Glosario
Qué es PCI DSS — el estándar de seguridad para manejar datos de tarjetas de crédito
PCI DSS es el estándar de seguridad internacional para los negocios que manejan datos de tarjetas de crédito. Explicamos a quién aplica, qué exige — cifrado, control de acceso, monitorización — y la opción más segura de todas: no guardar los datos de tarjeta tú mismo. Planteado desde la defensa.
PCI DSS es inevitable si manejas datos de tarjeta. Aquí tienes el alcance y lo esencial — y la opción más segura de todas, «no guardarlos» — en términos de defensa.
Qué exige (a grandes rasgos)
Menos sobre una tecnología concreta que sobre una postura de operación: proteger los datos sensibles en el menor alcance posible, en profundidad, y dejar constancia.
Proteger (cifrado, control de acceso)
Cifra los datos almacenados con gestión de claves, cifra los datos en tránsito y aplica control de acceso con mínimo privilegio (limita quién puede tocar los datos de tarjeta). Autenticación vs autorización es el cimiento.
Endurecer (sin valores por defecto, gestión de vulnerabilidades)
Elimina contraseñas por defecto y credenciales débiles, y monitoriza los CVE de las dependencias y parchea. Antimalware incluido.
Registrar (registro, monitorización, pruebas periódicas)
Guarda registros de quién hizo qué y cuándo, y monitoriza. Escanea y prueba con regularidad para mantener el estándar.
La opción más segura: reducir el alcance
La visión de este sitio: la mejor defensa es no guardarlos
Cumplir cada requisito de PCI DSS uno a uno es mucho trabajo; lo que más ayuda es el diseño en el que no guardas ningún número de tarjeta en tu propio sistema. Deja el procesamiento de tarjetas a un proveedor conforme y trabaja solo con una referencia tokenizada, y el alcance de tu entorno se reduce drásticamente. Es el mismo principio que sigue este sitio: con los datos sensibles, no los guardes, no los coloques, minimízalos — eso es a la vez cumplimiento y la defensa más fuerte. Comprueba que las pantallas y el tráfico que manejan tarjetas nunca acaben en directorios públicos ni en registros (→ mantén los secretos fuera de directorios públicos).
La idea relacionada
Ampliar tu alcance (difícil)
- almacenar números de tarjeta en tu propia base de datos
- muchos servidores y personas pueden tocar los datos de tarjeta
- crece la superficie de auditoría y cifrado, la carga se dispara
Reducir tu alcance (seguro)
- deja el procesamiento de tarjetas a un proveedor conforme
- solo trabajas con una referencia tokenizada
- alcance minimizado, el riesgo de filtración se reduce con él
Sigue leyendo
- Fundamentos: autenticación vs autorización (acceso con mínimo privilegio) · criptografía de clave pública (el cimiento del cifrado)
- Práctica: mantén los secretos fuera de directorios públicos · monitorizar los CVE de las dependencias
- Relacionado: GDPR (protección de datos personales) · OWASP Top 10 · la historia de la seguridad (cronología)
Fuente
- PCI Security Standards Council (oficial): pcisecuritystandards.org
FAQ
Q¿A quién aplica PCI DSS?
A cualquier negocio que almacene, procese o transmita datos de tarjetas de crédito (números de tarjeta, etc.) — tiendas de comercio electrónico, tiendas físicas, SaaS que manejan pagos. El rigor de la prueba escala con el volumen de transacciones, pero 'poco volumen' no significa 'exento'. En el momento en que tocas datos de tarjeta, el estándar entra en juego.
Q¿Qué exige realmente PCI DSS?
A grandes rasgos: proteger la red (cortafuegos, etc.), cifrar los datos almacenados con gestión de claves, eliminar valores por defecto y credenciales débiles, control de acceso con mínimo privilegio, cifrar los datos en tránsito, gestión de vulnerabilidades (parcheo, antimalware), registro y monitorización, y pruebas periódicas. Menos sobre una tecnología concreta que sobre una postura de operación: proteger los datos sensibles en el menor alcance posible, en profundidad, y dejar constancia.
Q¿Cuál es la mejor forma de reducir la carga de cumplimiento?
No guardar los números de tarjeta en tu propio sistema para empezar. Deja el procesamiento de tarjetas a un proveedor de pagos conforme y trabaja solo con una referencia tokenizada, y el alcance de tu entorno se reduce drásticamente. Los datos que no guardas no pueden filtrarse — la defensa más fuerte, mucho más allá de las tarjetas.