PCI-DSS 4.0 llegará antes de lo que piensa, y es una oportunidad para elevar la ciberresiliencia de su organización.

Una versión de este artículo apareció en Security Boulevard. Ha sido actualizado y distribuido aquí.

A principios de este año, el PCI Security Standards Council presentó la versión 4.0 del Estándar de Seguridad de Datos para la Industria de Tarjeta de Pago (PCI DSS). Aunque las organizaciones no necesitan cumplir totalmente con la versión 4.0 hasta marzo de 2025, esta actualización es la más transformadora hasta la fecha y requerirá que la mayoría de las empresas evalúen (y probablemente actualicen) procesos de seguridad complejos y elementos de su infraestructura tecnológica. Esto se suma a la implementación de formación en concienciación sobre seguridad basada en roles y educación periódica en codificación segura para los desarrolladores.

Esto representa una oportunidad de oro para que las empresas del sector BFSI mejoren seriamente sus programas de seguridad, dando paso a una nueva era de ciberresiliencia centrada en las personas.

¿Cuáles son los mayores desafíos para prepararse ante el PCI DSS 4.0?

Al igual que el programa de seguridad de una organización es integral, con complejidades únicas según sus necesidades comerciales y recursos disponibles, los nuevos estándares PCI DSS abarcan mucho terreno. Sin embargo, revelan un cambio marcado hacia la flexibilidad en los enfoques para cumplir con los requisitos de seguridad, y en una industria donde las herramientas, las amenazas, la estrategia y las medidas de cumplimiento pueden cambiar en un instante, esto es significativo.

PCI DSS 4.0 adopta el concepto de que existen muchas formas de lograr el mismo objetivo de mejores prácticas de seguridad hermética. Esto es cierto, pero parece más adecuado para organizaciones con una madurez de seguridad avanzada y deja mucho margen para el error, especialmente para aquellos que no han sido realistas en su evaluación de su verdadera madurez de seguridad interna. En última instancia, las empresas deben estar preparadas para abordar la seguridad como un proceso continuo y evolutivo, no como un ejercicio de "configurar y olvidar". Una cultura de seguridad sólida es imprescindible, con un compromiso de concienciación sobre seguridad en toda la organización.

Y aquellos que trabajan con herramientas a nivel de código, el grupo de desarrollo, deben estar capacitados para ofrecer software seguro y conforme a las normas en cualquier entorno empresarial que maneje activos y transacciones digitales.

¿Están sus desarrolladores preparados para entregar software conforme a la normativa?

Los desarrolladores son una parte integral para alcanzar un estado de excelencia en la seguridad del software, y esto es especialmente relevante más allá del simple cumplimiento simbólico de PCI DSS. Es crucial que los desarrolladores comprendan el panorama general de PCI DSS 4.0 en términos de lo que pueden controlar e integrarlo como parte de su enfoque predeterminado para la creación de software.

Tres áreas clave representan los cambios más relevantes para el equipo de desarrollo, y se pueden desglosar de la siguiente manera:

• Autenticación: Un plan viable para el control de acceso siempre ha sido una parte clave del cumplimiento de PCI; sin embargo, la versión 4.0 eleva el nivel de una manera que requerirá una implementación cuidadosa tanto interna como externamente. La autenticación multifactor (MFA) se convertirá en estándar, al igual que las reglas reforzadas sobre la complejidad de las contraseñas y los tiempos de espera.
  
  Dado que los problemas de seguridad de autenticación y control de acceso son ahora los más comunes a los que se enfrenta un desarrollador promedio, es imperativo implementar una formación precisa para ayudarles a identificar y solucionar estos problemas en el código real.
  
  
• Cifrado y gestión de claves: Operamos en un mundo donde podemos acceder a parte de nuestra información más confidencial a través de múltiples puntos de acceso, como nuestra banca en línea. Con estos datos de alto valor en riesgo, el cifrado y las prácticas sólidas de criptografía son imprescindibles. Los desarrolladores deben asegurarse de mantener conocimientos actualizados sobre dónde se transmite la información, cómo pueden acceder a ella los usuarios e incluso, en caso de que caiga en manos equivocadas, garantizar que sea ilegible para los actores de amenazas.
  
  
• Software malicioso: En las directrices anteriores, los controles de seguridad en torno a la protección del software contra código malicioso se denominaban "software antivirus", pero esto simplifica demasiado lo que debería ser un enfoque multicapa que proteja contra mucho más que solo virus. Las soluciones antimalware deben aplicarse siempre que sea necesario, y el registro y la supervisión continuos son obligatorios.
  
  También es vital que los desarrolladores tengan rutas de aprendizaje que cubran la identificación de componentes vulnerables, especialmente cuando la mayoría de las bases de código dependen al menos en parte de código de terceros.

¿Qué constituye "suficiente" formación para los desarrolladores?

Al igual que las recomendaciones anteriores, PCI DSS 4.0 propone que los desarrolladores reciban formación "al menos" anualmente. Sin embargo, si la implicación es que una vez al año es suficiente para la creación de software seguro, no es ni de lejos adecuado y es poco probable que resulte en un software más seguro y conforme a las normas.

La educación de los desarrolladores debe comenzar con una base en el OWASP Top 10, así como en cualquier otra vulnerabilidad relevante para el lenguaje y crítica para el negocio. Esto debería ser parte de un programa continuo, con miras a seguir desarrollando esas habilidades e integrar la seguridad no solo en el desarrollo de software desde el principio, sino también en su mentalidad y enfoque hacia su función. Además, las funciones y responsabilidades deben ser sumamente claras para el grupo de desarrollo y sus gerentes. La seguridad debe ser una responsabilidad compartida, pero es justo documentar las expectativas y garantizar que se puedan cumplir adecuadamente.

Con el tiempo disponible para prepararse para el cumplimiento de PCI DSS 4.0, es posible lograr avances significativos en las mejoras de la cultura de seguridad en toda la organización, y ese es un terreno fértil para cultivar el grupo de desarrolladores más consciente de la seguridad que haya tenido jamás.

‍