PCI DSS describe 12 requisitos específicos, divididos en seis objetivos generales. Aquí tienes un resumen rápido:

• Construir y mantener una red segura

• Instalar y mantener firewalls para proteger los datos.

• Evitar contraseñas predeterminadas y usar credenciales sólidas.

• Proteger los datos de los tarjetahabientes

• Cifrar los datos al almacenarlos.

• Habilitar el cifrado para todas las transmisiones a través de redes públicas.

• Mantener un programa de gestión de vulnerabilidades

• Mantener actualizado el software antivirus.

• Desarrollar y mantener aplicaciones seguras.

• Implementar controles de acceso sólidos

• Restringir el acceso a los datos de los tarjetahabientes según el principio de "necesidad empresarial de saber".

• Asignar identificadores únicos para el acceso y restringir la entrada física.

• Monitorear y probar las redes regularmente

• Registrar y rastrear todo acceso a los datos de los tarjetahabientes.

• Probar los sistemas de seguridad con regularidad.

• Mantener una política de seguridad de la información

• Asegurarse de que cada empleado entienda y siga los protocolos de seguridad.

Niveles de cumplimiento normativo con PCI DSS

Según el número y tipo de transacciones procesadas anualmente, los negocios se clasifican en cuatro niveles de cumplimiento normativo con PCI DSS:

• Nivel 1: Más de 6 millones de transacciones anuales.

• Nivel 2: Entre 1 y 6 millones de transacciones anuales.

• Nivel 3: Entre 20.000 y 1 millón de transacciones de comercio electrónico anuales.

• Nivel 4: Menos de 20.000 transacciones anuales de comercio electrónico o hasta 1 millón de transacciones físicas.

Cada nivel conlleva obligaciones de cumplimiento específicas, como auditorías externas, cuestionarios de autoevaluación (SAQ) y escaneos trimestrales de vulnerabilidades.

Consecuencias de no cumplir

Ignorar PCI DSS es arriesgado. No cumplir puede generar una serie de sanciones financieras y reputacionales, entre ellas:

• Multas por filtraciones de datos: Las redes de tarjetas pueden imponer sanciones más altas después de una filtración.

• Pérdida de confianza: Los clientes esperan seguridad de datos; no cumplir puede alejarlos hacia la competencia.

• Demandas: Las filtraciones suelen generar importantes responsabilidades legales.

Por ejemplo, un negocio que sufre una filtración de datos no solo podría enfrentar multas, sino también un aumento en las tarifas de procesamiento o incluso perder por completo el acceso al procesamiento de pagos con tarjeta.