Las PCI y DSS

Las Normas de Seguridad de Datos (DSS) de la Industria de Tarjetas de Pago (PCI) se desarrollaron para fomentar y mejorar la seguridad de los datos de los titulares de las tarjetas y para facilitar la adopción de medidas de seguridad consistentes a nivel mundial.

Las PCI DSS proporcionan una referencia de requisitos técnicos y operativos desarrollados para proteger los datos de los titulares de tarjetas. Además, se aplican a todas las entidades que participan en los procesos de las tarjetas de pago, entre las que se incluyen comerciantes, procesadores, adquirentes, entidades emisoras y proveedores de servicios, así como también todas las demás entidades que almacenan, procesan o transmiten datos de titulares de tarjetas.

Estas normas también constituyen un conjunto mínimo de requisitos para proteger datos de titulares de tarjetas y se pueden mejorar con el uso de controles y prácticas adicionales para mitigar otros riesgos.

Los requisitos se pueden englobar en un total de 12, que se listan a continuación:

Aplicabilidad

La clave para saber dónde y en qué ámbito se aplican las PCI DSS, es tener muy claro dónde se almacenan, procesan o transmiten datos de cuentas. Los datos de cuentas constan de los datos de los titulares de tarjetas más los datos confidenciales de autenticación.

A continuación, se muestra una tabla que representa todos los datos de cuentas:

El factor fundamental que define la aplicabilidad de los requisitos de las PCI DSS es el Número de Cuenta principal (PAN). Los requisitos de las PCI DSS se aplican si se almacena, procesa o transmite un número de cuenta principal (PAN). De forma contraria, si el PAN ni se almacena, ni procesa o transmite, no se aplican los requisitos de las PCI DSS.

Una vez aclarada la aplicabilidad con respecto al PAN, entran en juego el resto de datos, teniendo en cuenta que si el nombre del titular de la tarjeta, el código de servicio y/o la fecha de vencimiento no se almacenan ni procesan ni transmiten con el PAN, ni están presentes de alguna otra manera en el entorno de datos de titulares de tarjeta, se deben proteger de acuerdo con todos los requisitos de las PCI DSS, a excepción de los requisitos 3.3 y 3.4, que sólo se aplican al PAN.

Las PCI DSS representan un conjunto mínimo de objetivos de control que puede ser reforzado con leyes y regulaciones locales, regionales y sectoriales, pudiéndose requerir protección específica de la información de identificación personal u otros elementos de datos (por ejemplo, el nombre del titular de la tarjeta), o definir las prácticas de divulgación de una entidad en lo que respecta a la información de los consumidores. Es importante mencionar que las PCI DSS no sustituyen las leyes locales ni regionales, las regulaciones del gobierno ni otros requisitos legales.

A continuación, se muestra una tabla que indica lo que ocurre al almacenar los diferentes datos de titulares de tarjetas y los datos confidenciales de autenticación:

Como se puede observar en la tabla, los requisitos 3.3 y 3.4 de las PCI DSS sólo se aplican al PAN. Si el PAN se almacena con otros elementos de los datos del titular de la tarjeta, únicamente el PAN debe ser ilegible de acuerdo con el requisito 3.4 de las PCI DSS. Como ya se ha comentado, se deberá tener en cuenta que las PCI DSS sólo se aplican si los PAN se almacenan, procesan y/o transmiten.