¿Qué es PCI?
Misión del Consejo de estándares de industria pago tarjeta es mitigar vulnerabilidades de comerciante que amenazan el ecosistema de procesamiento de la tarjeta y crear un foro abierto para el continuo desarrollo, mejoramiento, difusión y aplicación de normas de seguridad para la protección de datos de la cuenta de cliente.

¿Por qué debería interesarme cumplimiento de normas de PCI?
La tarjeta PCI ha establecido como fecha para comenzar la aplicación de todos los comerciantes que aceptan o procesan tarjetas de pago para procesar transacciones cumple con PCI y PCI DSS de julio de 2010. Si el comerciante no cumple el cumplimiento, el proveedor de procesamiento de tarjetas de crédito podría optar por interrumpir sus servicios hasta que el comerciante satisface el cumplimiento de PCI.

¿Qué iniciativas tiene la placa PCI establecidos?
Con el fin de mejorar la seguridad de datos de cuenta, el PCI Security Standards council ha esbozado el siguiente conjunto de prácticas:

Construir y Mantener una Red Segura
1. Instalar y mantener una configuración de firewall para proteger los datos de los titulares de tarjetas
2. No usar valores predeterminados suministrados por el proveedor para las contraseñas de sistema y otros parámetros de seguridad

Proteger los datos de los titulares de tarjetas
3. Proteger los datos almacenados de los titulares de tarjetas
4. Encriptar la transmisión de datos de titulares de tarjetas en las redes públicas y abiertas

Mantener un programa de administración de vulnerabilidad
5. Usar y actualizar regularmente el software antivirus o programas
6. Desarrollar y mantener aplicaciones y sistemas seguros

Aplicar fuertes medidas de Control de acceso
7. Restringir el acceso a los datos del titular por negocios necesidad de conocer
8. Asignar un identificador único a cada persona con acceso al equipo
9. Restringir el acceso físico a los datos de los titulares de tarjetas

Monitorear regularmente y prueba de redes
10. Seguimiento y monitorear todo el acceso a recursos de red y datos de los titulares de tarjetas
11. Probar con regularidad los procesos y sistemas de seguridad

Mantener una política de seguridad de la información
12. Mantener una política que enfrenta la seguridad de la información para los empleados y contratistas

¿Qué es PCI DSS?
PCI DSS abarca un conjunto amplio de normas de seguridad que reflejan las prácticas establecidas por el PCI Security Standards Council. Ha sido adoptado por American Express, MasterCard Worldwide, Visa Inc. Internacional, Discover Financial Services y JCB International y establece las bases para el establecimiento de la adopción universal de la seguridad de los datos se mide a lo largo de todos los comerciantes que almacenan, procesan o datos de la cuenta de cliente de tránsito. Las organizaciones que aceptan o procesan tarjetas de pago deben cumplir con PCI DSS.

Los requisitos son los siguientes:
Requisito 1: Instalar y mantener una configuración de firewall y router para proteger los datos de los titulares de tarjetas
Los Firewalls son dispositivos que controlan el tráfico de equipo permitido en y fuera de la red de una organización y en las zonas sensibles dentro de su red interna. Los enrutadores son hardware o software que conecta dos o más redes.

Requisito 2: No usar valores predeterminados suministrados por el proveedor para las contraseñas de sistema y otros parámetros de seguridad
La forma más fácil para un hacker acceder a su red interna es tratar las contraseñas predeterminadas o ataques basados en la configuración de software de sistema por defecto en su infraestructura de tarjeta de pago. Demasiado a menudo, los comerciantes no cambiar contraseñas predeterminadas o valores durante la implementación. Esto es similar a dejar tu tienda desbloqueado físicamente cuando se vaya a casa por la noche. Contraseñas predeterminadas y la configuración de red más dispositivos son ampliamente conocidas. Esta información, combinada con las herramientas de hackers que muestran lo que son dispositivos de la red puede hacer entrada no autorizada una tarea sencilla: si han podido cambiar los valores predeterminados.

Requisito 3: Proteger almacena datos de titulares de tarjetas
En general, no titulares nunca deben almacenarse a menos que sea necesario satisfacer las necesidades del negocio. Nunca debe almacenarse datos sensibles sobre la banda magnética o chip. Si su organización almacena PAN, es crucial para hacerla ilegibles datos así como los datos transmitidos a través de una red.

Requisito 4: encriptar la transmisión de datos de titulares de tarjetas a través de redes abiertas públicas
Los delincuentes cibernéticos pueden poder interceptar las transmisiones de datos del titular sobre redes públicas y abiertas, así que es importante evitar que su capacidad para ver estos datos. El cifrado es una tecnología que se utiliza para representar datos transmitidos ilegible por cualquier persona no autorizada.

Requisito 5: Usar y actualizar regularmente el software antivirus o programas
Muchas vulnerabilidades y virus maliciosos entren en la red a través de correo electrónico de los empleados y otras actividades en línea. Software antivirus deberá utilizarse en todos los sistemas afectados por malware para proteger sistemas de actual y evolución de las amenazas de software malintencionado.

Requisito 6: Desarrollar y mantener sistemas seguros y aplicaciones
Vulnerabilidades de seguridad en sistemas y aplicaciones pueden permitir que los delincuentes acceder a PAN y otros datos de los titulares de tarjetas. Muchas de estas vulnerabilidades son eliminados mediante la instalación de parches de seguridad suministradas por el proveedor, que realizan un trabajo de reparación rápida para una parte específica del código de programación. Todos los sistemas críticos deben tener los parches de software más recientemente lanzados para evitar la explotación. Prácticas para desarrollar aplicaciones de pagos de codificación segura, procedimientos de control de cambio y otras prácticas de desarrollo de software seguro deben seguirse.

Requisito 7: Restringir el acceso a los datos del titular por la necesidad de conocer de negocios
Para asegurarse de que los datos críticos se accede sólo por personal autorizado, sistemas y procesos en lugar de limitar acceso basarse en necesidad de conocer y de acuerdo con responsabilidades de trabajo. Necesidad de conocer es cuando los derechos de acceso concedidos a sólo la menor cantidad de datos y los privilegios necesitadas para realizar un trabajo.

Requisito 8: asignar una identificación única a cada persona con acceso a computadoras
Asignar una identificación única (ID) a cada persona que tenga acceso asegura que son realizadas por acciones realizadas sobre los sistemas y datos críticos y pueden atribuirse a los usuarios conocidos y autorizados.

Requisito 9: Restringir el acceso físico a los datos de los titulares de tarjetas
Cualquier físico acceso a datos o sistemas titular de casa datos brinda la oportunidad a las personas a tener acceso o quitar dispositivos, datos, sistemas o copias y deberían restringirse apropiadamente.

Requisito 10: Rastrear y monitorear todo el acceso a recursos de red y datos de los titulares de tarjetas
Establecer un proceso para vincular todo el acceso a los componentes del sistema a cada usuario individual – especialmente el acceso realizado con privilegios administrativos.

Requisito 11: Probar con regularidad los sistemas de seguridad y procesos
Las vulnerabilidades se están descubriendo continuamente por personas malintencionadas e investigadores y ser introducida por el nuevo software. Componentes del sistema, los procesos y software personalizado deben probarse frecuentemente para garantizar la seguridad se mantiene en el tiempo. Pruebas de controles de seguridad es especialmente importante para los cambios ambientales tales como la implementación de software nuevo o cambiar las configuraciones del sistema.

Requisito 12: Mantener una política de seguridad de la información
Una política de fuerte seguridad establece el tono para la seguridad que afectan a toda la empresa de una organización, y se informa a los empleados de sus esperados funciones relacionadas con la seguridad. Todos los empleados deben ser conscientes de la sensibilidad de los datos del titular y sus responsabilidades para protegerla.


¿Cómo me afecta?
Si están utilizando integrado dentro de nuestro sistema de POS de procesamiento de tarjetas de crédito, proporcionamos una versión compatible con PCI. Hacer la transición a esta versión aliviará el riesgo de vulnerabilidades que amenazan la seguridad de los datos de información de su tarjeta de pago al cliente y también asegurará que perfectamente recibir servicios de procesamiento de tarjetas de crédito del proveedor, que puede elegir descontinuar los servicios si no estás en el cumplimiento de PCI. El plazo es a partir de julio de 2010 para las empresas de procesamiento de tarjetas de crédito que requieren estos mandatos de todos los comerciantes que aceptan o procesan tarjetas de pago. Le recomendamos encarecidamente que asegure su sistema POS para minimizar el riesgo de vulnerabilidades basados en comerciante.

¿Dónde puedo encontrar más información acerca de esto?
Para leer más sobre el cumplimiento de PCI:

Arbelsoft PCI-DSS Guía de Implementación

PCI Security Standards Council Sitio Web
www.pcisecuritystandards.org

Preguntas Frecuentes (FaQ)
www.pcisecuritystandards.org/faq.htm

Información de Membresía
www.pcisecuritystandards.org/participation/join.shtml

Webinars
www.pcisecuritystandards.org/news_events/events.shtml

Formación (de los asesores)
QSAs : www.pcisecuritystandards.org/education/qsa_training.shtml
PA-DSS : www.pcisecuritystandards.org/education/pa-dss_training.shtml

PTS dispositivos aprobados
Seguridad de las transacciones PIN (PTS) Dispositivos: www.pcisecuritystandards.org/security_standards/ped/pedapprovallist.html
Solicitudes de pago: www.pcisecuritystandards.org/security_standards/pa_dss.shtml

PCI Versión estándar de seguridad de datos 1.2 (PCI DSS)
El estándar: www.pcisecuritystandards.org/tech/download_the_pci_dss.htm
Documentos de Soporte: www.pcisecuritystandards.org/security_standards/pci_dss_supporting_docs.shtml
Asesores Aprobados y los Proveedores de Escaneo: www.pcisecuritystandards.org/about/resources.shtml


Navegando el Estándar: www.pcisecuritystandards.org/security_standards/pci_dss_supporting_docs.shtml
Cuestionario de Autoevaluación: www.pcisecuritystandards.org/saq/index.shtml
Glosario: www.pcisecuritystandards.org/security_standards/pci_dss_supporting_docs.shtml
Aprobado QSAs: www.pcisecuritystandards.org/qsa_asv/find_one.shtml
Aprobado ASVs: www.pcisecuritystandards.org/qsa_asv/find_one.shtml