualquier sistema que:
Además, muchas organizaciones caen en la trampa opuesta: al no comprender plenamente el alcance, acaban incluyendo demasiados elementos, lo que aumenta innecesariamente los costes y la complejidad.
En primer lugar, debemos determinar qué elementos están incluidos en el alcance de la norma PCI DSS, y nos basaremos en la propia norma para identificarlos.
Los requisitos 12.5.2 y 12.5.2.1 detallan los elementos que entran dentro del alcance y que, por lo tanto, debemos tener en cuenta a la hora de definirlo.
Por último, tendremos que llevar a cabo un análisis exhaustivo del alcance de la norma PCI DSS, realizando cualquier tarea complementaria relacionada con este ejercicio que no hayamos realizado anteriormente (flujos de datos de tarjetas, identificación de componentes dentro del alcance, segmentación, etc.). Para ello, podemos recurrir a los siguientes recursos públicos proporcionados por el PCI SSC:
Sin un inventario claro de sistemas, aplicaciones y dispositivos, resulta prácticamente imposible cumplir los requisitos de la norma PCI DSS, ya que hay muchos requisitos cuyo cumplimiento depende de disponer de un inventario completo, sólido y actualizado (fortalecimiento, gestión de vulnerabilidades y aplicación de parches, segmentación, etc.). Por no mencionar que disponer de un inventario no revisado constituye, en sí mismo, un incumplimiento de la norma (Procedimiento de prueba 12.5.1.b).
Para llevar a cabo una evaluación exhaustiva de la norma PCI DSS, es necesario comprender qué entiende el PCI SSC por «componentes del sistema». Esta información se detalla en la propia norma, pero muchas empresas que se encuentran en proceso de implementación de la PCI DSS no le prestan atención.
La sección 4 —Ámbito de aplicación de los requisitos de la norma PCI DSS— del documento «Payment Card Industry Data Security Standard 4.0.1», con fecha de junio de 2024, detalla el ámbito de aplicación de la norma PCI DSS, incluyendo una lista exhaustiva de lo que se considera «componentes del sistema», que incluye (con diversos ejemplos), entre otros:
Esta información resulta muy útil a la hora de elaborar un inventario de activos, pero para garantizar su sostenibilidad a largo plazo, es necesario llevar a cabo actividades adicionales como:
La segmentación de la red es uno de los pilares fundamentales para reducir el alcance de la norma PCI DSS y proteger los datos de los titulares de tarjetas. Sin embargo, muchas organizaciones no la implementan correctamente o creen que una segmentación básica es suficiente.
En la práctica, una segmentación deficiente puede hacer que toda la red corporativa quede dentro del ámbito de aplicación de la norma PCI DSS, lo que aumenta exponencialmente los costes, la complejidad del cumplimiento normativo y la superficie de ataque.
Algunos de los errores más comunes son:
Para evitar estos problemas, es esencial adoptar un enfoque estructurado:
No hay que olvidar los componentes con conectividad «sin restricciones» (red plana) a los componentes que almacenan, procesan o transmiten datos de tarjetas, ya que también se consideran parte del CDE.
Uno de los errores más peligrosos (y más comunes) es tratar el cumplimiento de la norma PCI DSS como un proyecto con un principio y un final, en lugar de como un proceso continuo. Muchas organizaciones centran sus esfuerzos justo antes de una evaluación, consiguen «superar la prueba» y, a continuación, bajan la guardia hasta el siguiente ciclo.
Hay signos claros de este problema, que quizá le resulten familiares:
Este enfoque no solo pone en riesgo el cumplimiento normativo, sino que también deja a la organización expuesta a amenazas reales.
La norma PCI DSS no está concebida como una lista de comprobación puntual, sino como un conjunto de controles que deben mantenerse a lo largo del tiempo. Cuando el cumplimiento normativo se trata como una medida temporal:
En la práctica, esto significa que una empresa puede estar«en cumplimiento»(lo cual no es lo mismo que«segura») en el momento de la evaluación formal, pero puede no estar segura durante el resto del año.
Para evitar este error, es esencial integrar la norma PCI DSS en las operaciones diarias de la organización teniendo en cuenta (entre otros) los siguientes aspectos:
Existen muchas otras tareas que ayudan a garantizar que el cumplimiento de la norma PCI DSS y la seguridad del entorno se conviertan en un proceso continuo, pero no es el objetivo de este artículo detallarlas todas.
La sección 5 —«Prácticas recomendadas para implementar lanorma PCI DSS en los procesos de actividad habitual»— del documento «Norma de Seguridad de Datos de la Industria de Tarjetas de Pago 4.0.1», con fecha de junio de 2024, explica cómo una organización puede implementar los procesos de «actividad habitual» (BAU) como parte de su estrategia global de seguridad, tomando medidas para garantizar que los controles de seguridad establecidos para proteger los datos y el entorno sigan aplicándose correctamente y funcionen de manera eficaz como parte de las operaciones comerciales habituales.
Implementar correctamente la norma PCI DSS no consiste solo en cumplir con un estándar, sino en proteger su negocio, su reputación y la confianza de sus clientes.
Evitar estos errores habituales puede marcar la diferencia entre un cumplimiento eficiente y un proceso costoso y frustrante. La clave está en adoptar un enfoque proactivo y continuo que se ajuste al concepto de «seguridad desde el diseño».
¿Está su organización preparada para cumplir con la norma PCI DSS sin cometer estos errores? Ahora es el momento de evaluarlo y hablar con los expertos de Integrity360.