Preparación para el cumplimiento de PCI-DSS 4.0

Evalúe su infraestructura y procesos para cumplir con los requisitos de PCI-DSS

Actualizaciones clave y plazos para los nuevos requisitos de PCI-DSS 4.0

PCI-DSS 4.0 introduce actualizaciones para mejorar la seguridad de los datos de los titulares de tarjetas, abordando los riesgos actuales y los avances tecnológicos en la industria de tarjetas de pago. Las revisiones permiten a las organizaciones adoptar medidas de seguridad personalizadas si demuestran el cumplimiento de los objetivos de seguridad, extendiendo la autenticación multifactor a todos los accesos en el entorno de datos de los titulares de tarjetas y fortaleciendo el cifrado en todas las redes. Además, se pone mayor énfasis en el análisis y la mitigación continua de riesgos, así como en la mejora de las capacidades para la detección y respuesta oportuna ante incidentes de seguridad. Estos nuevos requisitos cuentan con un período de transición para dar tiempo a las organizaciones a adoptar la nueva versión mientras mantienen el cumplimiento bajo los estándares existentes.

Por qué los CISO deberían priorizar las últimas actualizaciones de PCI-DSS

Cumplir con estos estándares actualizados es crucial no solo para mantener el cumplimiento, sino también para protegerse contra amenazas y riesgos cibernéticos nuevos y emergentes. Al implementar estos estándares, las organizaciones pueden ser resilientes ante las brechas, protegiendo así su reputación y evitando multas potencialmente elevadas por incumplimiento.

Fecha de entrada en vigor de DSS 4.0: marzo de 2024; actualización obligatoria para marzo de 2025.

PCI-DSS 4.0 enfatiza la importancia de integrar procesos de seguridad continuos en las operaciones comerciales diarias

El cumplimiento no puede ser solo una evaluación única. Este enfoque es vital para los CISO encargados de fomentar una cultura de concienciación sobre la seguridad y una gestión proactiva de riesgos dentro de sus organizaciones. Adoptar PCI-DSS 4.0 también ayuda a generar valor empresarial al construir una infraestructura de seguridad sólida que respalde entornos de pago seguros y protegidos.

¿Están sus desarrolladores preparados para entregar software conforme a la normativa?

Los desarrolladores son una parte integral, aunque a menudo subutilizada, para alcanzar la excelencia en la seguridad del software. Es crucial que los desarrolladores comprendan el panorama general de PCI DSS 4.0 y qué pueden controlar e integrar como parte de su enfoque predeterminado para la creación de software.

El requisito 6 de PCI DSS describe las expectativas para el desarrollo y mantenimiento de software seguro

Esto incluye una variedad de elementos que van desde estándares de desarrollo seguro y capacitación de desarrolladores hasta la gestión de configuración y control de cambios. Cualquier organización que desarrolle software utilizado en una red de datos de titulares de tarjetas (CHD) debe cumplir con estos mandatos.

Como se describe en el requisito 6.2.2, el personal de desarrollo de software que trabaja en software a medida y personalizado debe recibir capacitación al menos una vez cada 12 meses en los siguientes aspectos:

• Sobre seguridad de software relevante para su función laboral y lenguajes de desarrollo.
• Incluyendo diseño de software seguro y técnicas de codificación segura.
• Incluyendo cómo utilizar las herramientas de prueba de seguridad para detectar vulnerabilidades en el software.

El estándar detalla además que la capacitación debe incluir al menos los siguientes elementos:

• Lenguajes de desarrollo en uso
• Diseño de software seguro
• Técnicas de codificación segura
• Uso de técnicas/métodos para encontrar vulnerabilidades en el código
• Procesos para evitar la reintroducción de vulnerabilidades previamente resueltas

Además, los desarrolladores deben estar familiarizados con TODAS las técnicas de ataque (descritas en el Requisito 6.2.4). Esto incluye una lista de categorías de ataque diseñadas para servir como ejemplos:

• Ataques de inyección, incluidos SQL, LDAP, XPath u otros fallos de comando, parámetro, objeto, fallo o tipo de inyección.
• Ataques a datos y estructuras de datos, incluidos intentos de manipular búferes, punteros, datos de entrada o datos compartidos.
• Ataques al uso de criptografía, incluidos intentos de explotar implementaciones, algoritmos, conjuntos de cifrado o modos de operación criptográficos débiles, inseguros o inapropiados.
• Ataques a la lógica empresarial, incluidos intentos de abusar o eludir características y funcionalidades de la aplicación mediante la manipulación de API, protocolos y canales de comunicación, funcionalidad del lado del cliente u otras funciones y recursos del sistema/aplicación. Esto incluye cross-site scripting (XSS) y falsificación de solicitudes entre sitios (CSRF).
• Ataques a mecanismos de control de acceso, incluidos intentos de eludir o abusar de mecanismos de identificación, autenticación o autorización, o intentos de explotar debilidades en la implementación de dichos mecanismos.
• Ataques a través de cualquier vulnerabilidad de "alto riesgo" identificada en el proceso de identificación de vulnerabilidades, según lo definido en el Requisito 6.3.1.

Cómo Secure Code Warrior puede ayudarle a cumplir con PCI-DSS 4.0

La opción más eficaz para la formación es una plataforma de aprendizaje ágil donde el cumplimiento se convierta en un subproducto de un programa integral de aprendizaje de código seguro. En concreto, Secure Code Warrior puede ayudar a su empresa a reducir vulnerabilidades y aumentar la productividad de los desarrolladores mediante:

• Proporcionar una comprensión sólida y coherente sobre cómo mantener seguros los datos PCI, cubriendo las lagunas de conocimiento y ofreciendo formación precisa en los lenguajes y marcos que utilizan sus desarrolladores. Más información en nuestra Plataforma de aprendizaje.
• Ofrecer un proceso de verificación de habilidades continuo, medido y consolidado para garantizar que la formación se ha asimilado y puesto en práctica. Descubra nuestras rutas de formación en código seguro para desarrolladores.
• Impartir formación mediante métodos de aprendizaje ágiles que ofrecen microformaciones contextuales justo a tiempo. La formación genérica y poco frecuente ya no es viable y no tendrá el impacto deseado en la reducción de vulnerabilidades. Conozca más sobre nuestras vulnerabilidades compatibles.
• Ayudar a documentar la formación en seguridad y los estándares de codificación, lo cual es útil para demostrar el cumplimiento durante las auditorías PCI-DSS. Para un desglose más detallado de PCI-DSS 4.0, consulte nuestro informe técnico, PCI DSS 4.0 Unraveled.

‍