Payment Card Industry Data Security Standard (PCI DSS)

Entender el estándar PCI DSS puede ser algo enrevesado. Quizás alguien pueda necesitar echar un ojo a este paper, PCI DSS made easy, que aunque tiene un tinte comercial de la empresa GFI muy marcado, no deja de ser un documento para entender este estándar de una manera accesible. En lo que al estándar respecta, comentar que la versión actual es la de Septiembre de 2006, numerada como versión 1.1. Desafortunadamente, no existe un versión en castellano. El estándar tiene 6 dominios, en los que se definen 12 requisitos para construir una infraestructura confiable para el procesado de transacciones mediante tarjetas de pago. Los requisitos son elementales, y son de fácil adopción para cualquier Entidad que se proponga cumplir con los estándares: 1. Construir y mantener una infraestructura segura Requisito 1: Instalar y mantener una configuración de firewall para proteger los datos de titulares de tarjetas. Requisito 2: No emplear configuraciones por defecto en los elementos de protección. 2. Proteger los datos de los titulares Requisito 3: Proteger los datos de titulares de tarjeta almacenados. Requisito 4: Cifrar las transmisiones de datos de titulares de tarjeta en redes abiertas y públicas. 3. Mantener un programa de gestión de las vulnerabilidades Requisito 5: Emplear y actualizar periódicamente el software antivirus. Requisito 6: DEsarrollar y mantener sistemas y aplicaciones seguras. 4. Implementar medidas fuertes de control de acceso Requisito 7: Restringir el acceso a los datos de titulares al ámbito de lo estrictamente necesario para ofrecer el servicio. Requisito 8: Asignar un identificador único a cada persona con acceso a equipos de proceso. Requisito 9: Restringir la seguridad física para acceder a los datos de titulares. 5. Monitorizar y someter a pruebas regulares las redes Requisito 10: Monitorizar y hacer seguimiento a todos los recursos de red y a los datos de titulares. Requisito 11: Probar regularmente la seguridad de los sistemas y procesos. 6. Mantener una Política de Seguridad de la Información Requisito 12: Mantener una política que cubra la seguridad de la información. Como podéis comprobar, nada nuevo bajo el sol. Una eficiente combinación de infraestructura segura, datos protegidos, gestión de vulnerabilidades, control de acceso adecuado, monitorización y aplicación en todos los niveles de las adecuadas políticas y procedimientos debería ser suficiente. Aunque, como todos sabemos, un mínimo descuido en cualquiera de estos ámbitos implica que todo el sistema se venga abajo.

Fuente: http://www.sahw.com/