Afirmar que un proveedor de servicios externo «cumple con la normativa PCI» no es una conclusión, sino el punto de partida para una verificación más exhaustiva.
Para muchas organizaciones, la garantía de un tercero sigue consistiendo en obtener un Certificado de Cumplimiento (AOC), guardarlo en un repositorio y dar por hecho que no es necesaria ninguna revisión adicional. Sin embargo, la norma PCI DSS exige algo más que la prueba de que un proveedor haya realizado una evaluación en algún momento.
Es necesario determinar si el proveedor entra dentro del ámbito de aplicación, qué servicios se han evaluado, qué responsabilidades ha asumido, si su validación sigue vigente y si las pruebas respaldan realmente los servicios que utiliza su organización.
El Consejo de Normas de Seguridad PCI ha aclarado cómo deben definirse, validarse y documentarse los proveedores de servicios externos durante una evaluación de la norma PCI DSS. La guía destaca un punto importante: no es necesario que los proveedores almacenen, procesen o transmitan datos de cuentas para entrar en el ámbito de aplicación. También pueden entrar en el ámbito de aplicación porque sus servicios ayudan a cumplir los requisitos de la norma PCI DSS o podrían afectar a la seguridad del entorno de datos de los titulares de tarjetas.
Esto tiene importantes implicaciones para los comerciantes, los proveedores de servicios y los evaluadores.
A efectos de la evaluación de la norma PCI DSS de un cliente, se considera que existe una relación con un proveedor de servicios externo cuando este presta servicios que:
El tercer punto es aquel en el que las organizaciones suelen subestimar su ámbito de aplicación.
Un proveedor no necesita ver un número de cuenta principal (PAN) para afectar a su seguridad. Es posible que un proveedor de servicios de seguridad gestionados, un proveedor de servicios en la nube, un proveedor de identidad, una empresa de alojamiento web, un proveedor de gestión de aplicaciones o un proveedor de asistencia remota no maneje datos de pago directamente, pero su acceso o sus servicios podrían afectar igualmente a la seguridad de los sistemas incluidos en el ámbito de aplicación.
Esto significa que la pregunta correcta no es simplemente:
¿Gestiona este proveedor datos de tarjetas?
Sino que es:
¿Podrían los sistemas, el personal, los accesos o los servicios de este proveedor afectar a la seguridad de los datos de las cuentas o ayudarnos a cumplir un requisito de la norma PCI DSS?
Cuando la respuesta es afirmativa, los servicios pertinentes, las vías de acceso, las dependencias del sistema y las responsabilidades gestionadas por el proveedor deben tenerse en cuenta en el alcance y la evaluación de la norma PCI DSS del cliente.
El cumplimiento de la norma PCI DSS se aplica a un ámbito, un servicio y un período definidos.
Un proveedor puede gestionar varios productos, plataformas o líneas de servicio. Su Certificado de Cumplimiento puede abarcar uno de ellos, pero no el servicio que utiliza su organización. El ámbito evaluado puede limitarse a determinadas entidades jurídicas, servicios, entornos, ubicaciones, regiones o modelos de prestación, tal y como se documenta en el Certificado de Cumplimiento y en los materiales de evaluación complementarios.
La afirmación «nuestro proveedor cumple con la normativa PCI» por sí sola no aporta mucha información.
Aún así, debe determinar:
Sin ese análisis, un AOC puede generar una falsa sensación de seguridad.
Una organización puede disponer de un documento válido y, al mismo tiempo, depender de un servicio que se encuentra fuera del alcance evaluado del proveedor.
Un proveedor de servicios externo suele disponer de dos vías para validar sus responsabilidades en materia de PCI DSS.
El proveedor puede realizar una evaluación anual de la norma PCI DSS y facilitar a los clientes la documentación acreditativa correspondiente, normalmente un AOC.
En función de sus requisitos de validación, el proveedor puede llevar a cabo:
Esta suele ser la vía más sencilla para los clientes, ya que el proveedor ya ha identificado su ámbito de aplicación, ha evaluado los controles aplicables y ha documentado el resultado.
No obstante, el cliente debe revisar el AOC con detenimiento. La recepción del documento no exime de la necesidad de confirmar que este cubre el servicio en cuestión.
En caso de que el proveedor no haya completado su propia evaluación anual, podrá participar en la evaluación PCI DSS de un cliente.
El proveedor debe poner a disposición del evaluador del cliente pruebas, personal, sistemas y procesos suficientes para que este pueda llevar a cabo los procedimientos de prueba aplicables de la norma PCI DSS y llegar a una conclusión fundamentada. Las responsabilidades del proveedor se evalúan entonces como parte del Informe de Cumplimiento de dicho cliente. No se trata de una simple declaración del proveedor, sino que requiere pruebas detalladas y la realización de pruebas por parte del evaluador. Tampoco es una opción disponible para todos los comerciantes.
Un comerciante no puede utilizar su propio SAQ para validar el cumplimiento interno de la norma PCI DSS de un proveedor de servicios no validado. El SAQ del comerciante abarca el entorno elegible de dicho comerciante y los requisitos aplicables a él.
No se debe exigir al comerciante que:
Se espera que un proveedor que preste servicios a un comerciante que utilice el SAQ valide su propio cumplimiento mediante un SAQ D para proveedores de servicios o un ROC.
Por lo tanto, cuando un proveedor que no cuente con su propia validación le indique a un comerciante SAQ que simplemente puede estar «cubierto por la evaluación del cliente», el comerciante debería cuestionar esa postura.
La vía de incorporar los controles del proveedor en la evaluación del cliente se aplica a las organizaciones que completan un ROC y optan por evaluar directamente dichas responsabilidades del proveedor. No se trata de una alternativa universal a la validación del proveedor de servicios.
Un certificado de cumplimiento es una prueba importante, pero solo si se revisa adecuadamente.
No basta con comprobar el nombre del proveedor y la fecha de finalización de la evaluación. Su diligencia debida debe confirmar que el AOC se aplica al servicio, al entorno y a la relación en cuestión.
Compruebe que la entidad jurídica que figura en el AOC sea la que presta su servicio.
Los grandes grupos pueden operar a través de varias filiales. La evaluación de una sociedad matriz no abarca automáticamente todas las filiales ni todas las operaciones regionales.
Revise la descripción de los servicios evaluados.
El proveedor puede ofrecer múltiples entornos en la nube, servicios de alojamiento, productos de pago o servicios gestionados. El AOC debe cubrir el servicio específico que usted utiliza, y no simplemente otro servicio prestado por la misma empresa.
La validación de la norma PCI DSS no es permanente.
Un AOC no debe permanecer en el expediente de forma indefinida sin confirmar si el estado de cumplimiento de la norma PCI DSS del proveedor sigue siendo vigente y si se dispone de documentación de validación actualizada.
Confirme qué versión de la norma PCI DSS se utilizó durante la evaluación del proveedor.
Esto ayuda a determinar si la validación del proveedor se basa en la versión aplicable de la norma PCI DSS y si es adecuada para el periodo de evaluación y presentación de informes del cliente.
El acuerdo y la documentación de apoyo deben dejar claro qué requisitos de la norma PCI DSS son:
Un AOC no transfiere toda la responsabilidad al proveedor. Los clientes siguen siendo responsables de comprender y gestionar su parte del entorno de control.
Todos los proveedores que cumplan los criterios de alcance de la norma PCI DSS deben figurar en la sección 4.4 del Informe de Cumplimiento.
Esto incluye a los proveedores que:
Cuando proceda, los servicios, conexiones, accesos y dependencias del proveedor también deben reflejarse en las secciones del ROC relativas al alcance, los componentes del sistema, las conexiones de red, la segmentación, los flujos de datos y las ubicaciones evaluadas.
Lo importante es la coherencia.
Los proveedores que figuran en el ROC deben ajustarse a:
Un proveedor no debería aparecer en un documento y desaparecer de los demás.
Cuando un proveedor externo es responsable de un requisito de la norma PCI DSS, dicho requisito puede indicarse como «en vigor».
Sin embargo, esa conclusión requiere pruebas que la respalden.
La documentación de la evaluación debe identificar:
«En vigor» no es sinónimo de «el proveedor nos ha dicho que cumple con la normativa».
Se trata de una conclusión de evaluación documentada, respaldada por contratos, pruebas de validación y ensayos.
Si faltan esos elementos, es posible que el resultado no sea defendible.
El requisito 12.8 de la norma PCI DSS aborda la forma en que las organizaciones gestionan a los proveedores de servicios externos que tienen acceso a los datos de las cuentas o que podrían afectar a su seguridad.
Exige a las organizaciones que mantengan una supervisión de la relación, en lugar de considerar la garantía del proveedor como un mero trámite anual de recopilación de documentación.
El requisito 12.8.1 exige una lista de los proveedores de servicios externos pertinentes, incluida una descripción de los servicios que presta cada uno de ellos.
Dicho inventario debe reflejar la situación actual de los datos de los titulares de tarjetas. Debe actualizarse cuando se introduzcan, modifiquen o retiren servicios.
El requisito 12.8.2 exige la celebración de acuerdos por escrito con los proveedores correspondientes.
Estos acuerdos deben reconocer la responsabilidad del proveedor en la protección de los datos de las cuentas o en el cumplimiento de los requisitos de la norma PCI DSS que gestiona en nombre del cliente.
Una redacción contractual imprecisa puede generar incertidumbre sobre quién es responsable de determinados controles.
El requisito 12.8.3 exige a las organizaciones que mantengan un proceso para la contratación de proveedores de servicios, que incluya la debida diligencia adecuada antes de que comience la relación.
Por lo tanto, las consideraciones relativas a la norma PCI DSS deben formar parte de los procesos de contratación y incorporación, y no abordarse únicamente cuando comience la evaluación anual.
Antes de firmar un contrato, las organizaciones deben conocer:
El nivel de diligencia debida debe ser proporcional al servicio, al acceso, a los datos tratados, a las dependencias técnicas y al impacto potencial en el CDE.
La mayoría de las deficiencias detectadas en terceros no se deben a que las organizaciones carezcan por completo de documentación.
Se deben a que la documentación parece adecuada hasta que alguien la examina con detenimiento.
En el repositorio de cumplimiento sigue figurando un AOC antiguo, pero nadie ha comprobado si el proveedor ha completado su última evaluación.
El documento es válido, pero se refiere a otro producto, modelo de alojamiento, ubicación, región o entidad jurídica.
La lista de terceros de la organización ya no se corresponde con sus sistemas, integraciones, flujos de pago o servicios en la nube actuales.
El cliente da por hecho que el proveedor se encarga de un control, mientras que la documentación del proveedor indica que la responsabilidad recae en el cliente.
Los requisitos se marcan como «En vigor» basándose únicamente en el estado comunicado por el proveedor, sin identificar el servicio correspondiente, la asignación de responsabilidades, las pruebas de validación ni los ensayos que respalden la conclusión.
El proveedor no cuenta con una validación independiente y espera que el comerciante incluya sus controles en un SAQ, a pesar de que el comerciante no es responsable de evaluar el entorno del proveedor.
Estas lagunas suelen pasar desapercibidas hasta que se inicia la evaluación formal. En esa fase, resolverlas puede implicar ponerse en contacto con los proveedores, revisar contratos, redefinir el alcance y recopilar pruebas bajo una presión de tiempo considerable.
Una gestión eficaz de los terceros requiere un proceso repetible que conecte a los equipos de compras, asuntos jurídicos, seguridad de la información, pagos y cumplimiento normativo.
Empiece por elaborar un inventario completo de los proveedores que gestionan datos de cuentas o que podrían afectar a su seguridad. Asigne a cada proveedor el servicio que presta, los sistemas a los que puede acceder y los requisitos pertinentes de la norma PCI DSS.
Para cada proveedor incluido en el ámbito de aplicación, obtenga pruebas de validación actualizadas y confirme que cubren el servicio que usted utiliza. Documente qué controles gestiona el proveedor y cuáles siguen siendo de su responsabilidad.
Esa revisión no debe realizarse una sola vez para luego olvidarse. Los servicios de los proveedores cambian. Los contratos cambian. Las plataformas migran. Un proveedor puede modificar su ámbito de evaluación o sustituir un servicio por otro.
Por lo tanto, un proceso maduro incluye:
El objetivo no es simplemente recopilar documentos, sino demostrar que los controles, las responsabilidades y la validación del proveedor respaldan su propio cumplimiento de la norma PCI DSS.
Los proveedores de servicios externos pueden complicar considerablemente la definición del alcance y la evaluación de la norma PCI DSS, especialmente cuando las responsabilidades se reparten entre varios proveedores, plataformas y equipos internos.
Los especialistas en cumplimiento normativo de pagos de Integrity360 pueden ayudar a las organizaciones a:
Integrity360 presta servicios de evaluación de la seguridad de los pagos desde 2009 y ayuda a las organizaciones a cumplir los requisitos de PCI DSS, 3DS, P2PE, Secure Software Framework, proveedores de servicios de tokens, seguridad de PIN y producción y provisión de tarjetas.
El estado de cumplimiento de la norma PCI DSS de un proveedor es importante, pero no puede aceptarse sin tener en cuenta el contexto.
Es necesario saber qué se evaluó, cuándo se evaluó, qué servicios se incluyeron y si las responsabilidades del proveedor están claramente respaldadas por contratos y pruebas.
Es útil disponer de un AOC en el expediente.
Un AOC actualizado, pertinente y aplicable al servicio correcto puede respaldar una evaluación del PCI DSS defendible cuando se considera junto con la asignación de responsabilidades, los compromisos contractuales, los controles por parte del cliente y las pruebas aplicables.
Póngase en contacto con Integrity360 para revisar el alcance de sus proveedores de servicios externos, validar sus pruebas y prepararse para su próxima evaluación de la norma PCI DSS.