Vamos hablar un poco de PCI-DSS v3

Hola soy Ingeniero en sistemas con más de 10 años de experiencia en el área, mi nombre es Willy Torres, trabajo para una compañía del Sector, Aunque el tema que hablaremos de la Versión 3 de PCI-DSS quiero comenzar con un poco de Historia, de donde empieza y como fue surgiendo este famoso estándar que es utilizado hoy en día por Instituciones Bancarias, Procesadoras de Tarjetas de Crédito o cualquier Institución que maneje, almacene o procese dicho plástico.

PCI-DSS comienza a surgir como idea en el año 1999, donde Visa es el pionero de la misma, mas seguida por MasterCard, pero para el 2004 surge la primera versión del estándar PCI-DSS 1.0 con el apoyo de otra empresa homologas que son American Express, Discover, JCB International, MasterCard y Visa. Aquí se creó el Consejo SSC o Security Standards Council.

Para Finales del 2010 salió la Versión 2.0 que está vigente hasta finales del 2014 ya que la Versión 3.0 fue liberada para entrar en vigencia a comienzo del 2015.

El Consejo de PCI-DSS es el encargado de Mantener y adaptar el Estándar y Certificar el rol que termina siendo de tarjeta de crédito. PCI-DSS ha liberado varios documentos utilizados y que son muy interesantes, estos son encontrados en su WebSite

A parte de PCI-DSS se encuentra otros estándares que vamos a nombrar en forma de resumen, los cuales son:

PCI-PTS como estándar de seguridad en transacciones a nivel de PIN, este es solo para fabricantes, Soporte PIN Online/Offline, para Protocolos utilizados y cuenta con tan solos 5 módulos de evaluación.

Point To Point Encryption como estándar del PCI-SSC, cuenta con 6 dominios de evaluación, Este estándar de seguridad cubre el cifrado y gestión de llaves en dispositivos criptográficos seguros. Este puede ayudar a reducir también el alcance de PCI-DSS si se tiene dispositivos P2PE validados en los canales de pago y están segmentados del Ambiente P2PE.

PCI-PA-DSS estándar para seguridad en aplicaciones de pago o desarrolladores de Software, este cuenta con 15 requerimientos, se necesitan auditores QSA especializados en este tipo de validaciones, existe un listado actualizado de aplicaciones que si aplican.

PCI-DSS como estándar del PCI-SSC, Quienes Aplican: Comercios y Proveedores de Servicios, con 12 requerimientos de seguridad, 6 Dominios o objetivos de Control, Estándar de seguridad para entidades que transmitan, procesan o almacenan información de tarjetahabiente.

PCI-DSS Tiene como 6 Dominio o Objetivos los Siguientes:

Desarrollar y Mantener una red Segura

Proteger los datos de los propietarios de tarjetas

Mantener un programa de Gestión de Vulnerabilidades

Implementar Medidas Solidas de Control de Accesos

Monitorear y Probar regularmente las Redes

Mantener una Política de Seguridad de la Información

Ahora Detallando más estos Dominios se encuentras los 12 requerimientos de PCI-DSS

Instalar y Mantener la Configuración de Firewall

No utilizar Claves ni Contraseñas por Defectos

Proteger los Datos Almacenados de Tarjetahabientes

Cifrar los Datos de Tarjetahabientes enviados por Redes Publicas

Utilizar y Mantener un Software Antivirus

Desarrollar y Mantener aplicaciones seguras

Restringir el Acceso a Datos de los Funcionarios

Asignar una Identificación Única a Cada Persona

Restringir el Acceso Físico a los Datos

Rastrear y Monitorear todos los Accesos a Recursos de la Red

Probar o Testear Regularmente la Seguridad de los Sistemas y Procesos

Mantener una Política de Seguridad de la Información

En el Website como informe con anterioridad se encuentra una serie de documentos que te ayudaran en el cumplimiento de este exigente estándar completar el 100% de la implementación de controles necesarios.

  

Continuación....

Referencia de PCI-DSS