Cumplimiento de la norma PCI-DSS
La norma PCI-DSS existe porque los datos de las tarjetas son un objetivo específico y bien conocido, y la norma refleja precisamente eso: es detallada, prescriptiva e implacable en cuanto a su alcance. La mayoría de los proyectos relacionados con la norma PCI en los que he trabajado no fracasaron porque fuera imposible implementar un control, sino porque se encontraron con dificultades al no haber mapeado correctamente el flujo real de los datos de los titulares de tarjetas, lo que significa que el alcance de «lo que debe cumplir la norma» era o bien demasiado amplio para resultar práctico, o bien demasiado limitado para ser realista.
El alcance es lo primero, siempre
Antes de hablar de cortafuegos, cifrado o registro de actividades, quiero un diagrama de flujo de datos real: dónde entran los datos de las tarjetas en su entorno, todos los sistemas que entran en contacto con ellos o podrían hacerlo, todos los terceros de la cadena y todos los puntos en los que la segmentación debe mantener el entorno de datos de los titulares de tarjetas separado del resto. La segmentación que queda bien en un diagrama de red y la segmentación que realmente resiste una prueba de penetración son dos cosas diferentes, y la norma PCI exige el segundo tipo.
Cómo llevo a cabo una evaluación
Una vez que el alcance está bien definido, reviso los doce requisitos comparándolos con lo que realmente está en funcionamiento: la configuración del cortafuegos y del router, las credenciales predeterminadas, el cifrado de datos en tránsito y en reposo, el control de acceso y el principio del privilegio mínimo, el registro y la supervisión, la gestión de vulnerabilidades y las políticas que se supone que deben unirlo todo. Busco las lagunas que suelen pasar desapercibidas a simple vista: un sistema de punto de venta gestionado por el proveedor al que nadie aplica parches, una copia de seguridad que almacena datos de tarjetas sin cifrar, una retención de registros que en realidad no cumple el requisito, o revisiones de acceso que se llevan a cabo sobre el papel pero no en la práctica.
Tanto si necesita un cuestionario de autoevaluación como un informe completo sobre el cumplimiento elaborado por un evaluador de seguridad cualificado, le ayudo a poner el entorno a punto antes de que comience la evaluación formal, de modo que la auditoría confirme lo que ya es cierto en lugar de sacar a la luz problemas de los que se entera por primera vez.
A quién va dirigido
Comerciantes y proveedores de servicios que procesan, almacenan o transmiten datos de titulares de tarjetas; empresas que han superado su ámbito de aplicación original de la norma PCI sin actualizar su programa de cumplimiento para adaptarse a ello; y cualquier persona a la que un banco adquirente o un procesador de pagos le haya indicado que es hora de tomarse este asunto en serio.
Si su diagrama de alcance está desactualizado —o no existe—, ese es el punto de partida adecuado. Contacte conmigo.