Con el apoyo adecuado, los desarrolladores pueden llevar a su organización a un cumplimiento superior de PCI DSS 4.0.

Una versión de este artículo apareció originalmente en DZone. Ha sido actualizado y distribuido aquí.

La versión 4.0 del Estándar de Seguridad de Datos para la Industria de Tarjeta de Pago (PCI DSS) cambiará casi todo lo relacionado con la seguridad para cualquier empresa u organización que acepte pagos electrónicos, que es la gran mayoría. Y no se equivoque, esta actualización será transformadora para la mayoría de las empresas, ya que les exigirá mejorar muchos de sus procesos de seguridad y, potencialmente, implementar nuevas protecciones en cuanto a cifrado, autenticación, control de acceso, gestión de claves y otras áreas que quizás antes no habían adoptado con rapidez.

Debido a la complejidad de los nuevos requisitos, las organizaciones tienen hasta marzo de 2025 para cumplir plenamente con la normativa. Pero esa fecha límite llegará antes de lo que la mayoría piensa. De hecho, muchas empresas con visión de futuro ya están tomando medidas para permitir que sus desarrolladores naveguen por el panorama de cumplimiento pendiente.

Más allá de la formación de simple cumplimiento

Los desarrolladores de una organización escriben el código del que depende gran parte de su infraestructura, por lo que tiene sentido que sean un buen punto de partida a la hora de implementar los nuevos requisitos de PCI DSS 4.0. Sin embargo, la mayoría de los desarrolladores necesitarán apoyo estratégico para mejorar sus competencias como parte de un programa actualizado de concienciación sobre seguridad. Esto es para garantizar que tengan la experiencia necesaria para implementar y mantener los niveles más altos de seguridad exigidos por el nuevo estándar.

De hecho, el requisito 12.6.2 de PCI DSS 4.0 ordena a las organizaciones implementar un programa de seguridad formal y mantenerlo actualizado con la información sobre amenazas y técnicas defensivas más recientes. Con el estándar anterior, los programas de seguridad básicos o incluso la formación anual de cumplimiento de estilo "marcar la casilla" cumplían el objetivo. Este nuevo estándar exige mucho más, incluso requiere que los programas de formación en seguridad aborden amenazas y vulnerabilidades específicas dentro del entorno de una empresa. Por ejemplo, si el robo de identidad es un gran problema para una organización, la formación debe abordar ese punto.

Está claro que una formación mínima ya no será adecuada, ni desde un punto de vista práctico ni para cumplir con el nuevo estándar. En su lugar, las organizaciones deben proporcionar a los desarrolladores rutas de aprendizaje integrales y ágiles que les enseñen a aplicar las mejores prácticas de seguridad a su trabajo real y cotidiano. Al ir más allá de los esfuerzos mínimos de cumplimiento y proporcionar a los desarrolladores los recursos que necesitan para comprender realmente la seguridad, las organizaciones pueden capacitarlos para tomar mejores decisiones de seguridad en general, al tiempo que cumplen con PCI DSS 4.0.

La buena noticia es que muchos de los nuevos requisitos de PCI DSS 4.0 se dirigen a áreas con las que la mayoría de los desarrolladores ya están familiarizados, como la autenticación, el cifrado, el control de acceso, la gestión de claves, entre otras. Cuando los desarrolladores reciben recursos adecuados, relevantes y familiares para desarrollar sus habilidades, las organizaciones pueden prepararlos más fácilmente para los nuevos estándares y las mayores responsabilidades que exigirá PCI DSS 4.0.

Usar PCI DSS 4.0 como trampolín hacia una mejor seguridad general

Si bien satisfacer las necesidades de los desarrolladores con una buena educación en seguridad será clave para cumplir con éxito el nuevo estándar PCI DSS 4.0, el esfuerzo de llevar a una organización hacia una mejor ciberseguridad no tiene por qué terminar ahí. Sí, los requisitos son rigurosos, pero dado que la mayoría de las organizaciones tendrán que trabajar para cumplirlos, no hay razón para no utilizar ese esfuerzo como trampolín para lanzar una mejor concienciación y formación en seguridad en general. Esto no solo ayudará a una organización a cumplir con los requisitos normativos, sino que también comenzará a fomentar una cultura de seguridad positiva que priorice las mejores prácticas y garantice que todos en la organización trabajen hacia el mismo objetivo de seguridad primero.

Hay una curva de aprendizaje, por supuesto, pero es probable que los desarrolladores estén de acuerdo con tal esfuerzo. En una encuesta de Evans Data a más de 1,200 desarrolladores profesionales que trabajan activamente en todo el mundo, la gran mayoría dijo que apoyaba el concepto de crear código seguro y establecer una mejor cultura de seguridad en sus organizaciones. Está claro que la mayoría de los desarrolladores agradecen un cambio estratégico y respaldado hacia la codificación segura y una repriorización de la seguridad como parte del proceso de desarrollo.

Las actualizaciones de seguridad exigidas por PCI DSS 4.0 brindan una excusa perfecta para que las empresas inviertan en mejores prácticas y formación en seguridad, y para adoptar una mejor cultura de seguridad general dentro de su organización.

Los desarrolladores pueden alcanzar más fácilmente niveles más altos de madurez en seguridad si sus empresas invierten en un programa que les permita integrar sus habilidades en codificación segura con herramientas y formación relevantes. Esto puede, a su vez, ayudar a crear una cultura de seguridad donde los desarrolladores estén más capacitados para tomar mejores decisiones que mejoren la postura de seguridad general de su organización mucho más allá de los rigurosos nuevos estándares PCI DSS 4.0.
‍