La necesidad de proteger los pagos crece con las mejoras tecnológicas
La necesidad de soluciones de pago que cumplan la normativa PCI debería ser una prioridad para cualquier vendedor, minorista u organización que acepte pagos con tarjeta. Desde las grandes empresas minoristas hasta el restaurante de la calle, todos los comercios que aceptan pagos con tarjeta de crédito -tanto en línea como fuera de línea- deben cumplir los requisitos de la Norma de Seguridad de Datos (DSS) de la PCI.
El PCI DDS es un conjunto de prácticas y directrices generales establecidas por el PCI Security Standards Council (PCI SSC), una organización sin ánimo de lucro que garantiza que la información del titular de la tarjeta (número de tarjeta, nombre, fecha de caducidad, número CVV) se transmita, almacene y maneje de forma segura. El PCI SSC establece los requisitos técnicos y operativos para cualquier vendedor o comerciante que acepte o procese transacciones de pago, así como para los fabricantes y desarrolladores que participan en la producción de dispositivos o aplicaciones que se utilizan en estas transacciones.
La forma en que su empresa demuestre el cumplimiento de la norma PCI dependerá del número de transacciones que procese al año y de si es comerciante o proveedor de servicios.
Niveles comerciales
- Nivel 1: más de 6 millones de transacciones al año; validado mediante auditoría anual, además de escaneos trimestrales y pruebas de penetración.
- Nivel 2: de 1 a 6 millones de transacciones al año; validado mediante autodiagnóstico anual, más escaneos y pruebas de penetración trimestrales.
- Nivel 3: de 20.000 a 1 millón de transacciones al año; validado mediante autodiagnóstico anual, más escaneos y pruebas de penetración trimestrales.
- Nivel 4: Menos de 20.000 transacciones al año; validado mediante autodiagnóstico anual, más escaneos y pruebas de penetración trimestrales.
Niveles de proveedores de servicios
- Nivel 1: Más de 300.000 transacciones al año; validado mediante auditoría anual, además de escaneos trimestrales y pruebas de penetración.
- Nivel 2: Menos de 300.000 transacciones al año; validado mediante autodiagnóstico anual, más escaneos y pruebas de penetración trimestrales.
Las auditorías anuales son más complicadas que las autoevaluaciones. Como regla general, cuantos más datos de titulares de tarjetas tenga, más trabajo tendrá que hacer para protegerlos adecuadamente. Sin embargo, si incorpora soluciones de pago validadas de extremo a extremo que cumplan la normativa PCI, podrá agilizar su lista de requisitos para adherirse a la DDS de la PCI.
El estándar de oro en soluciones de pago conformes con PCI
El cifrado punto a punto (P2PE) y la tokenización han surgido como dos opciones de seguridad en los pagos que ayudan a mantener segura la información de las tarjetas de crédito y limitan la cantidad de datos que se exponen al comerciante. Definamos qué significa cada una de ellas y cómo su adaptación puede ayudar a aliviar algunas de las presiones a las que se enfrentan especialmente los comerciantes.
P2PE
Cifra (protege) los datos de la tarjeta de pago en el dispositivo del punto de interacción (PDI), como cuando usted introduce su tarjeta con chip EMV en un lector como el de la caja registradora, hasta que llegan al punto final seguro donde se procesan para el pago y se devuelve la validación al comerciante (es decir, se aprueba el pago). El cifrado convierte los datos de la tarjeta en una forma ininteligible: cualquiera que intercepte los datos después del cifrado no debería tener medios para revertirlos a su forma original.
Las
soluciones P2PE aprobadas por la P CI han sido evaluadas de forma independiente con respecto a los requisitos y procedimientos de prueba de la solución de cifrado punto a punto de la PCI (la norma P2PE). Una solución aprobada no sólo incluye el cifrado de punto a punto, sino también la validación del hardware, el software y el entorno y los procesos del proveedor de la solución. La validación corre a cargo de un evaluador P2PE cualificado por la PCI.
El PCI SSC también publica listas de aplicaciones y componentes P2PE aprobados. Éstos pueden utilizarse como partes de una solución P2PE validada. Si su empresa sólo utiliza una Aplicación P2PE o un Componente P2PE incluido en la lista del PCI SSC, eso no significa que esté utilizando una Solución P2PE validada.
Tokenización
La tokenización asegura las transacciones sustituyendo la información de pago por símbolos de identificación únicos que conservan toda la información esencial sobre los datos sin comprometer su seguridad. Estos tokens permiten a las empresas aprovisionar cuentas de clientes, establecer pagos programados y gestionar la configuración de los pagos sin tener que manejar cada vez información sensible del titular de la tarjeta.
Los tokens utilizan una clave pública y otra privada para funcionar. La clave pública permite la creación de tokens, mientras que la privada permite al comercio emitir pagos únicos o periódicos. Esta forma de seguridad en los pagos ayuda a garantizar que los datos del titular de la tarjeta se almacenan de forma segura y reduce la cantidad de veces que la información de pago se transmite por Internet.
La tokenización está ganando popularidad. El uso de carteras digitales y códigos QR son sólo dos ejemplos de la tecnología en acción que están ganando adeptos. Además, los tokens se pueden configurar de varias maneras: Puedes tener un token configurado desde tu smartphone, un reloj inteligente o incluso tu coche que luego puede proporcionar pagos a un vendedor específico o a varios.
¿Por qué debo utilizar soluciones de pago que cumplan la normativa PCI?
Cuando se aplica correctamente, el uso de una solución P2PE incluida en la lista PCI SSC -instalada de la manera PCI, siguiendo el manual PCI y verificada por un auditor aprobado por PCI- ofrece varias ventajas:
- Reduce el riesgo de pérdida de datos de tarjetas de pago: Los datos se cifran en el PDI y no pueden descifrarse en su entorno
- Reduce el alcance de su evaluación PCI DSS: Puede considerar que cualquier sistema de punto de venta conectado, su red y otros componentes/dispositivos que compartan esa red están fuera del alcance.
- Simplifica el cumplimiento de PCI DSS: Menos requisitos PCI DSS aplicables, evaluación del cumplimiento simplificada y una reducción potencial del coste de mantenimiento del cumplimiento.
Consecuencias de renunciar a soluciones de pago conformes con PCI
Para muchos minoristas, el esfuerzo por seguir implantando soluciones de pago que cumplan la normativa PCI se ve obstaculizado por las limitaciones presupuestarias, la constante evolución de la tecnología de pago y, en los dos últimos años, la pandemia mundial. A los comerciantes se les pide que procesen los pagos con tarjeta de más formas -en tienda y en línea- y que sigan siendo capaces de proteger esos datos y cumplir los requisitos de la PCI. Muchos tienen que hacer todo eso con una financiación potencialmente menor debido a la recesión económica que se cierne sobre todos por los problemas relacionados con la PCI.
Pero el incumplimiento de la normativa PCI también conlleva costes elevados. Por ejemplo, un importante minorista estadounidense expuso los datos de pago de 70 millones de clientes.
¿Qué ocurre si no cumplo?
En caso de violación de los datos, el daño causado por un sistema de pago que no cumple las normas puede ser considerable.
-
Multas: Tras una infracción, los sitios web que no cumplen las normas pueden verse obligados a pagar cuantiosas multas de los organismos reguladores.
-
Suspensión de tarjetas de crédito: Si sufre una violación de datos, los reguladores de la PCI pueden revocar su capacidad para aceptar pagos con tarjeta de crédito
-
Examen forense obligatorio: Es posible que tenga que someterse a un examen forense caro y largo con un investigador forense (FSI) de la PCI autorizado.
-
Responsabilidad por cargos de fraude: Es posible que seas responsable en un juicio por fraude si se han robado datos confidenciales de tus clientes
-
Costes de sustitución de tarjetas de crédito: Los costes de reemisión de las tarjetas de crédito (incluidos los gastos de envío, comunicación y activación) pueden repercutirte los emisores de las tarjetas
-
Notificación y supervisión del crédito: Se le puede exigir que informe a todos los clientes de una violación de seguridad, así como que proporcione a los clientes afectados servicios de supervisión de crédito
-
Reevaluación para el cumplimiento de la normativa PCI: Por último, es posible que tenga que someterse a una reevaluación PCI completa para recuperar la capacidad de aceptar tarjetas de crédito
TRG ofrece soluciones de seguridad en los pagos
En TRG, nos comprometemos a "hacer que la tecnología sea sencilla", especialmente en el ámbito de la movilidad empresarial, los puntos de venta y las soluciones de procesamiento de pagos. La seguridad de los pagos de TRG corre a cargo de MRK Technologies, una empresa hermana de TRG bajo el paraguas de TruWest Companies. MRK Technologies aporta décadas de experiencia, así como el personal, los procesos y los procedimientos necesarios para ofrecer resultados inigualables.
Nuestra cartera combinada de experiencia y conocimientos nos proporciona las credenciales para implantar las soluciones de pago conformes con PCI que usted necesita:
TRG también trabaja como una extensión de su equipo para proporcionar un conjunto de soluciones para supervisar, asesorar, alertar y responder a las amenazas a la seguridad de la información 24/7/365. Con TRG, no sólo obtendrá recomendaciones y sugerencias de productos de seguridad: obtendrá acceso directo a los conocimientos y experiencia colectivos de nuestros experimentados profesionales de la seguridad de la información.
Con el conjunto de servicios de gestión del ciclo de vida más completo del sector, ofrecemos otros servicios como nuestro soporte de gestión unificada de puntos finales (UEM ) para ayudarle a optimizar completamente su programa de movilidad empresarial en una amplia gama de dispositivos y sistemas operativos. Nuestros servicios in situ se adaptan a las necesidades de cada cliente y están respaldados por nuestros técnicos expertos.
Póngaseen contacto con TRG para obtener más información sobre la implantación de soluciones de pago conformes con PCI para proteger los datos de los titulares de tarjetas y abordar de forma eficaz sus evaluaciones de conformidad.