PCI DSS (norma de seguridad de datos del sector de tarjetas de pago)

PCI DSS es un conjunto de 12 requisitos principales, cada uno con controles detallados y procedimientos de prueba, concebido para proteger los datos de las cuentas de pago y fomentar medidas de seguridad coherentes en todo el mundo 1. La norma está redactada para toda entidad que almacene, procese o transmita datos del titular de la tarjeta o datos de autenticación confidenciales, o que pueda afectar a la seguridad de esos datos 3. Una agencia de viajes que recibe datos de tarjetas, ya sea en papel, por teléfono, por correo electrónico o mediante un formulario web, forma parte de ese grupo. Según la norma, desde que una empresa almacena, procesa o transmite el número de cuenta principal (PAN), existe un entorno de datos del titular de la tarjeta y los requisitos se aplican a dicho entorno 5.

La norma por sí misma no establece si una agencia debe validar formalmente su cumplimiento. Eso lo deciden las organizaciones que gestionan los programas de cumplimiento, como las marcas de pago y los adquirentes, por lo que la agencia debe consultar a su adquirente qué se espera de ella 3. Externalizar los pagos no elimina la responsabilidad: la agencia debe seguir asegurándose de que el tercero proteja los datos, y serán aplicables los requisitos sobre la gestión de proveedores de servicios 35.

En la práctica, una agencia debería:

• Mantener al mínimo los datos de cuenta almacenados y no conservar nunca datos de autenticación confidenciales, como el código de verificación de la tarjeta, después de la autorización, aunque estén cifrados 6.
• Hacer ilegible el PAN almacenado 6.
• Evitar el envío de PAN sin protección por correo electrónico o mensajería instantánea 8.
• Proteger o destruir los registros en papel que contengan datos de tarjetas 5.
• Contar con un plan de respuesta ante incidentes, que se aplica a todas las entidades 5.
• Si los datos de tarjetas llegan por un canal no previsto, incorporar ese canal al alcance y protegerlo, o bien eliminar los datos de forma segura e impedir que el canal vuelva a utilizarse 4.

Cuando la legislación local entre en conflicto con la norma, prevalece la ley 2.