PCI DSS

PCI DSS

requisitos mínimos para proteger los datos de titulares de tarjetas
1. Los requerimientos están alineados con otros Frameworks de Seguridad, como por ejemplo ISO 27001.
2. para reducir el fraude relacionado con las tarjetas de crédito e incrementar la seguridad de estos datos.
No sustituyen regulaciones gubernamentales locales ni regionales
Lo debe cumplir cualquier organización que transmita, procese o almacene información de tarjetas de pago
1. No importa si la organización es grande o pequeña debe cumplir el standar
2. dependiendo de la cantidad de transacciones anuales que la organización realice, es el modo en que su cumplimiento será auditado
  1. Se definen 4 niveles de auditoria
    1. Nivel 1 Mas de 6 millones de transacciónes anuales
      1. Auditadas por empresas autorizadas conocidas como QSA (Qualified Security Assessors).
3. Se catalogan 3 tipologías
  1. Comercios
  2. Proveedores de servicios
  3. Entidades financieras
Standar del PSI SSC (Consejo de Normas de Seguridad de la Industria de Tarjeta de Pago), creado por las principales empresas de tarjetas de crédito
Define medidas de protección para las infraestructuras que intervienen en el tratamiento, procesado o almacenamiento de informacion de tarjetas de pago
1. para gestionar la seguridad
  1. 6 controles 12 requisitos
    1. C1: Desarrolle y mantenga redes y sistemas seguros
      1. R1 - Instalar y mantener una configuración de firewall para proteger los datos del titular de la tarjeta
        Cortafuegos (control del tráfico, DMZ, aislamiento)
      2. R2 - No utilizar contraseñas de sistemas y otros parámetros de seguridad provistos por los proveesores
        Hardening de sistemas (modificar configuraciones por defecto, segregación de servicios)
    2. C2: Proteger los datos del titular de la tarjeta
      1. R3 - Protejer los datos del titular de la tarjeta que fueron almacenados
        Cifrado/ofuscado del PAN, gestión de Claves
      2. R4 - Cifrar la transmisión de los datos del titular de la tarjeta en las redes públicas abiertas
    3. C3: Mantener un programa de administración de vulnerabilidad
      1. R5 - Utilizar y actualizar con regularidad los antivirus y antimalware
      2. R6 - Desarrollar y mantener sistemas y aplicaciones seguras
        Implementar la seguridad en todo el ciclo de vida, actualización de componentes
    4. C4: Implementar medidas sólidas de control de acceso
      1. R7 - Restringir el acceso a los datos del titular de la tarjeta según la necesidad que tenga la empresa
        Gestión de Usuarios y Privilegios
      2. R8 - Identificar y autentificar el acceso a los componentes del sistema
        Identificadores nominales (autenticación de doble factor en accesos remotos, gestión de conteaseñas)
      3. R9 - Restringir el acceso físico a los datos del titular de la tarjeta
        Control de acceso físico (ID, cámaras, registros o bitácoras)
    5. C5: Supervisar y evaluar las redes con regularidad
      1. R10 - Rastrear y supervisar todos los accesos a los recursos de red y a los datos de los titrtulares de las tarjetas
        Monitorizar accesos/pistas de auditoría (registros, revisiones)
      2. R11 - Pruebe con regularidad los sistemas y procesos de seguridad
        Detectar puntos inalámbricos
        Análisis de vulnerabilidades
        Pruebas de penetración de red y aplicaciones
        IDS/IPS
        software para integridad de archivos críticos
    6. C6: Mantener una política de seguridad de la información
      1. R12 - Mantener una política que aborde la seguridad de la información a todo el personal
        Políticas
        Procedimientos de seguridad
        Gestión de Riesgos
        Concientización
        Gestión de Proveedores - Contratos
        Gestión de incidentes
2. Aplica a todos todos los componentes del sistema
  1. Un componente es cualquier elemento de red, servidor o aplicación incluida en el entorno de los datos de tarjetas o que este conectado a este
    1. El entorno de los datos de tarjetas consta de personas, procesos y tecnología
estandar seguridad del PSI SSC (Consejo de Normas de Seguridad de la Industria de Tarjeta de Pago)
Proceso Continuo (PDCA) ciclico
1. PLAN(Planificar)
  1. 1. identificar el entorno
  2. 2. Identificar Datos Sensibles
  3. 3. Análisis GAP
  4. 4. Plan de Acción
2. (ACT) Actuar
  1. Acciones para corregir el NO Cumplimiento
  2. Prevenir Incidentes
3. (CHECK) Revisar
  1. Monitorear eventos
  2. Revisar la Política de Seguridad y Riesgos
  3. Realizar Auditorias
  4. Ejecutar Escaneos ASV
4. (DO) Implementar
  1. Reducción del entorno
  2. Implementación de Controles
  3. Formación y Divulgación
  4. Validación del cumplimiento
CICLO DE VIDA DE DESARROLLO DE SOFTWARE
1. A lo largo del ciclo se cuenta con un procedimiento de control y gestión de cambios
2. Seguridad en todo el Ciclo de Vida del Desarrollo
  1. Definición y Diseño
    1. identificar áreas de seguridad de la aplicación
    2. Consideraciones de seguridad en el diseño
    3. Requisitos funcionales de seguridad
  2. Desarrollo
    1. Existen mayores fallas de seguridad
    2. Para una codificación segura debemos
      1. Conocer las Amenazas y clasificarlas
      2. Buenas prácticas para minimizar las amenazas
  3. Despliegue
    1. Deben haberse contemplado todas las deficiencias de seguridad
      1. mediante
        comprobación de requisitos
        análisis del diseño
        revisión de código
        Pruebas de intrusión en aplicaciones
        Comprobación de gestión de configuraciones
  4. Mantenimiento y Operación
    1. acciones para mantener el nivel de seguridad
      1. comprobación periódica de mantenimientos
      2. asegurar la verificación de cambios
Su implementación es un proceso
1. Definir procesos
2. Asignar Recursos
3. Comprometer a la dirección
4. Monitorizar y revisar
5. Integrar PCI DSS en la gestión de seguridad de la compañia
Datos de la tarejeta
1. Allmacenamiento permitido
  1. Ilegible
    1. Número de cuenta principal (PAN)
  2. Legible
    1. Nombre del titular de la tarjeta
    2. Código de servicio
    3. Fecha de vencimiento
2. No se puede almacenar
  1. Contenido completo de la pista
  2. CAV2/CVC2/CVV2/CID4
  3. PIN/Bloqueo de PIN5 No No se pueden almacenar según el Requisito

Next up

Description

Resource summary

Similar

	Created by Gabriela Suarez over 6 years ago