¿Sabes qué tipo de certificación PCI DSS v4.0 es el adecuado para proteger tu negocio?

Descripción:

El SAQ A se ha desarrollado para contemplar los requisitos aplicables a los comerciantes cuyas funciones que impliquen el manejo de datos del titular de la tarjeta están totalmente tercerizadas a terceros validados, y cuando los comerciantes solamente conservan informes en papel o recibos con los datos del titular de la tarjeta.

Los comerciantes correspondientes al SAQ A pueden ser comerciantes de comercio electrónico, pedido por correo o pedido por teléfono (comerciantes con tarjetas ausentes) y no almacenan, procesan ni transmiten datos de titulares de tarjeta en formato electrónico en sus sistemas o instalaciones.

Las condiciones para aplicar este tipo de SAQ son:

• Su empresa maneja solamente transacciones con tarjeta ausente (comercio electrónico y órdenes por correo/teléfono).
• Todo el procesamiento de los datos de los titulares de las tarjetas se terceriza en su totalidad a procesadores de pagos externos validados por las PCI DSS.
• Su empresa no almacena, procesa ni transmite en forma electrónica datos de los titulares de tarjetas en sus sistemas o locales, sino que depende completamente de un uno o varios terceros que realizan estas funciones.
• Su empresa ha confirmado que todos los terceros que manejan el almacenamiento, el procesamiento o la transmisión de los datos del titular de la tarjeta cumplen con las PCI DSS.
• Su empresa retiene solamente informes o recibos en papel con datos del titular de la tarjeta, y estos documentos no se reciben por medios electrónicos.

El cuestionario se compone de 24 preguntas

Abarca 5 Requisitos de la Norma PCI DSS:

• Requisito 2 - No usar los valores predeterminados suministrados por el proveedor para las contraseñas del sistema y otros parámetros de seguridad.
• Requisito 6 - Desarrollar y mantener sistemas y aplicaciones seguros.
• Requisito 8 - Identificar y autenticar el acceso a los componentes del sistema.
• Requisito 9 - Restringir el acceso al ambiente de datos de titular de tarjeta.
• Requisito 12 - Mantener una política que aborde temas de seguridad de la información.

Descripción:

El SAQ A-EP se ha desarrollado para abordar los requisitos que corresponden a los comerciantes dedicados al comercio electrónico con sitio web que no reciben los datos de los titulares de las tarjetas, pero que afectan la seguridad de la transacción de pago o la integridad de la página que acepta los datos de los titulares de las tarjetas del consumidor.

Los comerciantes correspondientes al SAQ A-EP son comerciantes dedicados al comercio electrónico que parcialmente tercerizan su canal de pago del mencionado comercio electrónico a terceros validados por las PCI DSS, y no almacenan, procesan ni transmiten en forma electrónica datos de los titulares de tarjetas en sus sistemas o locales.

Las condiciones para aplicar este tipo de SAQ son:

• Su empresa maneja solamente transacciones de comercio electrónico.
• Todo el procesamiento de los datos de los titulares de las tarjetas se terceriza en su totalidad a procesadores de pagos externos validados por las PCI DSS.
• Su sitio web de comercio electrónico no recibe los datos de los titulares de las tarjetas pero controla de qué manera los consumidores, o sus datos de titulares de tarjeta, son redirigidos hacia un procesador de pago externo validado por las PCI DSS.
• Si el sitio web del comerciante está alojado por un proveedor externo, este proveedor está validado según todos los requisitos de las PCI DSS correspondientes (por ejemplo, incluido el Anexo A de las PCI DSS si el proveedor es un proveedor de hosting compartido).
• Todos los elementos presentes en las páginas de pago que se entregan al explorador del consumidor tienen su origen en el sitio web del comerciante o en los proveedores de servicios que cumplen con las PCI DSS.
• Su empresa no almacena, procesa ni transmite en forma electrónica datos de los titulares de tarjetas en sus sistemas o locales, sino que depende completamente de un uno o varios terceros que realizan estas funciones.
• Su empresa ha confirmado que todos los terceros que manejan el almacenamiento, el procesamiento o la transmisión de los datos del titular de la tarjeta cumplen con las PCI DSS.
• Su empresa retiene solamente informes o recibos en papel con datos de los titulares de tarjetas, y estos documentos no se reciben por medios electrónicos.

El cuestionario se compone de 191 preguntas

Abarca 12 Requisitos de la Norma PCI DSS:

• Requisito 1 - Instale y mantenga una configuración de firewall para proteger los datos del titular de la tarjeta.
• Requisito 2 - No usar los valores predeterminados suministrados por el proveedor para las contraseñas del sistema y otros parámetros de seguridad.
• Requisito 3 - Proteger los datos almacenados del titular de la tarjeta.
• Requisito 4 - Cifrar la transmisión de los datos del titular de la tarjeta en las redes públicas abiertas.
• Requisito 5 - Proteger todos los sistemas contra malware y actualizar los programas o software antivirus regularmente.
• Requisito 6 - Desarrollar y mantener sistemas y aplicaciones seguros.
• Requisito 7 - Restringir el acceso a los datos del titular de la tarjeta según la necesidad de saber que tenga la empresa.
• Requisito 8 - Identificar y autenticar el acceso a los componentes del sistema.
• Requisito 9 - Restringir el acceso al ambiente de datos de titular de tarjeta.
• Requisito 10 - Rastree y supervise todos los accesos a los recursos de red y a los datos del titular de la tarjeta.
• Requisito 11 - Pruebe con regularidad los sistemas y procesos de seguridad.
• Requisito 12 - Mantener una política que aborde temas de seguridad de la información.

Descripción:

El SAQ B se ha desarrollado para contemplar los requisitos aplicables a los comerciantes que procesan datos de los titulares de tarjetas solamente por medio de terminales independientes con discado externo. Los comerciantes que se corresponden al SAQ B pueden ser comerciantes con instalaciones físicas (con la tarjeta presente) o pedido por correo/teléfono (tarjeta no presente), y que no almacenan datos de titulares de tarjetas en ningún sistema informático.

Las condiciones para aplicar este tipo de SAQ son:

• Su empresa usa solamente máquinas impresoras y/o terminales independientes con discado externo (conectados a través la línea telefónica a su procesador) para registrar la información de la tarjeta de pago de sus clientes.
• Terminales independientes con discado externo no están conectados a ningún otro sistema en su entorno.
• Terminales independientes con discado externo no están conectados a Internet.
• Su empresa no transmite datos de los titulares de tarjetas por la red (ni a través de una red interna ni de Internet).
• Su empresa conserva datos del titular de la tarjeta que se encuentran en papel (por ejemplo, informes o recibos impresos) y estos documentos no se reciben por medios electrónicos.
• Su empresa no almacena datos del titular de la tarjeta en formato electrónico.

El cuestionario se compone de 49 preguntas

Abarca 5 Requisitos de la Norma PCI DSS:

• Requisito 3 - Proteger los datos almacenados del titular de la tarjeta.
• Requisito 4 - Cifrar la transmisión de los datos del titular de la tarjeta en las redes públicas abiertas.
• Requisito 7 - Restringir el acceso a los datos del titular de la tarjeta según la necesidad de saber que tenga la empresa.
• Requisito 9 - Restringir el acceso al ambiente de datos de titular de tarjeta.
• Requisito 12 - Mantener una política que aborde temas de seguridad de la información.

Descripción:

SAQ B-IP se ha desarrollado para contemplar los requisitos aplicables a los comerciantes que procesan los datos del titular de la tarjeta solamente por medio de dispositivos de punto de interacción aprobados por PTS independientes con una conexión IP al procesador de pago. Se aplica una excepción a los dispositivos POI clasificados como Lectores seguros de tarjeta (Secure Card Readers, SCR); los comerciantes que usan los SCR no son elegibles para este SAQ.

Los comerciantes que se corresponden al SAQ B-IP pueden ser comerciantes con instalaciones físicas (con la tarjeta presente) o pedido por correo/teléfono (tarjeta no presente), y que no almacenan datos de titulares de tarjetas en ningún sistema informático.

Las condiciones para aplicar este tipo de SAQ son:

• Su empresa usa solamente dispositivos de punto de interacción (POI) aprobados por PTS independientes (no se incluyen SCR) con una conexión IP a su procesador de pago para registrar la información de la tarjeta de pago de sus clientes.
• Los dispositivos POI con conexión IP son validados respecto del programa PTS POI según se indica en el sitio web de PCI SSC (no se incluye SCR).
• Los dispositivos POI con conexión IP independientes no están conectados a otros sistemas dentro de su entorno (esto se puede lograr a través de la segmentación de red para aislar los dispositivos POI de otros sistemas).
• La única transmisión de los datos del titular de la tarjeta se realiza desde los dispositivos de POI aprobados por PTS hacia el procesador de pagos.
• El dispositivo POI no hace uso de ningún otro dispositivo (es decir, computadora, teléfono móvil, tableta, etc.) para conectarse al procesador de pago.
• Su empresa conserva datos del titular de la tarjeta que se encuentran en papel (por ejemplo, informes o recibos impresos) y estos documentos no se reciben por medios electrónicos.
• Su empresa no almacena datos del titular de la tarjeta en formato electrónico.

El cuestionario se compone de 86 preguntas

Abarca 10 Requisitos de la Norma PCI DSS:

• Requisito 1 - Instale y mantenga una configuración de firewall para proteger los datos del titular de la tarjeta.
• Requisito 2 - No usar los valores predeterminados suministrados por el proveedor para las contraseñas del sistema y otros parámetros de seguridad.
• Requisito 3 - Proteger los datos almacenados del titular de la tarjeta.
• Requisito 4 - Cifrar la transmisión de los datos del titular de la tarjeta en las redes públicas abiertas.
• Requisito 6 - Desarrollar y mantener sistemas y aplicaciones seguros.
• Requisito 7 - Restringir el acceso a los datos del titular de la tarjeta según la necesidad de saber que tenga la empresa.
• Requisito 8 - Identificar y autenticar el acceso a los componentes del sistema.
• Requisito 9 - Restringir el acceso al ambiente de datos de titular de tarjeta.
• Requisito 11 - Pruebe con regularidad los sistemas y procesos de seguridad.
• Requisito 12 - Mantener una política que aborde temas de seguridad de la información.

Descripción:

SAQ C ha sido desarrollado para contemplar los requisitos aplicables a los comerciantes cuyos sistemas de aplicación de pago (por ejemplo, sistemas de punto de venta) están conectados a Internet (por ejemplo, a través de DSL, módem de cable, etc.).

Los comerciantes correspondientes al SAQ C procesan los datos de los titulares de tarjeta a través de sistemas de punto de venta (POS) u otros sistemas de aplicaciones de pago conectados a Internet, no almacenan datos de los titulares de tarjeta en ningún sistema informático, y pueden ser comerciantes con instalaciones físicas (con la tarjeta presente) o pedido por correo/teléfono (tarjeta no presente).

Las condiciones para aplicar este tipo de SAQ son:

• Su empresa tiene un sistema de aplicaciones de pago y conexión a Internet en el mismo dispositivo y/o la misma red de área local (LAN).
• El sistema de aplicación de pago/dispositivo de Internet no está conectado a otros sistemas dentro de su entorno (esto se puede lograr a través de la segmentación de red para aislar el sistema de aplicación de pago/dispositivo de Internet de todos los otros sistemas).
• La ubicación física del entorno del POS no está conectada con otras ubicaciones o instalaciones, y cualquier LAN es para una sola tienda.
• Su empresa conserva datos del titular de la tarjeta que se encuentran en papel (por ejemplo, informes o recibos impresos) y estos documentos no se reciben por medios electrónicos.
• Su empresa no almacena datos del titular de la tarjeta en formato electrónico.

El cuestionario se compone de 160 preguntas

Abarca 12 Requisitos de la Norma PCI DSS:

• Requisito 1 - Instale y mantenga una configuración de firewall para proteger los datos del titular de la tarjeta.
• Requisito 2 - No usar los valores predeterminados suministrados por el proveedor para las contraseñas del sistema y otros parámetros de seguridad.
• Requisito 3 - Proteger los datos almacenados del titular de la tarjeta.
• Requisito 4 - Cifrar la transmisión de los datos del titular de la tarjeta en las redes públicas abiertas.
• Requisito 5 - Proteger todos los sistemas contra malware y actualizar los programas o software antivirus regularmente.
• Requisito 6 - Desarrollar y mantener sistemas y aplicaciones seguros.
• Requisito 7 - Restringir el acceso a los datos del titular de la tarjeta según la necesidad de saber que tenga la empresa.
• Requisito 8 - Identificar y autenticar el acceso a los componentes del sistema.
• Requisito 9 - Restringir el acceso al ambiente de datos de titular de tarjeta.
• Requisito 10 - Rastree y supervise todos los accesos a los recursos de red y a los datos del titular de la tarjeta.
• Requisito 11 - Pruebe con regularidad los sistemas y procesos de seguridad.
• Requisito 12 - Mantener una política que aborde temas de seguridad de la información.

Descripción:

SAQ C-VT se ha desarrollado para contemplar los requisitos aplicables a los comerciantes que procesan datos de los titulares de tarjetas solamente por medio de terminales virtuales aislados en computadoras personales conectadas a Internet.

Los comerciantes que corresponden al SAQ C-VT procesan datos de titulares de tarjetas solo a través de un terminal de pago virtual y no almacenan los datos de titulares de tarjetas en ningún sistema informático. Estos terminales virtuales están conectados a Internet para acceder a un tercero que hospeda la función de procesamiento de pagos en terminales virtuales. Este tercero puede ser un procesador, adquiriente u otro proveedor de servicios externo que almacena, procesa y/o transmite los datos de los titulares de tarjetas para autorizar y/o liquidar las transacciones de pago en terminal virtual de los comerciantes.

Las condiciones para aplicar este tipo de SAQ son:

• El único procesamiento de pagos de su empresa se realiza a través de un terminal de pago virtual al que se accede mediante un explorador web conectado a Internet.
• La solución de terminal de pago virtual de su empresa está proporcionada y hospedada por un proveedor de servicios externo validado por las PCI DSS.
• Su empresa accede a la solución de terminal de pago virtual compatible con las PCI DSS a través de una computadora que está aislada en una ubicación individual, y no está conectada a otras ubicaciones ni sistemas dentro de su entorno (esto se puede lograr mediante un firewall o una segmentación de red para aislar la computadora de los demás sistemas).
• La computadora de su empresa no tiene software instalado que ocasione que los datos de titulares de tarjetas se almacenen (por ejemplo, no hay software para procesamiento por lotes o almacenamiento y transmisión).
• La computadora de su empresa no tiene dispositivos de hardware conectados que se utilizan para capturar o almacenar datos de titulares de tarjetas (por ejemplo, no hay lectores de tarjetas conectados).
• Su empresa no recibe de otro modo datos de titulares de tarjetas electrónicamente a través de canales (por ejemplo, mediante una red interna o Internet).
• Su empresa conserva datos del titular de la tarjeta que se encuentran en papel (por ejemplo, informes o recibos impresos) y estos documentos no se reciben por medios electrónicos.
• Su empresa no almacena datos del titular de la tarjeta en formato electrónico.

El cuestionario se compone de 83 preguntas

Abarca 11 Requisitos de la Norma PCI DSS:

• Requisito 1 - Instale y mantenga una configuración de firewall para proteger los datos del titular de la tarjeta.
• Requisito 2 - No usar los valores predeterminados suministrados por el proveedor para las contraseñas del sistema y otros parámetros de seguridad.
• Requisito 3 - Proteger los datos almacenados del titular de la tarjeta.
• Requisito 4 - Cifrar la transmisión de los datos del titular de la tarjeta en las redes públicas abiertas.
• Requisito 5 - Proteger todos los sistemas contra malware y actualizar los programas o software antivirus regularmente.
• Requisito 6 - Desarrollar y mantener sistemas y aplicaciones seguros.
• Requisito 7 - Restringir el acceso a los datos del titular de la tarjeta según la necesidad de saber que tenga la empresa.
• Requisito 8 - Identificar y autenticar el acceso a los componentes del sistema.
• Requisito 9 - Restringir el acceso al ambiente de datos de titular de tarjeta.
• Requisito 11 - Pruebe con regularidad los sistemas y procesos de seguridad.
• Requisito 12 - Mantener una política que aborde temas de seguridad de la información.

Descripción:

El SAQ D para comerciantes se aplica a los comerciantes elegibles para el SAQ que no satisfacen los criterios correspondientes a ningún otro tipo de SAQ.

Las condiciones para aplicar este tipo de SAQ son:

• Comerciantes de comercio electrónico que aceptan datos del titular de la tarjeta en su sitio web.
• Comerciantes con almacenamiento electrónico de datos de titulares de tarjetas.
• Comerciantes que no almacenan datos del titular de la tarjeta en formato electrónico que no satisfacen los criterios correspondientes a los otros tipos de SAQ.
• Comerciantes con entornos que posiblemente satisfagan los criterios de otro tipo de SAQ, pero que tienen requisitos de las PCI DSS adicionales que se aplican a su entorno.

El cuestionario se compone de 329 preguntas

Abarca 12 Requisitos de la Norma PCI DSS:

• Requisito 1 - Instale y mantenga una configuración de firewall para proteger los datos del titular de la tarjeta.
• Requisito 2 - No usar los valores predeterminados suministrados por el proveedor para las contraseñas del sistema y otros parámetros de seguridad.
• Requisito 3 - Proteger los datos almacenados del titular de la tarjeta.
• Requisito 4 - Cifrar la transmisión de los datos del titular de la tarjeta en las redes públicas abiertas.
• Requisito 5 - Proteger todos los sistemas contra malware y actualizar los programas o software antivirus regularmente.
• Requisito 6 - Desarrollar y mantener sistemas y aplicaciones seguros.
• Requisito 7 - Restringir el acceso a los datos del titular de la tarjeta según la necesidad de saber que tenga la empresa.
• Requisito 8 - Identificar y autenticar el acceso a los componentes del sistema.
• Requisito 9 - Restringir el acceso al ambiente de datos de titular de tarjeta.
• Requisito 10 - Rastree y supervise todos los accesos a los recursos de red y a los datos del titular de la tarjeta.
• Requisito 11 - Pruebe con regularidad los sistemas y procesos de seguridad.
• Requisito 12 - Mantener una política que aborde temas de seguridad de la información.