Con el soporte adecuado, los desarrolladores pueden llevar a su organización a un cumplimiento superior de PCI DSS 4.0.

Una versión de este artículo apareció originalmente en Zona D. Se ha actualizado y distribuido aquí.

La versión 4.0 del Estándar de seguridad de datos para la industria de tarjetas de pago (PCI DSS) cambiará casi todo lo relacionado con la seguridad de cualquier empresa u organización que acepte pagos electrónicos, que es la gran mayoría de ellas. Y no se equivoquen: esta actualización supondrá una transformación para la mayoría de las empresas, ya que les obligará a actualizar muchos de sus procesos de seguridad y, posiblemente, a implementar nuevas protecciones en relación con el cifrado, la autenticación, el control de acceso, la administración de claves y otras áreas que tal vez hayan tardado en adoptar hasta ahora.

Debido a la complejidad de los nuevos requisitos, las organizaciones tienen hasta marzo de 2025 para cumplir plenamente con los requisitos. Sin embargo, esa fecha límite llegará antes de lo que la mayoría de la gente cree. De hecho, muchas empresas con visión de futuro están tomando medidas ahora mismo para permitir a sus desarrolladores navegar por el panorama pendiente de cumplimiento.

Más allá de la formación presencial

Los desarrolladores de una organización escriben el código en el que se basa gran parte de su infraestructura, por lo que tiene sentido que sean un buen punto de partida cuando se trata de implementar los nuevos requisitos de PCI DSS 4.0. Sin embargo, la mayoría de los desarrolladores necesitarán apoyo estratégico para mejorar sus habilidades como parte de un programa actualizado de concienciación sobre seguridad. Esto es para garantizar que tengan la experiencia necesaria para implementar y mantener los niveles más altos de seguridad requeridos por el nuevo estándar.

De hecho, el requisito 12.6.2 de PCI DSS 4.0 indica a las organizaciones que implementen un programa de seguridad formal y lo mantengan actualizado con la información sobre amenazas y las técnicas defensivas más recientes. Con el estándar más antiguo, el objetivo se cumplía con los programas básicos de seguridad o, incluso, con la formación anual en materia de cumplimiento que consistía en «marcar todas las casillas». Esta nueva norma exige mucho más, e incluso exige que los programas de formación en seguridad aborden las amenazas y vulnerabilidades específicas del entorno de la empresa. Por ejemplo, si el robo de identidades es un gran problema para una organización, la capacitación debe abordarlo.

Está claro que una formación mínima ya no será adecuada ni desde un punto de vista práctico ni para cumplir con la nueva norma. En cambio, las organizaciones deben ofrecer a los desarrolladores itinerarios de aprendizaje integrales y ágiles que les enseñen cómo aplicar las mejores prácticas de seguridad a su trabajo real y diario. Al ir más allá de los esfuerzos mínimos de cumplimiento y proporcionar a los desarrolladores los recursos que necesitan para comprender realmente la seguridad, las organizaciones pueden ayudar a sus desarrolladores a tomar mejores decisiones de seguridad en general y, al mismo tiempo, cumplir con la PCI DSS 4.0.

La buena noticia es que muchos de los nuevos requisitos de PCI DSS 4.0 están dirigidos a áreas con las que la mayoría de los desarrolladores ya están familiarizados, como la autenticación, el cifrado, el control de acceso, la administración de claves y otras. Cuando los desarrolladores disponen de los recursos adecuados, pertinentes y conocidos para desarrollar sus habilidades, las organizaciones pueden prepararlos más fácilmente para los nuevos estándares y las mayores responsabilidades que exigirá la PCI DSS 4.0.

Uso de PCI DSS 4.0 como pasarela para mejorar la seguridad en general

Si bien abordar las necesidades de los desarrolladores con una buena educación en seguridad será clave para cumplir con éxito con el nuevo estándar PCI DSS 4.0, el esfuerzo por hacer que una organización avance hacia una mejor ciberseguridad no tiene por qué terminar ahí. Sí, los requisitos son rigurosos, pero dado que la mayoría de las organizaciones tendrán que esforzarse para cumplirlos, no hay motivo para no utilizar ese esfuerzo como punto de partida para promover una mayor concienciación y formación en materia de seguridad en general. Esto no solo ayudará a la organización a cumplir los requisitos de cumplimiento, sino que también comenzará a fomentar una cultura de seguridad positiva que priorice las mejores prácticas y garantice que todos los miembros de la organización trabajen para lograr el mismo objetivo: la seguridad es lo primero.

Hay una curva de aprendizaje, claro, pero es probable que los desarrolladores estén de acuerdo con ese esfuerzo. En una encuesta de Evans Data realizada a más de 1200 desarrolladores profesionales que trabajan activamente en todo el mundo, la inmensa mayoría dijo que apoyaba el concepto de crear código seguro y establecer una mejor cultura de seguridad en sus organizaciones. Está claro que la mayoría de los desarrolladores ven con buenos ojos un cambio estratégico y respaldado hacia una codificación segura y una redefinición de las prioridades de la seguridad como parte del proceso de desarrollo.

Las actualizaciones de seguridad exigidas por PCI DSS 4.0 proporcionan una excusa perfecta para que las empresas inviertan en mejores prácticas y formación en materia de seguridad y adopten una mejor cultura de seguridad general dentro de su organización.

Los desarrolladores pueden alcanzar más fácilmente niveles más altos de madurez en materia de seguridad si sus empresas invierten en un programa que les permita integrar sus habilidades de codificación segura con las herramientas y la formación pertinentes. Esto, a su vez, puede ayudar a crear una cultura de seguridad en la que los desarrolladores tengan más poder para tomar mejores decisiones que mejoren la postura general de seguridad de su organización, incluso más allá de los nuevos y rigurosos estándares PCI DSS 4.0.
‍