PCI DSS - DATA SECURITY STANDARD

PCI DSS - DATA SECURITY STANDARD

Consiste en una serie de estándares de seguridad que incluyen: Requerimientos para administrar la seguridad, las políticas, procedimientos, la arquitectura de redes, el diseño de software y otras medidas críticas de protección de la información.

Debido al incremento en el riesgo de posibles ataques fraudulentos y el uso ilícito de identidad, las marcas de aceptación han desarrollado un sistema común de normas conocido como PCI DSS (Payment Card Industry Data Security Standards) para asegurar el manejo apropiado de información de transacciones de tarjetas de pago.

Las Normas de Seguridad PCI se rigen por un organismo internacional independiente formado por Visa Internacional, MasterCard Worldwide, American Express, JCB, Discover Financial Services denominado Consejo de Estándares de Seguridad de la PCI (PCI SSC)

PCI SSC es una organización dedicada a estandarizar y proteger la seguridad de las tarjetas de pago y reducir los fraudes.

La misión del PCI Security Standards Council es aumentar la seguridad de los datos de cuentas de pago mediante la promoción de la educación y el conocimiento sobre las Normas de seguridad de la PCI (Industria de tarjetas de pago). Las empresas fundadoras de esta organización son American Express, Discover Financial Services, JCB International, MasterCard y Visa, Inc.

Esta validación es realizada por auditores autorizados Qualified Security Assessor (QSAs). Sólo a las compañías que procesan menos de 80,000 transacciones por año se les permite realizar una autoevaluación utilizando un cuestionario provisto por el Consorcio del PCI (PCI SSC).

Requisitos

La versión actual de la norma (2.0) especifica 12 requisitos para el cumplimiento, organizados en 6 secciones relacionadas lógicamente, que son llamadas "objetivos de control."

Los objetivos de control y sus requisitos son los siguientes:

Desarrollar y Mantener una Red Segura

Requisito 1: Instalar y mantener una configuración de cortafuegos para proteger los datos de los propietarios de tarjetas.

Requisito 2: No usar contraseñas del sistema y otros parámetros de seguridad predeterminados provistos por los proveedores.

Proteger los Datos de los propietarios de tarjetas.

Requisito 3: Proteger los datos almacenados de los propietarios de tarjetas.

Requisito 4: Cifrar los datos de los propietarios de tarjetas e información confidencial transmitida a través de redes públicas abiertas.

Mantener un Programa de Gestión de Vulnerabilidades

Requisito 5: Usar y actualizar regularmente un software antivirus.

Requisito 6: Desarrollar y mantener sistemas y aplicaciones seguras.

Implementar Medidas sólidas de control de acceso

Requisito 7: Restringir el acceso a los datos tomando como base la necesidad del funcionario de conocer la información.

Requisito 8: Asignar una identificación única a cada persona que tenga acceso a un computador.

Requisito 9: Restringir el acceso físico a los datos de los propietarios de tarjetas.

Monitorizar

...