Qué cambió con la versión 4.0.1
El Payment Card Industry Data Security Standard lo mantiene el PCI Security Standards Council. La versión 4.0.1, publicada en 2024, sustituyó a la 4.0 a finales de ese año, y los requisitos que tenían fecha futura pasaron a ser obligatorios el 31 de marzo de 2025. Entre ellos están una autenticación multifactor más estricta, los análisis de riesgos específicos y la protección frente a scripts que copian datos de las páginas de pago. La norma sigue teniendo doce requisitos, desde la seguridad de red y la configuración segura, pasando por el cifrado, la gestión de vulnerabilidades, el control de acceso, el registro y las pruebas, hasta las políticas de seguridad.
Primero, el alcance
Un comercio o una empresa de pagos debe mantener una lista de sus proveedores de servicios externos, saber de qué requisitos de PCI DSS es responsable cada uno y supervisar su cumplimiento cada año. Por eso la primera pregunta es si usted almacena, procesa o transmite datos de titulares de tarjetas, o si podría afectar a la seguridad del entorno donde se encuentran. Las respuestas se derivan de ahí:
- Maneja datos de tarjetas. Prepárese para aportar un AOC de un evaluador cualificado o una autoevaluación, una matriz de responsabilidades que muestre qué requisitos cubre usted y cuáles quedan a cargo del cliente, y respuestas a preguntas detalladas por requisito.
- Puede afectar al entorno de tarjetas (por ejemplo, aloja la página de pago del cliente o tiene acceso de red a ella). Está dentro del alcance de los requisitos relacionados con esa conexión, y el cliente le preguntará por ellos.
- Está fuera de él. Dígalo con su razonamiento y responda a las preguntas generales de seguridad como en cualquier otro cuestionario.
Cómo son las preguntas
Más allá del alcance: si tiene un AOC vigente y de quién, la matriz de responsabilidades, cómo segmenta los sistemas que manejan datos de tarjetas, la autenticación multifactor para todo acceso al entorno de tarjetas, los análisis de vulnerabilidades realizados por un proveedor de escaneo aprobado (ASV), las pruebas de penetración, la conservación de registros y cómo informaría al cliente de un incidente que afecte a datos de tarjetas.
Responder como proveedor
Redacte la declaración de alcance una vez, con un flujo de datos sencillo, y acuérdela con quien firma sus contratos. Si está dentro del alcance, la matriz de responsabilidades es el documento que más quieren los revisores; publíquela con el AOC cada año. Si no lo está, un párrafo claro que explique por qué le ahorra una docena de preguntas de seguimiento.
En Responsemate
La declaración de alcance, el AOC y la matriz de responsabilidades están en la base de conocimiento como evidencia con sus fechas de caducidad, y cada fila de PCI se redacta a partir de ellos con las palabras del cliente. Qué evidencia adjuntar.
Preguntas que hacen las personas
¿Debemos cumplir PCI DSS si nunca tocamos datos de tarjetas?
Normalmente no, pero tiene que demostrarlo. Describa cómo circulan los datos de tarjetas en torno a su servicio, confirme por escrito que no los almacena, procesa ni transmite, e indique si su servicio podría aun así afectar a la seguridad del entorno de tarjetas del cliente.
¿Qué es un AOC?
El Attestation of Compliance (atestación de cumplimiento), el documento breve que recoge el resultado de la evaluación PCI DSS de una empresa. Se espera que un proveedor de servicios dentro del alcance entregue cada año a sus clientes un AOC vigente.