Con el soporte adecuado, los desarrolladores pueden ayudar a su organización a alcanzar un nivel de conformidad superior al exigido por la norma PCI DSS 4.0.

Una versión de este artículo se publicó inicialmente en Zone D. Se ha actualizado y publicado aquí.

La versión 4.0 de la norma de seguridad de datos de la industria de tarjetas de pago (PCI DSS) cambiará casi todo lo relacionado con la seguridad de cualquier empresa u organización que acepte pagos electrónicos, lo que representa a la gran mayoría de ellas. Y no se equivoquen, esta actualización transformará a la mayoría de las empresas, obligándolas a actualizar muchos de sus procesos de seguridad y, potencialmente, a implementar nuevas protecciones relacionadas con el cifrado, la autenticación, el control de acceso, la gestión de claves y otras áreas que tal vez hayan tardado en adoptar anteriormente.

Debido a la complejidad de los nuevos requisitos, las organizaciones tienen hasta marzo de 2025 para cumplir plenamente con ellos. Pero esta fecha límite llegará antes de lo que la mayoría de la gente cree. De hecho, muchas empresas pioneras están tomando medidas para que sus desarrolladores puedan navegar por el panorama de cumplimiento pendiente.

Más allá de la formación para marcar

Los desarrolladores de una empresa escriben el código en el que se basa gran parte de su infraestructura. Por lo tanto, es lógico que sean un buen punto de partida a la hora de implementar los nuevos requisitos de PCI DSS 4.0. Sin embargo, la mayoría de los desarrolladores necesitarán apoyo estratégico para mejorar sus habilidades en el marco de un programa actualizado de sensibilización sobre la seguridad. Esto garantiza que cuenten con la experiencia necesaria para implementar y mantener los niveles de seguridad más elevados que exige la nueva norma.

De hecho, el requisito 12.6.2 de la norma PCI DSS 4.0 exige a las empresas implementar un programa de seguridad oficial y mantenerlo actualizado con la información más reciente sobre amenazas y técnicas de defensa. Con la norma anterior, los programas de seguridad básicos o incluso la formación anual sobre cumplimiento del tipo «marcar casillas» permitían alcanzar el objetivo. Esta nueva norma impone mucho más, llegando incluso a exigir que los programas de formación en seguridad aborden las amenazas y vulnerabilidades específicas del entorno de una empresa. Por ejemplo, si el robo de identidad constituye un problema grave para una organización, la formación debe abordarlo.

Está claro que una formación mínima ya no será suficiente, ni desde el punto de vista práctico ni para cumplir con la nueva norma. Las empresas deben ofrecer a los desarrolladores itinerarios de aprendizaje completos y ágiles que les enseñen a aplicar las mejores prácticas de seguridad en su trabajo diario. Al ir más allá de los esfuerzos mínimos de cumplimiento y proporcionar a los desarrolladores los recursos que necesitan para comprender realmente la seguridad, las empresas pueden darles los medios para tomar mejores decisiones en materia de seguridad en general, al tiempo que cumplen con la norma PCI DSS 4.0.

La buena noticia es que muchas de las nuevas exigencias de la norma PCI DSS 4.0 se refieren a ámbitos que la mayoría de los desarrolladores ya conocen, como la autenticación, el cifrado, el control de acceso, la gestión de claves, etc. Cuando los desarrolladores disponen de recursos adecuados, pertinentes y familiares para desarrollar sus competencias, las organizaciones pueden prepararles más fácilmente para las nuevas normas y las mayores responsabilidades que exigirá la norma PCI DSS 4.0.

Utilizar la norma PCI DSS 4.0 como puente hacia una mayor seguridad global.

Aunque es esencial satisfacer las necesidades de los desarrolladores mediante una buena formación en materia de seguridad para cumplir con éxito la nueva norma PCI DSS 4.0, los esfuerzos por hacer que una organización evolucione hacia una mejor ciberseguridad no deben detenerse ahí. Sí, los requisitos son rigurosos, pero dado que la mayoría de las organizaciones tendrán que esforzarse por cumplirlos, no hay razón para no utilizar este esfuerzo como trampolín para reforzar la sensibilización sobre la seguridad y la formación en general. Esto no solo permitirá a una organización cumplir con los requisitos de conformidad, sino que también comenzará a fomentar una cultura de seguridad positiva que dé prioridad a las mejores prácticas y garantice que todos los miembros de la organización trabajen con el mismo objetivo, centrado en la seguridad.

Hay una curva de aprendizaje, por supuesto, pero los desarrolladores probablemente estarán de acuerdo con tal esfuerzo. En una encuesta de Evans realizada a más de 1200 desarrolladores profesionales que trabajan activamente en todo el mundo, la gran mayoría declaró que apoyaba el concepto de crear código seguro e instaurar una mejor cultura de seguridad en sus organizaciones. Está claro que la mayoría de los desarrolladores están a favor de una transición estratégica y sostenida hacia una codificación segura y una redefinición de las prioridades de seguridad en el marco del proceso de desarrollo.

Las actualizaciones de seguridad impuestas por la norma PCI DSS 4.0 constituyen una excusa perfecta para las empresas que desean invertir en la mejora de las mejores prácticas y la formación en materia de seguridad, así como para adoptar una mejor cultura global de la seguridad dentro de su organización.

Los desarrolladores pueden alcanzar más fácilmente niveles de madurez en materia de seguridad si sus empresas invierten en un programa que les permita integrar sus competencias en materia de codificación segura con herramientas y formaciones pertinentes. Esto, a su vez, puede contribuir a crear una cultura de seguridad en la que los desarrolladores estén más capacitados para tomar mejores decisiones que mejoren la postura de seguridad global de su organización mucho más allá de las nuevas y rigurosas normas PCI DSS 4.0.
‍