[PCÍ D~SS]

[¿Qúíéñ~ ñécé~sítá~ cúmp~lír c~óñ PC~Í DSS~¿]

[Él óbjétívó dél Éstáñdár dé Ségúrídád dé Dátós PCÍ (PCÍ DSS) és prótégér lós dátós dél títúlár dé lá tárjétá (CHD) ý lós dátós cóñfídéñcíálés dé áútéñtícácíóñ (SÁD) dóñdéqúíérá qúé sé prócéséñ, álmácéñéñ ó tráñsmítáñ. És ñécésáríó máñtéñér lá ségúrídád dé lós págós párá tódás lás órgáñízácíóñés qúé álmácéñáñ, prócésáñ ó tráñsmítéñ dátós dé títúlárés dé tárjétás.]

[Lós é~stáñd~árés~ dé sé~gúrí~dád P~CÍ íñ~clúý~éñ ré~qúér~ímíé~ñtós~ técñí~cós ý~ ópér~átív~ós pá~rá:]

• [Órgá~ñízá~cíóñ~és qú~é ácé~ptáñ~ ó pró~césá~ñ trá~ñsác~cíóñ~és dé~ págó~]
• [Désá~rról~ládó~rés d~é sóf~twár~é ý fá~bríc~áñté~s dé á~plíc~ácíó~ñés ý~ dísp~ósít~ívós~ útíl~ízád~ós éñ~ ésás~ tráñ~sácc~íóñé~s]

[PCÍ 3.2.1, q~úé sé~ láñz~ó éñ má~ýó dé~ 2018, és lá~ vérs~íóñ ác~túál~ á lá q~úé dé~béñ á~dhér~írsé~ lás ó~rgáñ~ízác~íóñé~s cúb~íért~ás.]

[Lá válídácíóñ dél cúmplímíéñtó sé réálízá áñúálméñté ó tríméstrálméñté, médíáñté úñ métódó ádécúádó á lá désígñácíóñ á ñívél dé cómércíáñté dé lá órgáñízácíóñ, qúé és úñá fúñcíóñ dél vólúméñ áñúál dé tráñsáccíóñés cóñ tárjétá dé crédító máñéjádás.]

[Résú~méñ d~é lós~ ñívé~lés d~é PCÍ~ Mérc~háñt~ ý lós~ Réqú~érím~íéñt~ós dé~ Áúdí~tóríá~ ý Rép~órtí~ñg]

[Lá sígúíéñté táblá ófrécé úñá vísíóñ géñérál dé lós ñívélés dé cómércíó dé PCÍ, lás árqúítéctúrás dé págó cómúñés qúé sé útílízáñ ñórmálméñté éñ cádá ñívél ý lós réqúérímíéñtós dé áúdítóríá ý répórtíñg dé PCÍ córréspóñdíéñtés. Ñótá: Éxístéñ álgúñás díféréñcíás sútílés éñ lós púñtós dé référéñcíá á ñívél dé cómércíáñté éñtré lás cómpáñíás dé tárjétás dé crédító, pór ló qúé sé récómíéñdá á lós léctórés qúé cóñsúltéñ cóñ sús ásésórés PCÍ ý sócíós dé QSÁ párá óbtéñér úñá éválúácíóñ précísá dé lós réqúísítós qúé sé áplícáñ á sú órgáñízácíóñ.]

[12 Réqú~ísít~ós pá~rá PC~Í DSS~]

[PCÍ DSS 3.2.1 íñclúýé 6 óbjétívós, 12 réqúérímíéñtós, 78 réqúérímíéñtós básícós ý más dé 400 prócédímíéñtós dé prúébá. Lá sígúíéñté táblá résúmé lós óbjétívós dé PCÍ DSS ý lós réqúérímíéñtós rélácíóñádós. Párá óbtéñér détállés sóbré lós súbréqúísítós ý lás prúébás, lós léctórés débéñ révísár él Gúíá dé référéñcíá dé PCÍ DSS.]

[Ríés~gós p~ótéñ~cíál~és dé~bídó~ ál íñ~cúmp~límí~éñtó~ dé PC~Í]

[PCÍ DSS éxísté désdé hácé más dé 12 áñós, péró múchás órgáñízácíóñés cóñtíñúáñ éñfréñtáñdó hállázgós ádvérsós crítícós dúráñté lás áúdítóríás. Úñ púñádó dé órgáñízácíóñés támbíéñ cóñtíñúáñ répórtáñdó qúé éxpéríméñtó úñá víólácíóñ dé dátós íñclúsó déspúés dé pásár récíéñtéméñté úñá áúdítóríá dé PCÍ. Lá clávé áqúí és qúé él cúmplímíéñtó dé ñórmás ñó sígñífícá ñécésáríáméñté qúé lós dátós ý lás áplícácíóñés éstéñ ségúrós. Él cúmplímíéñtó dé ñórmás débé cóñsídérársé cómó lá líñéá dé básé; ý lás órgáñízácíóñés támbíéñ débéñ céñtrársé éñ ídéñtífícár ý mítígár lós véctórés dé áméñázás qúé ñó éstáñ ñécésáríáméñté cúbíértós pór sú máñdátós dé cúmplímíéñtó.]

[Éstó~s sóñ~ lós m~ás cóm~úñés~ Cúmp~límí~éñtó~ dé PC~Í Dés~áfíós~:]

1. [Ñécésídád dé ádmíñístrár él álcáñcé ý cóñtrólár él cóstó dé lás áúdítóríás PCÍ. Él Cóñséjó dé Ségúrídád dé lá PCÍ públícó úñ gúíá párá él álcáñcé ý lá ségméñtácíóñ dé lá réd. Él dócúméñtó ófrécé úñ márcó párá áýúdár á lás órgáñízácíóñés cúbíértás á ídéñtífícár lós cómpóñéñtés CDÉ (éñtórñó dé dátós dél títúlár dé tárjétás), lós sístémás cóñéctádós á PCÍ ý qúé ímpáctáñ lá ségúrídád PCÍ ý lós cómpóñéñtés fúérá dél álcáñcé. Désáfórtúñádáméñté, éjécútár él márcó dé álcáñcé ý ségméñtácíóñ és úñ désáfíó párá múchás órgáñízácíóñés débídó á lá ñátúrálézá cádá véz más díñámícá ý cómpléjá dé lós éñtórñós dé dátá céñtér ý lás árqúítéctúrás dé págó. Cóñfíár éñ dátós éstátícós púñtúálés ý mápás dé flújó dé réd párá póblár ý máñtéñér él íñvéñtáríó dé cómpóñéñtés PCÍ cómbíñádó cóñ cámbíós dé TÍ íñcóñsístéñtés ý práctícás dé ádmíñístrácíóñ dé cámbíós dé fíréwáll cóñdúcéñ á érrórés dé álcáñcé ý ségméñtácíóñ, ló qúé á sú véz, dá cómó résúltádó fállás éñ lá éválúácíóñ dé PCÍ ý máýórés cóstós dé áúdítóríá.]
2. [Íñcápácídád párá máñtéñér cóñtíñúáméñté sú póstúrá dé ségméñtácíóñ ý cúmplímíéñtó dé ñórmás dé ségúrídád PCÍ. Lós éstáñdárés dé ségúrídád PCÍ réqúíéréñ qúé lás órgáñízácíóñés máñtéñgáñ cóñtíñúáméñté sú póstúrá dé ségméñtácíóñ PCÍ ý sé áségúréñ dé qúé cúmplá cóñtíñúáméñté cóñ lós réqúérímíéñtós básé ý réqúérímíéñtós dé PCÍ. Lás árqúítéctúrás dé págós ý céñtrós dé dátós díñámícás ý cómpléjás cómbíñádás cóñ désálíñéácíóñés éñtré lós prócésós dé ségúrídád ý lás ópérácíóñés dé TÍ cóñdúcéñ á bréchás dé ségúrídád ý cóñtról. Cómó résúltádó dé lás práctícás dé TÍ, lós cómpóñéñtés PCÍ á méñúdó térmíñáñ mézcláñdósé cóñ cómpóñéñtés qúé ñó sóñ PCÍ déñtró dé lá mísmá zóñá, VLÁÑ ó súbréd, ý síñ cóñtrólés ádícíóñálés párá réstríñgír él tráfícó ál CDÉ. Éñ álgúñós cásós, lá déscóñéxíóñ éñtré lá ádmíñístrácíóñ dé cámbíós dé TÍ, él próvísíóñíñg dé récúrsós ý lós prócésós dé ádmíñístrácíóñ dé cámbíós dé fíréwáll dá cómó résúltádó úñ íñvéñtáríó íñcórréctó dé lós sístémás cóñéctádós á PCÍ déñtró dél álcáñcé ý réglás dé fíréwáll mál cóñfígúrádás. Lós prócésós défícíéñtés dé ádmíñístrácíóñ dé vúlñérábílídádés ý dé ádmíñístrácíóñ dé párchés támbíéñ ímpídéñ qúé úñá órgáñízácíóñ máñtéñgá cóñtíñúáméñté sú póstúrá dé ségúrídád dé PCÍ. Íñfórmé dé ségúrídád dé págós dé Vérízóñ própórcíóñá úñá révísíóñ détálládá dé lás téñdéñcíás dé ségúrídád dé págós ý lós désáfíós crítícós dé ségúrídád qúé lás órgáñízácíóñés cóñtíñúáñ éxpéríméñtáñdó. Vérízóñ há éstádó públícáñdó ésté íñfórmé áñúálméñté désdé 2010. Éñ él íñfórmé dé 2020, lós áútórés cóñclúýéñ qúé lós sígúíéñtés réqúísítós dé PCÍ préséñtáñ lás péórés bréchás dé cóñtról:]
3. [Répá~só 11. Pr~óbár~ síst~émás~ ý pró~césó~s dé s~égúr~ídád~]
4. [Récí~pé 5. Pr~ótéjá~sé có~ñtrá~ sóft~wáré~ málí~ñtéñ~cíóñ~ádó]
5. [Réál~ízác~íóñ 10. Rá~stré~é ý sú~pérv~ísé é~l ácc~ésó]
6. [Répó~sící~óñ 12. Ádm~íñís~trác~íóñ dé~ ségú~rídá~d]
7. [Répó~sící~óñ 8. Áút~éñtí~cár é~l ácc~ésó]
8. [Réqú~íéró~ 1. Íñst~álár~ ý máñ~téñé~r úñá~ cóñf~ígúr~ácíóñ~ dé fí~réwá~ll]
9. [Téñér rédés pláñás. Sórpréñdéñtéméñté, múchás órgáñízácíóñés hóý éñ díá sígúéñ téñíéñdó rédés pláñás débídó á qúé éstás sóñ séñcíllás dé díséñár ý fácílés dé ópérár ý máñtéñér. Síñ émbárgó, úñá réd pláñá sígñífícá qúé tódó éñ él éñtórñó (íñclúídós lós cómpóñéñtés ñó cóñéctádós á PCÍ ý ñó CDÉ) éstá déñtró dél álcáñcé dé PCÍ, ló qúé géñérá máýórés cóstós dé áúdítóríá dé PCÍ. Úñá réd pláñá támbíéñ sígñífícá qúé sí úñ mál áctór púédé cómprómétér cóñ éxító úñ sóló hóst, púédé átrávésár fácílméñté lá réd ý áccédér á lás áplícácíóñés dé págó ý lá básé dé dátós dé títúlárés dé tárjétás.]
10. [Ñécésídád dé áségúrár lá tráñsícíóñ ál módéló ópérátívó dé trábájó rémótó. Á médídá qúé lás órgáñízácíóñés hácéñ lá tráñsícíóñ á úñ módéló ópérátívó dé trábájó tótálméñté rémótó, ñécésítáñ éválúár cómó éstós cámbíós áféctáñ él álcáñcé dé sú éñtórñó PCÍ ý qúé cóñtrólés ádícíóñálés débéñ ímpléméñtár párá cóñtrólár él tráfícó légítímó ál CDÉ. Lós éjémplós íñclúýéñ áségúrár él áccésó rémótó légítímó dé ádmíñístrádórés áútórízádós á áplícácíóñés dé págó désdé cómpútádórás pórtátílés dé lós trábájádórés, áségúrár él sópórté ý fáctúrácíóñ rémótós ál clíéñté, ý éñ él sítíó, síñ cóñtáctó, áségúráñdó lás cóñéxíóñés áútórízádás éñtré lós qúíóscós síñ cóñtáctó cóñéctádós á Íñtérñét ý lás áplícácíóñés dél céñtró dé dátós.]

[¿Cúálé~s sóñ~ lós d~ésáf~íós có~múñé~s dé í~mplé~méñt~ácíóñ~ dé PC~Í Dát~á Séc~úrít~ý Stá~ñdár~d¿]

[Lá ví~síbí~lídá~d éñ t~íémp~ó réá~l dé l~ás cá~rgás~ dé tr~ábáj~ó, lós~ úsúá~ríós~, lós d~íspó~sítí~vós ý~ sús c~óñéx~íóñé~s ý fl~újós~ és ím~pórt~áñté~ párá~:]

• [Áség~úrár~ qúé é~l álc~áñcé~ dél é~ñtór~ñó PC~Í ést~é áctú~álíz~ádó ý~ séá p~récí~só, ló~ qúé á~ sú vé~z síg~ñífí~cá qú~é lás~ régl~ás dé~ ségm~éñtá~cíóñ ý~ fíré~wáll~ sé áp~líqú~éñ có~rréc~támé~ñté.]
• [Próp~órcí~óñár~ válí~ósós~ íñsú~mós p~árá l~ós áñ~álísí~s trí~mést~rálé~s dé v~úlñé~rábí~lídá~dés í~ñtér~ñós ó~blíg~átór~íós ý~ útíl~ízár~ éstá~ íñfó~rmác~íóñ pá~rá má~péár~ lás p~ósíb~lés v~íás dé~ átáq~úé lá~térá~l ásó~cíád~ás có~ñ lás~ vúlñ~éráb~ílíd~ádés~.]
• [Móñí~tóré~ó cóñ~tíñú~ó dél~ éñtó~rñó P~CÍ pá~rá dé~téct~ár cá~mbíó~s éñ c~árgá~s dé t~rábá~jó, dí~spós~ítív~ós, ús~úárí~ós, có~ñéxí~óñés~ é íñt~éñtó~s fál~lídó~s dé c~óñéx~íóñ, ló~ qúé p~ódríá~ sér ú~ñ íñd~ícád~ór dé~ úñ át~áqúé~ póté~ñcíá~l.]
• [Ídéñ~tífí~cár l~ós cá~mbíó~s éñ l~á súp~érfí~cíé d~é átá~qúé ý~ lós v~éctó~rés d~é ámé~ñázá~s qúé~ ñó és~táñ ñé~césá~ríám~éñté~ cúbí~értó~s pór~ lós r~éqúé~rímí~éñtó~s dé c~úmpl~ímíé~ñtó d~é PCÍ~.]

[Lá ím~pórt~áñcí~á dé l~á vís~íbíl~ídád~ éñ tí~émpó~ réál~ párá~ él cú~mplí~míéñ~tó éf~éctí~vó dé~ PCÍ D~SS]

• [Lá vísíbílídád éñ tíémpó réál áýúdá á gáráñtízár lá précísíóñ dél álcáñcé PCÍ ál móñítóréár cóñtíñúáméñté tódás lás cóñéxíóñés dé lós sístémás CDÉ, cóñéctádós á PCÍ ý PCÍ qúé ímpáctáñ lá ségúrídád, tódós lós cúálés éstáñ déñtró dél álcáñcé dé PCÍ. Lúégó, úñá órgáñízácíóñ púédé áplícár lá mícróségméñtácíóñ básádá éñ hóst párá hácér cúmplír lás réglás dé fíréwáll áplícáblés párá réstríñgír él tráfícó éñtráñté ý sálíéñté ál éñtórñó PCÍ sóló á áqúéllós qúé éstáñ “pérmítídós” ó “légítímós”. (Réqúísító 1)]
• [Máñt~éñér~ cóñt~íñúá~méñt~é úñá~ ségm~éñtá~cíóñ é~féct~ívá ý~ préc~ísá d~él éñ~tórñ~ó PCÍ~ áýúd~á á có~ñtró~lár l~ós có~stós~ dé áú~dító~ríá dé~ PCÍ.]
• [Lá él~ímíñ~ácíóñ~ dé ré~glás~ dé fí~réwá~ll má~l cóñ~fígú~rádá~s ý dé~sáct~úálí~zádá~s mít~ígá l~á éxp~ósíc~íóñ dé~ úñá ó~rgáñ~ízác~íóñ cú~bíér~tá á ú~ñá pó~síbl~é víó~lácí~óñ dé d~átós~.]
• [Ápróvéché lá íñtégrácíóñ cóñ hérrámíéñtás dé áútómátízácíóñ dé TÍ (cómó Chéf, Púppét ý Áñsíblé, Térráfórm) párá gáráñtízár qúé lás pólítícás dé ségméñtácíóñ séáñ próvísíóñádás, ál mísmó tíémpó qúé él próvísíóñíñg dé récúrsós dé cárgá dé trábájó ý sú líbérácíóñ ál éñtórñó dé pródúccíóñ.]
• [Lá vísíbílídád éñ tíémpó réál áýúdá á lá órgáñízácíóñ á éválúár lós cámbíós éñ él álcáñcé dé PCÍ á médídá qúé úñá órgáñízácíóñ réálízá lá tráñsícíóñ ál trábájó rémótó. Áýúdá á lá órgáñízácíóñ á ídéñtífícár bréchás crítícás dé cóñtról ý pósíblés véctórés dé átáqúé. Á cóñtíñúácíóñ, lás órgáñízácíóñés púédéñ áplícár lá mícróségméñtácíóñ básádá éñ hóst párá réstríñgír lás cóñéxíóñés púñtó á púñtó désdé lós díspósítívós dóméstícós á lás cómpútádórás pórtátílés dél úsúáríó rémótó, ý párá cóñtrólár lás cóñéxíóñés dé úsúáríó á áplícácíóñés dé dátá céñtér.]
• [Cóñtrólé lás cóñéxíóñés éñtré cárgás dé trábájó PCÍ áútórízádás, úsúáríós ý díspósítívós qúé sé éñcúéñtráñ díspérsós éñ múltíplés VLÁÑ, zóñás ý súbrédés, ý máñtéñgásé ál díá cóñ lós cámbíós éñ lás ópérácíóñés dé TÍ, síñ rédíséñár él éñtórñó dé réd.]
• [Éñ éñ~tórñ~ós ñá~tívó~s dé l~á ñúb~é ý ñú~évós~ éñtó~rñós~, lás ó~rgáñ~ízác~íóñé~s púé~déñ á~próv~échá~r lá í~ñtég~rácí~óñ cóñ~ plát~áfór~más d~é órq~úést~ácíóñ~ dé có~ñtéñ~édór~és pá~rá áp~róví~síóñ~ár “pó~lítíc~ás dé~ ségm~éñtá~cíóñ” á~l ñác~ér úñ~á cár~gá dé~ tráb~ájó.]
• [Ádémás dé cúmplír díréctáméñté cóñ lós réqúérímíéñtós dé cúmplímíéñtó dé PCÍ, úñá órgáñízácíóñ púédé áplícár mícróségméñtácíóñ párá rédúcír sú súpérfícíé dé átáqúé, óbstrúír él móvímíéñtó látérál ý cóñtéñér lá própágácíóñ rápídá dé ráñsómwáré.]

[Úsó d~é lá m~ícró~ségm~éñtá~cíóñ b~ásád~á éñ h~óst p~árá é~ñfré~ñtár~ sús d~ésáf~íós dé~ cúmp~límí~éñtó~ dé PC~Í ý cí~bérs~égúr~ídád~]

• [Lá vísíbílídád éñ tíémpó réál áýúdá á gáráñtízár lá précísíóñ dél álcáñcé dé PCÍ ál móñítóréár cóñtíñúáméñté tódás lás cóñéxíóñés dé lós sístémás CDÉ, cóñéctádós á PCÍ ý PCÍ qúé ímpáctáñ lá ségúrídád, tódós lós cúálés éstáñ déñtró dél álcáñcé dé PCÍ. Úñá órgáñízácíóñ púédé éñtóñcés áplícár básádó éñ hóst mícróségméñtácíóñ párá hácér cúmplír lás réglás dé fíréwáll áplícáblés párá réstríñgír él tráfícó éñtráñté ý sálíéñté ál éñtórñó PCÍ sóló á áqúéllós qúé éstáñ “pérmítídós” ó “légítímós”. (Réqúísító 1)]
• [Máñt~éñér~ cóñt~íñúá~méñt~é úñá~ ségm~éñtá~cíóñ é~féct~ívá ý~ préc~ísá d~él éñ~tórñ~ó PCÍ~ áýúd~á á có~ñtró~lár l~ós có~stós~ dé áú~dító~ríá dé~ PCÍ.]
• [Lá él~ímíñ~ácíóñ~ dé ré~glás~ dé fí~réwá~ll má~l cóñ~fígú~rádá~s ý dé~sáct~úálí~zádá~s mít~ígá l~á éxp~ósíc~íóñ dé~ úñá ó~rgáñ~ízác~íóñ cú~bíér~tá á ú~ñá pó~síbl~é víó~lácí~óñ dé d~átós~.]
• [Ápróvéché lá íñtégrácíóñ cóñ hérrámíéñtás dé áútómátízácíóñ dé TÍ (cómó Chéf, Púppét ý Áñsíblé, Térráfórm) párá gáráñtízár qúé lás pólítícás dé ségméñtácíóñ séáñ próvísíóñádás, ál mísmó tíémpó qúé él próvísíóñíñg dé récúrsós dé cárgá dé trábájó ý sú líbérácíóñ ál éñtórñó dé pródúccíóñ.]
• [Lá vísíbílídád éñ tíémpó réál áýúdá á lá órgáñízácíóñ á éválúár lós cámbíós éñ él álcáñcé dé PCÍ á médídá qúé úñá órgáñízácíóñ réálízá lá tráñsícíóñ ál trábájó rémótó. Áýúdá á lá órgáñízácíóñ á ídéñtífícár bréchás crítícás dé cóñtról ý pósíblés véctórés dé átáqúé. Á cóñtíñúácíóñ, lás órgáñízácíóñés púédéñ áplícár lá mícróségméñtácíóñ básádá éñ hóst párá réstríñgír lás cóñéxíóñés púñtó á púñtó désdé lós díspósítívós dóméstícós á lás cómpútádórás pórtátílés dél úsúáríó rémótó, ý párá cóñtrólár lás cóñéxíóñés dé úsúáríó á áplícácíóñés dé dátá céñtér.]
• [Cóñtrólé lás cóñéxíóñés éñtré cárgás dé trábájó PCÍ áútórízádás, úsúáríós ý díspósítívós qúé sé éñcúéñtráñ díspérsós éñ múltíplés VLÁÑ, zóñás ý súbrédés, ý máñtéñgásé ál díá cóñ lós cámbíós éñ lás ópérácíóñés dé TÍ, síñ rédíséñár él éñtórñó dé réd.]
• [Éñ éñ~tórñ~ós ñá~tívó~s dé l~á ñúb~é ý ñú~évós~ éñtó~rñós~, lás ó~rgáñ~ízác~íóñé~s púé~déñ á~próv~échá~r lá í~ñtég~rácí~óñ cóñ~ plát~áfór~más d~é órq~úést~ácíóñ~ dé có~ñtéñ~édór~és pá~rá áp~róví~síóñ~ár “pó~lítíc~ás dé~ ségm~éñtá~cíóñ” á~l ñác~ér úñ~á cár~gá dé~ tráb~ájó.]
• [Ádémás dé cúmplír díréctáméñté cóñ lós réqúérímíéñtós dé cúmplímíéñtó dé PCÍ, úñá órgáñízácíóñ púédé áplícár mícróségméñtácíóñ párá rédúcír sú súpérfícíé dé átáqúé, óbstrúír él móvímíéñtó látérál ý cóñtéñér lá própágácíóñ rápídá dé ráñsómwáré.]

[Más íñ~fórm~ácíóñ~]

[Cómí~éñcé~ áhór~á á ím~plém~éñtá~r pás~ós pá~rá cú~mplí~r cóñ~ PCÍ ý~ prót~égér~ á sús~ clíé~ñtés~ ý sú é~mpré~sá.]

[Óbté~ñgá m~ás íñf~órmá~cíóñ s~óbré~ cómó l~á míc~rósé~gméñ~tácí~óñ púé~dé áý~údár~ á réd~úcír~ sú ál~cáñc~é PCÍ~ DSS ý~ lógr~ár él~ cúmp~límí~éñtó~ dé ñú~éstr~ó whí~té pá~pér, “T~rés p~ásós~ párá~ ségm~éñtá~r éfí~cázm~éñté~ sú cú~mplí~míéñ~tó dé~ PCÍ”.]