ayuda pci requisitos
Los requisitos de la PCI DSS se han establecido para ayudar a garantizar la seguridad de las transacciones de tarjetas de pago. Se aplican a todas las empresas que procesan, almacenan o transmiten datos de tarjetas de pago. PCI DSS establece 12 requisitos básicos para la seguridad de los datos:
- Instalar y mantener un firewall de red para proteger los datos
- No utilizar las credenciales predeterminadas del proveedor
- Proteger las contraseñas almacenadas
- Cifrar las comunicaciones que transmiten datos sensibles
- Mantener un inventario de los sistemas de tarjetas de pago y de las aplicaciones
- Asignar una responsabilidad única para la seguridad de los datos de tarjetas de pago
- Restringir el acceso a datos sensibles
- Mantener un registro de las conexiones en los sistemas de tarjetas de pago
- Mantener un registro de las actividades de administración de los sistemas de tarjetas de pago
- Mantener un ambiente seguro para alojar los sistemas de tarjetas de pago
- Implementar un plan de respuesta ante incidentes de seguridad
- Mantener un programa de seguridad de las tarjetas de pago
Los firewalls de red ayudan a proteger los sistemas de tarjetas de pago contra accesos no autorizados. Los firewalls también pueden ayudar a establecer una "zona segura" para alojar los sistemas de tarjetas de pago. Las políticas y procedimientos de seguridad de la red deberían estar documentados e implementados correctamente.
Las credenciales predeterminadas del proveedor (por ejemplo, contraseñas y claves de acceso) deberían cambiarse antes de que el sistema esté en funcionamiento. Los administradores de sistemas y las aplicaciones deberían tener credenciales únicas e independientes.
Las contraseñas no deberían almacenarse en formato abierto o accesible. Las contraseñas que se deben almacenar deberían estar cifradas usando algoritmos de cifrado fuertes.
Los datos sensibles, como las contraseñas y los números de tarjetas de crédito, deben cifrarse mientras se transmiten a través de redes abiertas. Los métodos aceptables de cifrado incluyen SSL/TLS, IPSec o cifrado de extremo a extremo.
Es importante mantener un registro de todos los sistemas y aplicaciones que procesan, almacenan o transmiten datos de tarjetas de pago. El inventario debería incluir, entre otras cosas, una descripción de la función de cada sistema y aplicación, así como la ubicación física y el nivel de acceso de cada uno.
Debe haber una persona u organización responsable de la seguridad de los datos de tarjetas de pago. Esta persona o organización debería tener la autoridad y los recursos necesarios para garantizar la seguridad de los datos.
El acceso a los datos sensibles de las tarjetas de pago debería estar restringido a aquellas personas que necesiten acceder a ellos. El acceso debería estar basado en el principio de "necesidad de saber" y debería estar registrado y supervisado.
Los sistemas de tarjetas de pago deberían mantener un registro de todas las conexiones y actividades. Estos registros deberían incluir, entre otras cosas, la fecha y hora de la conexión, así como el nombre de usuario y el origen de la conexión.
Los sistemas de tarjetas de pago deberían mantener un registro de todas las actividades de administración, como los cambios en la configuración del sistema, los nuevos usuarios y los permisos de acceso.
Los sistemas de tarjetas de pago deberían estar alojados en un ambiente seguro que proteja contra el acceso no autorizado, la manipulación de los datos y la interrupción del servicio. Los sistemas deberían estar protegidos contra incendios, inundaciones y otras amenazas físicas.
Todas las empresas que procesan, almacenan o transmiten datos de tarjetas de pago deberían tener un plan de respuesta ante incidentes de seguridad. El plan de respuesta debería incluir, entre otras cosas, una lista de contactos de emergencia, un plan de notificación de incidentes y un plan de recuperación de datos.
Todas las empresas que procesan, almacenan o transmiten datos de tarjetas de pago deberían tener un programa de seguridad de las tarjetas de pago. El programa de seguridad debería incluir, entre otras cosas, una evaluación periódica de los riesgos, un plan de gestión de los riesgos y un plan de implementación de las medidas de seguridad.