Una versión de este artículo apareció originalmente en DZone. Ha sido actualizado y sindicado aquí.

La versión 4.0 del Estándar de Seguridad de Datos de la Industria de Tarjetas de Pago (PCI DSS) cambiará casi todo sobre la seguridad para cualquier negocio u organización que acepte pagos electrónicos, que es la gran mayoría de ellos. Y no nos equivoquemos, esta actualización será transformadora para la mayoría de las empresas, ya que les obligará a actualizar muchos de sus procesos de seguridad y, potencialmente, a desplegar nuevas protecciones en materia de cifrado, autenticación, control de acceso, gestión de claves y otras áreas que pueden haber tardado en adoptar hasta ahora.

Debido a la complejidad de los nuevos requisitos, las organizaciones tienen de plazo hasta marzo de 2025 para cumplirlos plenamente. Pero ese plazo llegará antes de lo que la mayoría de la gente cree. De hecho, muchas empresas con visión de futuro están tomando medidas ahora mismo para permitir a sus desarrolladores navegar por el panorama de cumplimiento pendiente. 

Más allá de la mera formación

Los desarrolladores de una organización escriben el código en el que se basa gran parte de su infraestructura, por lo que es lógico que sean un buen punto de partida a la hora de implantar los nuevos requisitos de PCI DSS 4.0. Sin embargo, la mayoría de los desarrolladores necesitarán apoyo estratégico para actualizar sus conocimientos como parte de un programa actualizado de concienciación sobre la seguridad. De este modo, se asegurarán de que cuentan con la experiencia necesaria para implantar y mantener los mayores niveles de seguridad que exige la nueva norma. 

De hecho, el requisito 12.6.2 de la norma PCI DSS 4.0 obliga a las organizaciones a implantar un programa de seguridad formal y a mantenerlo actualizado con la información más reciente sobre amenazas y técnicas defensivas. Con la norma anterior, los programas de seguridad básicos o incluso la formación anual para el cumplimiento de la normativa, al estilo de "marcar la casilla", cumplían el objetivo. Esta nueva norma exige mucho más, incluso requiere que los programas de formación en seguridad aborden amenazas y vulnerabilidades específicas dentro del entorno de una empresa. Por ejemplo, si el robo de identidades es un gran problema para una organización, la formación debe abordarlo.

Está claro que una formación mínima ya no será suficiente ni desde el punto de vista práctico ni para cumplir la nueva norma. En su lugar, las organizaciones deben proporcionar a los desarrolladores vías de aprendizaje completas y ágiles que les enseñen a aplicar las mejores prácticas de seguridad a su trabajo real y cotidiano. Al ir más allá de los esfuerzos mínimos de cumplimiento y proporcionar a los desarrolladores los recursos que necesitan para comprender realmente la seguridad, las organizaciones pueden capacitar a sus desarrolladores para tomar mejores decisiones de seguridad en general, al tiempo que cumplen con PCI DSS 4.0.

La buena noticia es que muchos de los nuevos requisitos de PCI DSS 4.0 están dirigidos a áreas con las que la mayoría de los desarrolladores ya están familiarizados, como la autenticación, el cifrado, el control de acceso, la gestión de claves y otras. Cuando los desarrolladores reciben recursos adecuados, relevantes y familiares para desarrollar sus habilidades, las organizaciones pueden prepararlos más fácilmente para los nuevos estándares y las mayores responsabilidades que exigirá PCI DSS 4.0.

Utilizar PCI DSS 4.0 como pasarela para mejorar la seguridad en general

Aunque abordar las necesidades de los desarrolladores con una buena formación en seguridad será clave para cumplir con éxito la nueva norma PCI DSS 4.0, el esfuerzo de llevar a una organización hacia una mejor ciberseguridad no tiene por qué terminar ahí. Sí, los requisitos son rigurosos, pero dado que la mayoría de las organizaciones tendrán que trabajar para cumplirlos, no hay razón para no utilizar ese esfuerzo como trampolín para poner en marcha una mejor concienciación y formación en materia de seguridad en general. Esto no sólo ayudará a una organización a cumplir los requisitos de conformidad, sino que también empezará a fomentar una cultura de seguridad positiva que dé prioridad a las mejores prácticas y garantice que todos los miembros de la organización trabajen por el mismo objetivo, la seguridad ante todo. 

Es cierto que hay una curva de aprendizaje, pero es probable que los desarrolladores se sumen a este esfuerzo. En una encuesta realizada por Evans Data a más de 1.200 desarrolladores profesionales que trabajan activamente en todo el mundo, la inmensa mayoría dijo que apoyaba el concepto de crear código seguro y establecer una mejor cultura de la seguridad en sus organizaciones. Está claro que la mayoría de los desarrolladores ven con buenos ojos un cambio estratégico y respaldado hacia la codificación segura y una nueva priorización de la seguridad como parte del proceso de desarrollo. 

Las actualizaciones de seguridad exigidas por la norma PCI DSS 4.0 constituyen una excusa perfecta para que las empresas inviertan en mejores prácticas de seguridad y formación, y adopten una mejor cultura general de seguridad dentro de su organización.

Los desarrolladores pueden alcanzar más fácilmente niveles más altos de madurez de seguridad si sus empresas invierten en un programa que les permita integrar sus conocimientos en codificación segura con las herramientas y la formación pertinentes. Esto, a su vez, puede ayudar a crear una cultura de la seguridad en la que los desarrolladores estén más capacitados para tomar mejores decisiones que mejoren la postura general de seguridad de su organización mucho más allá incluso de las nuevas y rigurosas normas PCI DSS 4.0.
‍