Se ha denunciado esta presentación.
Utilizamos tu perfil de LinkedIn y tus datos de actividad para personalizar los anuncios y mostrarte publicidad más relevante. Puedes cambiar tus preferencias de publicidad en cualquier momento.

Introducción a PCI DSS

3.844 visualizaciones

Publicado el

Introducción a normas PCI DSS, información estadística de errores comunes, ¿Qué es PCI DSS? ¿Qué es PA DSS?, objetivos y requerimientos, ¿cuándo aplica?, ¿por qué es importante?

Publicado en: Tecnología
  • Sé el primero en comentar

Introducción a PCI DSS

  1. 1. Introducción a PCI, Payment Card Industry Oscar Reyes Hevia, consultor de tecnología Agosto 2015
  2. 2. Los Datos de las Tarjetas de Pago son un Objetivo muy deseable para los Delincuentes...
  3. 3. ...siempre han estado en la parte superior de la lista de datos más robados Los Datos de las Tarjetas de Pago son un Objetivo muy deseable para los Delincuentes...
  4. 4. Los métodos más utilizados explotan debilidades de seguridad presentes en el medio ambiente.
  5. 5. 2005 40 millones de tarjetas perdidas 2007 45,7 millones de tarjetas perdidas 2009 160 millones de tarjetas perdidas 2013 1,8 millones de tarjetas perdidas Procesador de tarjetas de pago • Acceden a base de datos con conectividad directa a Internet. • Empresa ya no está en el negocio. Importante minorista Retail • Malware no detectado por 18 meses. • Informes sugieren costos directos del orden de 256 millones de dólares. Procesador de pagos • Malware se utilizó para capturar datos de los tarjetahabientes, ya procesados. • Informes sugieren costos directos cercanos 171 millones de dólares. Minorista de alimentos • Malware instalado en POS robo datos cuando estos eran capturados. • Costos estimados podrían superar los 80 millones de dólares. Mayores Robos de tarjetas
  6. 6. Métodos más usados para el robo de datos de tarjetas 29% 35% 40% 52% 76%Explotación de credenciales débiles o robados Involucra algún tipo de piratería Incorpora malware Involucra agresiones físicas Uso de tácticas sociales
  7. 7. • Contraseñas débiles o por defecto • Falta de educación de los empleados • Deficiencias de seguridad introducidas por terceros • Lenta autodetección Principales Errores Revelados por auditorías forenses
  8. 8. Riesgos para el negocio
  9. 9. Fecha de vencimiento de tarjetas Números de tarjetas Códigos de verificación Datos de banda Otro 81% 73% 71% 57% 16% Una encuesta en Europa y U.S. reveló que muchas empresas almacenan información de tarjetahabientes
  10. 10. Una encuesta de PwC efectuada a 9.700 empresas encontró que habían detectados casi 43 millones de incidentes de seguridad en 2014, una tasa de crecimiento anual compuesto del 66% desde 2009
  11. 11. De los ejecutivos de US están preocupados por el impacto de las amenazas cibernéticas en el crecimiento. Nuevas iniciativas están aumentando los ingresos, pero 69%
  12. 12. 69% La fuerza de ventas se esfuerza por mejorar la experiencia cliente, pero De los consumidores dijo que una brecha de seguridad los inclinaría a comprar menos en la organización involucrada.
  13. 13. Payment Card Industry Data Security Standard (PCI DSS)
  14. 14. Las Normas de Seguridad de Datos (DSS) de la Industria de Tarjetas de Pago (PCI) se desarrollaron para fomentar y mejorar la seguridad de los datos del titular de la tarjeta y facilitar las medidas de seguridad consistentes a nivel mundial.
  15. 15. EMPRESAS FUNDADORAS
  16. 16. • Ofrece una línea de base de requisitos técnicos y operativos diseñados para proteger los datos de titulares de tarjetas. • Comprende conjunto mínimo de requisitos para la protección de datos de tarjeta, puede ser reforzada por controles y prácticas para mitigar aún más riesgos adicionales. • Se aplica a todas las entidades involucradas en el procesamiento de tarjetas de pago - incluyendo comerciantes, procesadores, adquirentes, emisores y proveedores de servicios. • Se aplica donde se almacenan los datos de cuenta, procesan o transmiten. Payment Card Industry Data Security Standard (PCI DSS)
  17. 17. Ecosistema de dispositivos de pago, aplicaciones, infraestructura y usuarios ESTÁNDARES EN LA INDUSTRIA PCI Fabricantes PCI PTS (PIN Entry Device) Dispositivos de ingreso de PIN Desarrolladores de software PCI PA DSS Implementadores de aplicaciones de pago Comercios y procesadores PCI DSS Estándar de Seguridad de datos P2PE PCI Security & Compliance
  18. 18. UN PROCESO DE MEJORA CONTINUA Remediar Evaluar Informar Resolver vulnerabilidades y no almacenar datos de titulares de tarjeta a menos que sea estrictamente necesario. Identificar datos de tarjetahabientes, hacer un inventario de activos de TI y los procesos de negocio para procesamiento de tarjetas de pago, analizarlos para determinar vulnerabilidades que podrían exponer los datos de los tarjetahabientes. Compilar y presentar los registros de validación de remediales (si aplican),presentar informes de conformidad a banco adquirente y marcas de tarjetas involucradas.
  19. 19. 123 0000 0001 2345 6789 02/10 Mi tarjeta de crédito Tarjeta de crédito 123 PAN Fecha vencimiento CID (American Express) Banda magnética (Información en track 1 y 2) CAV2/CID/CVC2/CVV2 (Discover,JCB, MasterCard, Visa) TIPOS DE DATO ENTARJETAS DE PAGO
  20. 20. Elementos de datos Almacenamiento permitido Hace que los datos de la cuenta almacenados no se puedan leer según requisito 3.4 Datos de titular del tarjeta Número de cuenta principal (PAN) Sí Sí Nombre del titular de tarjeta Sí No Código de servicio Sí No Fecha de vencimiento Sí No Datos confidenciales de autenticación Datos completos de la banda magnética No No se pueden almacenar (req3.2) CAV2/CVC2/CVV2/CID No No se pueden almacenar (req3.2) PIN/Bloqueo de PIN No No se pueden almacenar (req3.2) Datosdelacuenta Los requisitos 3.3 y 3.4 sólo se aplican al PAN. Si el PAN se almacena con otros elementos de los datos del titular de la tarjeta, únicamente el PAN debe ser ilegible (Req3.4).
  21. 21. • Mucha gente se refiere a toda la data de la tarjeta simplemente como la data del tarjetahabiente o la data del propietario de tarjeta. • Los requisitos de PCI DSS son aplicables si el PAN o data sensible de autenticación (Sensitive Authentication data, SAD) son almacenados, procesados o trasmitidos. • Los requisitos de PCI DSS también aplican a sistemas que proveen servicios de seguridad o podrían impactar en la seguridad de los datos de cuenta. • Datos de cuenta incluyen toda la información impresa sobre la tarjeta física y también sobre bandas magnéticas o chip. • Data sensible de autenticación no puede s e r a l m a c e n a d a d e s p u é s d e l a autorización. ¿A qué se le llama "data del propietario de tarjeta"?
  22. 22. • No está permitido almacenar Tracks u otros datos sensibles después de la autorización. • Esto se aplica incluso si los datos están protegidos por: • Cifrado • Protección por contraseña • Codificación de datos / ofuscación • Enmascaramiento • Formatos de datos propietarios • Otros mecanismos Almacenamiento de tracks NO está permitido
  23. 23. Almacenamiento de tracks NO está permitido Emisores y procesadores están autorizados a conservar datos sensibles, si son necesarios para efectos de correcciones. Excepción
  24. 24. • Bases de datos • Archivos planos • Archivos de registro (logs) • Archivos de depuración (debug files) • Unllocated cluster Los datos de tracks se pueden encontrar en una variedad de ubicaciones:
  25. 25. • Servidores de soluciones POS • POS • Servidores de autorización • Equipos de autoservicios como ATMs y quioscos ¿ D o n d e c o m ú n m e n t e s e almacena información de tracks de tarjetas?
  26. 26. • Solucionar lectura erróneas de pista • Errores de red • Problemas de codificación • Otros ¿Por qué está permitido el almacenamiento temporal de datos de tracks?
  27. 27. • Recopilación de datos sólo cuando sea necesario para resolver un problema específico. • Recolección mínima de datos. • Almacenamiento de datos en ubicaciones específicas, seguras y con acceso limitado. • Cifrado de datos cuando se almacenan / transmiten. • Eliminación de datos de forma segura, inmediatamente solucionado el problema. • Verificación que la data no puede ser recuperada una solucionado el problema. Procedimientos de recopilación de data documentados incluyen:
  28. 28. 6 Objetivos 12 Requerimientos
  29. 29. Objetivos Requisitos Desarrollar y mantener una red segura Requisito 1. Instalar y mantener una configuración de cortafuegos para proteger los datos de propietarios de tarjetas. Requisito 2. No usar contraseñas del sistema y otros parámetros de seguridad predeterminados provistos por los proveedores. Proteger los datos de los propietarios de las tarjetas (tarjetahabientes). Requisito 3. Proteger los datos almacenados de los propietarios de tarjetas. Requisito 4. Cifrar los datos de los propietarios de tarjetas e información confidencial transmitida a través de redes públicas abiertas. Mantener un programa de gestión de vulnerabilidades Requisito 5. Usar y actualizar periódicamente un software antivirus. Requisito 6. Desarrollar y mantener aplicaciones seguras. Implementar medidas sólidas de control de acceso Requisito 7. Restringir el acceso a los datos, tomando como base la necesidad del funcionario a conocer la información. Requisito 8. Asignar una identificación única a cada persona que tenga acceso a un computador. Monitorear y probar regularmente las redes Requisito 9. Restringir el acceso físico a los datos de los propietarios de tarjetas. Requisito 10. Rastrear y monitorear todo el acceso a los recursos de la red y datos de propietarios de tarjetas. Mantener una política de seguridad de la información Requisito 11. Probar regularmente los sistemas y procesos de seguridad. Requisito 12. Mantener una política que contemple la seguridad de la información. Tabla de requisitos PCI DSS
  30. 30. La forma más segura de reducir el alcance de PCI DSS es NO almacenar los datos de los tarjetahabientes
  31. 31. FORMATO PCI DSSV3 • Requerimiento PCI DSS: Esta columna define los requisitos de la norma de seguridad de datos; El cumplimiento de PCI DSS se valida con estos requisitos. • Procedimiento de prueba: Esta columna muestra los procesos a seguir por el evaluador para validar que se han cumplido los requisitos de PCI DSS y están "en su lugar". • Guía: Esta columna describe la intención o la seguridad objetiva detrás de cada uno de los requisitos de PCI DSS. Esta columna contiene orientativo, y está destinado a facilitar la comprensión del propósito de cada requisito. la guía en esta columna no pretende sustituir o ampliar los requisitos de PCI DSS y procedimientos de prueba. Requerimiento PCI DSS Procedimiento de prueba Guía 1.1 Establezca e implemente normas de configuración para firewalls y routers que incluyan lo siguiente: 1.1Inspeccione las normas de configuración de firewalls y routers y otros documentos especificados a continuación para verificar el cumplimiento e implementación de las normas. Los firewalls y los routers son componentes clave de la arquitectura que controla la entrada a y la salida de la red. stos dispositivos son unidades de software o hardware que bloquean el acceso no deseado y administran el acceso autorizado hacia dentro y fuera de la red.
  32. 32. 0 22,5 45 67,5 90 Req1 Req2 Req3 Req4 Req5 Req6 Req7 Req8 Req9 Req10 Req11 Req12 64% 33% 76% 82% 69% 89% 64% 80% 82% 62% 67% 71% 60% 40% 44% 76% 33% 60% 49% 67% 64% 44% 42% 44% 2013 2014 Cumplimiento PCI DSS
  33. 33. Payment Application Data Security Standard (PA DSS)
  34. 34. El objetivo de PA-DSS es ayudar a los proveedores de software y otros a desarrollar aplicaciones de pago seguras y que den cumplimiento a PCI-DSS
  35. 35. Aplicaciones que se venden, distribuyen o autorizan bajo licencia a terceros están sujetas a los requisitos de la PA-DSS
  36. 36. La forma más segura de reducir el alcance de PCI DSS es NO almacenar los datos de los tarjetahabientes Un software aprobado no es equivalente a ser "PCI Compliance"
  37. 37. "Mi software está aprobado, por lo que debería estar en conformidad con PCI“. Esto es incorrecto, cualquier comercio que hace que esta conclusión errónea podría estar abierto a vulnerabilidades, que negarían la posibilidad de cumplimiento de PCI.
  38. 38. Un software de PA-DSS aprobado es un componente crucial de PCI DSS, pero si la seguridad de la red no se implementó correctamente, entonces la aplicación será vulnerable.
  39. 39. • El uso de aplicaciones PA-DSS por sí mismo no hace a una entidad conforme con PCI-DSS. • Las aplicaciones PA-DSS están dentro del alcance de PCI-DSS. • Las evaluaciones de PCI-DSS para aplicaciones de pago deberían verificar que: Las aplicaciones de pago se implementan en un entorno compatible con PCI-DSS. Las aplicaciones de pago están configuradas para cumplid los requisitos de PCI-DSS, de acuerdo con la Guía de aplicación PA-DSS. ¿Cómo impacta una aplicación PA-DSS en PCI-DSS?
  40. 40. • PA-DSS se aplica a las software de terceros: • Si la aplicación realiza autorizaciones o pagos (POS, carritos de la compra, ATMs, etc.) • PA-DSS garantiza que una aplicación de pago, funciona de manera compatible con PCI-DSS: • Para apoyar el cumplimiento de PCI-DSS. • Las aplicaciones de pago PA-DSS se deben instalar: • Según instrucción de la guía de implementación PA-DSS proporcionados por el proveedor. • De una manera compatible con PCI-DSS. Payment Application Data Security Standard
  41. 41. Requisitos PA DSS Requisito 1. No retenga toda la banda magnética, el código de validación de la tarjeta ni el valor (CAV2, CID, CVC2, CVV2), ni los datos de PIN block Requisito 2. Proteja los datos del titular de la tarjeta que fueron almacenados Requisito 3. Provea funciones de autenticación segura Requisito 4. Registre la actividad de la aplicación de pago Requisito 5. Desarrolle aplicaciones de pago seguras Requisito 6. Proteja las transmisiones inalámbricas Requisito 7. Pruebe las aplicaciones de pago para tratar las vulnerabilidades Requisito 8. Facilite la implementación de una red segura Requisito 9. Los datos de titulares de tarjetas nunca se deben almacenar en un servidor conectado a Internet Requisito 10. Facilite actualizaciones de software remotas y seguras Requisito 11. Facilite un acceso remoto seguro a la aplicación de pago Requisito 12. Cifre el tráfico sensitivo de las redes públicas Requisito 13. Cifre el acceso administrativo que no sea de consola Requisito 14. Mantenga la documentación instructiva y los programas de capacitación para clientes, revendedores e integradores Tabla de requisitos PA DSS
  42. 42. ¡Muchas Gracias!
  43. 43. Referencias • Verizon 2015 PCI Compliance Report • Verizon 2012 Informe sobre investigación de brechas en los datos de 2012 • US cybercrime: Rising risks, reduced readiness Key findings from the 2014 US State of Cybercrime Survey, PwC 2014 • PCI DSS Quick Reference Guide, Understanding the Payment Card Industry Data Security Standard v3.1 • Payment Card Industry (PCI) Data Security Standard Requirements and Security Assessment Procedures, v3.0, November 2013 • Summary of Feedback Received for PCI DSS v2.0 and PA-DSS, v2.0, August 2012 • Payment Card Industry (PCI) Data Security Standard and Payment Application Data Security Standard, v3.0 Change Highlights August 2013 • Industria de Tarjetas de Pago (PCI) Norma de seguridad de datos Requisitos y procedimientos de evaluación de seguridad, v2.0, Octubre de 2010 • Payment Card Industry (PCI) Payment Application Data Security Standard, Requirements and Security Assessment Procedures, V2.0, October • Payment Card Industry (PCI) Payment Application Data Security Standard, Requirements and Security Assessment Procedures, v3.0, November 2013 • International standards ISO 7813 (tracks 1 and 2) and ISO 4909 (track 3).

×