El Estándar de seguridad de datos de aplicaciones de pago (PA-DSS) desempeña un papel integral en la seguridad de los pagos. Para garantizar el tratamiento seguro de los datos de los titulares de tarjetas durante las transacciones, el PA-DSS establece normas para los proveedores de software y otras partes implicadas en el proceso de pago. Entender qué es el PA-DSS y qué se exige para su cumplimiento es esencial para la gestión del cumplimiento.
Definición de PA-DSS
El Estándar de seguridad de datos de aplicaciones de pago (PA-DSS) es un conjunto de normas de seguridad mundiales diseñadas para ayudar a los proveedores de software a desarrollar aplicaciones de pago seguras. Estas aplicaciones no almacenan datos prohibidos, como datos completos de banda magnética, CVV2 o PIN, y garantizan que su software cumple las normas de seguridad de datos del sector de tarjetas de pago (PCI-DSS).
¿Qué es PCI-DSS?
La Norma de Seguridad de Datos del Sector de Tarjetas de Pago (PCI-DSS) es crucial, ya que establece la referencia para proteger los datos de los titulares de tarjetas en todo el mundo. El cumplimiento de la PCI ayuda a prevenir las filtraciones de datos y reduce el riesgo de fraude, infundiendo confianza a los clientes y protegiendo la reputación de las empresas.
¿Cuál es la diferencia entre PCI-DSS y PA-DSS?
La PC DSS se aplica a todas las empresas que almacenan, transmiten y procesan datos de titulares de tarjetas. Esta norma abarca todo el ecosistema del entorno de datos del titular de la tarjeta, abordando la seguridad de las aplicaciones de pago pero sin entrar en detalles sobre las propias aplicaciones.
Por otro lado, el PA-DSS se aplica únicamente a los proveedores que desarrollan aplicaciones de pago para terceros. El PA-DSS es una norma gestionada por el Consejo sobre Normas de Seguridad de la PCI (PCI SSC), anteriormente bajo la supervisión de Visa Inc. La norma garantiza que estas aplicaciones no almacenen datos prohibidos, como la banda magnética completa, el código o valor de validación de la tarjeta o el PIN.
Otra diferencia crítica entre los dos marcos es que la obtención de la certificación PA-DSS significa que una aplicación cumple la norma, pero no significa automáticamente que la empresa sea conforme a PCI-DSS.
¿A quién se aplica el PA-DSS?
Aunque el PA-DSS se aplica predominantemente a terceros proveedores de aplicaciones de pago, también se extiende a las empresas que desarrollan aplicaciones de pago para su uso privado. No se aplica a las aplicaciones de pago ofrecidas por procesadores de pagos ni a las aplicaciones que funcionan únicamente como pasarela hacia un procesador.
Requisitos de cumplimiento del PA-DSS
-
No conservar la banda magnética completa, el código o valor de validación de la tarjeta ni los datos del bloque de PIN
Las aplicaciones de pago deben estar diseñadas para garantizar que los datos sensibles no se almacenan después de la autorización.
-
Proteger los datos almacenados de los titulares de tarjetas
Los datos almacenados de los titulares de tarjetas deben estar protegidos con un cifrado adecuado u otras metodologías seguras. Los datos de los titulares de tarjetas nunca deben almacenarse en un servidor conectado a Internet para evitar fugas de datos.
-
Proporcionar funciones de autenticación seguras
La aplicación de pago debe incluir una autenticación de usuario segura, como contraseñas complejas, cifrado o autenticación de dos factores.
-
Registrar la actividad de las solicitudes de pago
Todas las acciones de la aplicación de pago deben registrarse y los registros deben ser accesibles a efectos de auditoría.
-
Desarrollar aplicaciones de pago seguras
El proceso de desarrollo de software debe seguir prácticas de codificación seguras, y las aplicaciones resultantes deben someterse a pruebas exhaustivas y revisiones del código.
-
Proteger las transmisiones inalámbricas
Los datos transmitidos deben estar encriptados si la aplicación de pago utiliza tecnología inalámbrica.
-
Probar las aplicaciones de pago para solucionar las vulnerabilidades
Deben realizarse pruebas periódicas para identificar y abordar cualquier vulnerabilidad de seguridad en la aplicación de pago.
-
Facilitar la implantación de redes seguras
La aplicación de pago no debe interferir con el uso de medidas de seguridad de la red, tales como el firewall.
-
Facilitar las actualizaciones remotas seguras de software
Si la aplicación de pago permite actualizaciones remotas, éstas deben realizarse de forma segura para evitar accesos no autorizados.
-
Garantizar un acceso remoto seguro a la aplicación de pago
Cualquier acceso remoto a la aplicación de pago debe ser seguro.
-
Cifrar el tráfico sensible en redes públicas
Los datos sensibles transmitidos a través de redes públicas deben utilizar cifrado para evitar su interceptación.
-
Cifrar todos los accesos administrativos que no sean de consola
El acceso administrativo a la aplicación de pago debe cifrarse si se realiza a través de una red.
-
Proporcionar a los clientes, distribuidores e integradores documentación didáctica y programas de formación actualizados
Los proveedores de software deben proporcionar documentación y formación suficientes para garantizar que los usuarios finales puedan implantar y gestionar de forma segura sus aplicaciones de pago.
Cómo obtener la conformidad con el PA-DSS
1. Evaluación de la aplicación de pagos
El primer paso para obtener la conformidad con PA-DSS implica una evaluación en profundidad de la aplicación de pago con respecto a los requisitos del PA-DSS.
2. Corrección de las vulnerabilidades identificadas
Cualquier vulnerabilidad detectada durante la evaluación debe abordarse y solucionarse.
3. Validación
Una vez corregidas todas las vulnerabilidades, un Asesor de Seguridad Calificado para Aplicaciones (PA-QSA) debe validar la aplicación.
4. Elaboración del informe
El PA-QSA elaborará un informe de validación que se enviará al PCI SSC (Consejo de Estándares de Seguridad de la industria de tarjetas de pago).
5. Listado en el sitio web del PCI SSC
Una vez que el PCI SSC acepta el informe, la aplicación de pago aparece en su sitio web como conforme con el PA-DSS.
PA-DSS para empresas
Comprender y aplicar el PA-DSS es esencial para cualquier empresa que desarrolle o utilice aplicaciones de pago. No sólo contribuye a garantizar el tratamiento seguro de los datos sensibles de los titulares de tarjetas, sino que también ayuda a las organizaciones a mostrar su compromiso con la seguridad de sus clientes. Siguiendo los pasos descritos, las empresas pueden lograr la conformidad con el estándar PA-DSS y contribuir a un entorno de pagos más seguro.
