Preparación para el cumplimiento de PCI-DSS 4.0

Evalúe su infraestructura y procesos para cumplir los requisitos de PCI-DSS

Principales actualizaciones y plazos de los nuevos requisitos PCI-DSS 4.0

PCI-DSS 4.0 introduce actualizaciones para mejorar la seguridad de los datos de los titulares de tarjetas, abordando los riesgos actuales y los avances tecnológicos en el sector de las tarjetas de pago. Las revisiones permiten a las organizaciones adoptar medidas de seguridad personalizadas si demuestran el cumplimiento de los objetivos de seguridad, ampliando la autenticación multifactor a todos los accesos en el entorno de datos de los titulares de tarjetas y reforzando el cifrado en todas las redes. Además, se hace mayor hincapié en el análisis y la mitigación continuos de los riesgos, y en la mejora de las capacidades de detección y respuesta oportunas a los incidentes de seguridad. Estos nuevos requisitos tienen un periodo de transición para dar tiempo a las organizaciones a adoptar la nueva versión, manteniendo al mismo tiempo el cumplimiento de las normas vigentes.

Por qué los CISO deben dar prioridad a las últimas actualizaciones de pci-dss

Adherirse a estas normas actualizadas es crucial no sólo para mantener la conformidad, sino también para protegerse contra las amenazas y riesgos cibernéticos nuevos y emergentes. Mediante la aplicación de estas normas, las organizaciones pueden ser resistentes a las infracciones, protegiendo así su reputación y evitando multas potencialmente elevadas por incumplimiento.

Fecha de entrada en vigor del DSS 4.0: Marzo de 2024; actualizado en marzo de 2025.

PCI-DSS 4.0 subraya la importancia de integrar procesos de seguridad continuos en las operaciones empresariales diarias

El cumplimiento de las normas no puede ser algo que se haga una sola vez assessment. Este enfoque es vital para los CISO encargados de fomentar una cultura de concienciación sobre la seguridad y una gestión proactiva de los riesgos en sus organizaciones. Adoptar la norma PCI-DSS 4.0 también ayuda a impulsar el valor empresarial mediante la creación de una sólida infraestructura de seguridad que sustenta unos entornos de pago seguros y protegidos.

¿Están preparados sus desarrolladores para ofrecer software conforme?

Los desarrolladores son una parte integral -aunque a menudo infrautilizada- de la consecución de un estado de excelencia en la seguridad del software. Es crucial que los desarrolladores comprendan el panorama general de la norma PCI DSS 4.0 y lo que pueden controlar e integrar como parte de su enfoque predeterminado para la creación de software.

El requisito 6 de la norma PCI DSS describe las expectativas para el desarrollo y mantenimiento de software seguro.

Esto incluye una variedad de elementos que van desde las normas de desarrollo seguro hasta la formación de los desarrolladores y la gestión de la configuración y el control de cambios. Cualquier organización que desarrolle software utilizado en una red de datos de titulares de tarjetas (CHD) está obligada a cumplir estos mandatos.

Como se indica en el requisito 6.2.2, el personal de desarrollo de software que trabaja con software a medida y personalizado recibe formación al menos una vez cada 12 meses, como se indica a continuación:

• Sobre la seguridad de los programas informáticos relacionados con su función laboral y los lenguajes de desarrollo.
• Incluido el diseño de software seguro y las técnicas de codificación segura.
• Incluye cómo utilizar las herramientas de pruebas de seguridad para detectar vulnerabilidades en el software.

La norma establece además que la formación debe incluir al menos los siguientes elementos:

• Lenguajes de desarrollo utilizados
• Diseño de software seguro
• Técnicas de codificación seguras
• Uso de técnicas/métodos para encontrar vulnerabilidades en el código
• Procesos para evitar la reintroducción de vulnerabilidades previamente resueltas

Además, los desarrolladores deben estar familiarizados con TODAS las técnicas de ataque (descritas en el Requisito 6.2.4.) Esto incluye una lista de categorías de ataque diseñadas para servir como ejemplos:

• Ataques de inyección, incluidos SQL, LDAP, XPath u otros fallos de tipo comando, parámetro, objeto, fallo o inyección.
• Ataques a datos y estructuras de datos, incluidos los intentos de manipular búferes, punteros, datos de entrada o datos compartidos.
• Ataques al uso de criptografía, incluyendo intentos de explotar implementaciones criptográficas, algoritmos, suites de cifrado o modos de operación débiles, inseguros o inapropiados.
• Ataques a la lógica empresarial, incluidos los intentos de abusar o eludir las características y funcionalidades de la aplicación mediante la manipulación de API, protocolos y canales de comunicación, funcionalidades del lado del cliente u otras funciones y recursos del sistema/aplicación. Esto incluye el scripting entre sitios (XSS) y la falsificación de petición entre sitios (CSRF).
• Ataques a los mecanismos de control de acceso, incluidos los intentos de eludir o abusar de los mecanismos de identificación, autenticación o autorización, o los intentos de aprovechar las deficiencias en la aplicación de dichos mecanismos.
• Ataques a través de cualquier vulnerabilidad de "alto riesgo" identificada en el proceso de identificación de vulnerabilidades, tal como se define en el requisito 6.3.1.

Cómo Secure Code Warrior puede ayudarle a cumplir la norma PCI-DSS 4.0

La opción más eficaz para la formación es una learning platform ágil en la que el cumplimiento se convierte en un producto de un programa global de aprendizaje de código seguro. En concreto, Secure Code Warrior puede ayudar a su empresa a reducir las vulnerabilidades y lograr una mayor productividad de los desarrolladores:

• Ofrecer una comprensión sólida y coherente de cómo mantener seguros los datos de la PCI abordando las lagunas de conocimiento y proporcionando formación de precisión en los lenguajes y marcos de trabajo que utilizan sus desarrolladores. Más información sobre nuestra Learning Platform.
• Ofreciendo un proceso de verificación de habilidades continuo, medido y establecido para garantizar que la formación se ha asimilado y puesto en práctica. Más información sobre nuestros itinerarios de formación en código seguro para desarrolladores.
• Impartir formación mediante métodos de aprendizaje ágiles que proporcionen microexplosiones de aprendizaje contextuales y justo a tiempo. La formación genérica e infrecuente ya no es viable, y no tendrá el impacto deseado en la reducción de vulnerabilidades. Obtenga más información sobre nuestras vulnerabilidades compatibles.
• Ayuda a documentar la formación en seguridad y las normas de codificación, útil para demostrar el cumplimiento durante las auditorías de PCI-DSS. Si desea un desglose más detallado de PCI-DSS 4.0, consulte nuestro informe PCI DSS 4.0 Unraveled.

‍