Si su empresa acepta tarjetas de crédito o débito, usted ya forma parte de un sistema global creado para proteger los datos de los tarjetahabientes — y ese sistema tiene reglas. El cumplimiento PCI para dueños de pequeñas empresas suele verse como una letra pequeña intimidante, pero en el fondo es una lista de verificación de sentido común para manejar los datos de pago de forma segura. Domine lo básico y protegerá a sus clientes, su reputación y sus resultados.
¿Qué es PCI DSS?
PCI DSS son las siglas en inglés del Estándar de Seguridad de Datos de la Industria de Tarjetas de Pago. Es un conjunto de requisitos de seguridad creado y mantenido por las principales marcas de tarjetas — Visa, Mastercard, American Express, Discover y JCB — a través del Consejo de Estándares de Seguridad PCI. Cualquier organización que almacene, procese o transmita datos de tarjetahabientes debe cumplirlo. No es una ley gubernamental, pero se hace valer a través de su acuerdo de comerciante, lo que en la práctica lo vuelve obligatorio para toda empresa que acepta tarjetas.
Por qué importa el cumplimiento PCI
Los datos de tarjeta son valiosos para los delincuentes, y las pequeñas empresas son blancos frecuentes precisamente porque se asume que tienen defensas más débiles. El cumplimiento importa por tres razones prácticas: reduce la probabilidad de una filtración costosa, lo mantiene en buena posición con su procesador y las redes de tarjetas, y protege la confianza que sus clientes depositan en usted cada vez que entregan una tarjeta. Una sola filtración puede traer multas, costos forenses y un daño reputacional del que una pequeña empresa quizás nunca se recupere.
Los 12 requisitos de un vistazo
PCI DSS está organizado en doce requisitos fundamentales agrupados bajo seis objetivos de control. No necesita memorizarlos, pero conocer la estructura del estándar le ayuda a entender qué maneja su procesador y qué le corresponde a usted:
- Instalar y mantener protección de firewall para los datos de tarjetahabientes.
- No usar las contraseñas ni la configuración de seguridad predeterminadas del proveedor.
- Proteger los datos de tarjetahabientes almacenados — mejor aún, evitar almacenarlos por completo.
- Cifrar los datos de tarjetahabientes cuando viajan por redes abiertas y públicas.
- Usar y actualizar regularmente la protección antivirus y antimalware.
- Desarrollar y mantener sistemas y aplicaciones seguros.
- Restringir el acceso a los datos de tarjetahabientes según la necesidad de conocerlos para el negocio.
- Asignar una identificación única a cada persona con acceso a computadoras.
- Restringir el acceso físico a los datos de tarjetahabientes y a los dispositivos de pago.
- Rastrear y monitorear todo acceso a los recursos de red y a los datos de tarjeta.
- Probar regularmente los sistemas y procesos de seguridad.
- Mantener una política escrita que aborde la seguridad de la información.
Entendiendo los niveles de SAQ
La mayoría de los pequeños comercios validan su cumplimiento completando un Cuestionario de Autoevaluación, o SAQ por sus siglas en inglés. Existen varias versiones, y cuál le aplica depende por completo de cómo acepta los pagos. Una empresa que usa una terminal cifrada e independiente que nunca almacena datos de tarjeta completa un cuestionario corto, mientras que una empresa que maneja números de tarjeta a través de su propio sitio web o software enfrenta uno más largo y exigente. La mejor manera de simplificar su SAQ es dejar que el equipo validado y una página de pago alojada mantengan los datos de tarjeta sin procesar completamente fuera de su entorno.
Mantener el cumplimiento todo el año
El cumplimiento PCI no es una casilla que se marca una sola vez — es un hábito continuo. Los pasos prácticos que mantienen protegidas a las pequeñas empresas incluyen cambiar las contraseñas predeterminadas, mantener el software y las terminales actualizados, limitar quién puede tocar los sistemas de pago, capacitar al personal para detectar el skimming y el phishing, y completar a tiempo su evaluación anual y cualquier escaneo de red requerido. Ninguna de estas tareas es pesada una vez que se vuelven rutina, y en conjunto forman una defensa sólida y cotidiana.
Cómo ayuda un procesador de pagos
El procesador adecuado convierte el cumplimiento de una carga en un proceso en segundo plano. Las soluciones de pago modernas usan lectores de chip EMV, cifrado punto a punto y tokenización para que los números reales de tarjeta nunca lleguen a sus sistemas — lo que significa que hay mucho menos que asegurar y mucho menos que un hacker pueda robar. Ese es el enfoque que adoptamos en Caribbean Payments: equipo validado por PCI, transacciones cifradas y orientación local para que los dueños de negocios en Puerto Rico puedan mantener el cumplimiento sin convertirse en expertos en seguridad. Explore nuestra gama completa de soluciones de pago para ver cómo el procesamiento que cumple con las normas se ajusta a su negocio.
