Vamos hablar un poco de PCI-DSS v3
Hola soy
Ingeniero en sistemas con más de 10 años de experiencia en el área, mi nombre
es Willy Torres, trabajo para una compañía del Sector, Aunque el tema que
hablaremos de la Versión 3 de PCI-DSS
quiero comenzar con un poco de Historia, de donde empieza y como fue surgiendo
este famoso estándar que es utilizado hoy en día por Instituciones Bancarias,
Procesadoras de Tarjetas de Crédito o cualquier Institución que maneje,
almacene o procese dicho plástico.
PCI-DSS comienza a surgir como idea en el año 1999, donde Visa es el pionero de la
misma, mas seguida por MasterCard,
pero para el 2004 surge la primera versión del estándar PCI-DSS 1.0 con el apoyo de otra empresa homologas que son American Express, Discover, JCB International,
MasterCard y Visa. Aquí se creó el Consejo SSC
o Security Standards Council.
Para Finales del
2010 salió la Versión 2.0 que está vigente hasta finales del 2014 ya que la Versión
3.0 fue liberada para entrar en vigencia a comienzo del 2015.
El Consejo de PCI-DSS es el encargado de Mantener y
adaptar el Estándar y Certificar el rol que termina siendo de tarjeta de crédito.
PCI-DSS ha liberado varios documentos utilizados y que son muy interesantes,
estos son encontrados en su WebSite
A parte de PCI-DSS se encuentra otros estándares
que vamos a nombrar en forma de resumen, los cuales son:
PCI-PTS como estándar de seguridad en transacciones a nivel de PIN, este es solo para fabricantes,
Soporte PIN Online/Offline, para Protocolos utilizados y cuenta con tan solos 5
módulos de evaluación.
Point To Point Encryption como estándar del PCI-SSC, cuenta con 6 dominios de evaluación, Este estándar de
seguridad cubre el cifrado y gestión de llaves en dispositivos criptográficos
seguros. Este puede ayudar a reducir también el alcance de PCI-DSS si se tiene dispositivos P2PE validados en los canales de pago y están segmentados del
Ambiente P2PE.
PCI-PA-DSS estándar para seguridad en aplicaciones de pago o
desarrolladores de Software, este cuenta con 15 requerimientos, se necesitan
auditores QSA especializados en este tipo de validaciones, existe un listado
actualizado de aplicaciones que si aplican.
PCI-DSS como estándar del PCI-SSC,
Quienes Aplican: Comercios y Proveedores de Servicios, con 12 requerimientos de
seguridad, 6 Dominios o objetivos de Control, Estándar de seguridad para
entidades que transmitan, procesan o almacenan información de tarjetahabiente.
PCI-DSS Tiene como 6 Dominio o Objetivos los Siguientes:
Desarrollar y
Mantener una red Segura
Proteger los
datos de los propietarios de tarjetas
Mantener un
programa de Gestión de Vulnerabilidades
Implementar
Medidas Solidas de Control de Accesos
Monitorear y
Probar regularmente las Redes
Mantener una Política
de Seguridad de la Información
Ahora Detallando más
estos Dominios se encuentras los 12 requerimientos de PCI-DSS
Instalar y
Mantener la Configuración de Firewall
No utilizar
Claves ni Contraseñas por Defectos
Proteger los
Datos Almacenados de Tarjetahabientes
Cifrar los Datos
de Tarjetahabientes enviados por Redes Publicas
Utilizar y
Mantener un Software Antivirus
Desarrollar y
Mantener aplicaciones seguras
Restringir el
Acceso a Datos de los Funcionarios
Asignar una Identificación
Única a Cada Persona
Restringir el
Acceso Físico a los Datos
Rastrear y
Monitorear todos los Accesos a Recursos de la Red
Probar o Testear
Regularmente la Seguridad de los Sistemas y Procesos
Mantener una Política
de Seguridad de la Información
En el Website
como informe con anterioridad se encuentra una serie de documentos que te
ayudaran en el cumplimiento de este exigente estándar completar el 100% de la implementación
de controles necesarios.
Continuación....
