Con el apoyo adecuado, los desarrolladores pueden llevar a las organizaciones a un excelente cumplimiento de la norma PCI DSS 4.0.

Esta versión del artículo se publicó por primera vez D Zone. Aquí se actualizó y se distribuyó.

La versión 4.0 de la Norma de Seguridad de Datos de la Industria de Tarjetas de Pago (PCI DSS) cambia casi todo lo relacionado con la seguridad de las empresas y organizaciones (la gran mayoría) que aceptan pagos electrónicos. Y, sin duda, esta actualización supondrá una transformación para la mayoría de las empresas. Será necesario actualizar gran parte de los procesos de seguridad e introducir nuevas protecciones en áreas que hasta ahora quizá se habían descuidado, como el cifrado, la autenticación, el control de acceso y la gestión de claves.

Debido a la complejidad de los nuevos requisitos, las organizaciones están obligadas a cumplir plenamente con ellos antes de marzo de 2025. Sin embargo, ese plazo llegará antes de lo que la mayoría de la gente cree. De hecho, muchas empresas con visión de futuro ya están tomando medidas para ayudar a los desarrolladores a superar la situación de incumplimiento.

Más allá del marco de entrenamiento que no se limita a conceptos preestablecidos.

Los desarrolladores de organizaciones crean el código del que depende gran parte de la infraestructura, por lo que tiene sentido que sean ellos los que den el primer paso en la implementación de los nuevos requisitos de PCI DSS 4.0. Sin embargo, la mayoría de los desarrolladores necesitan apoyo estratégico para mejorar sus habilidades como parte de un programa de concienciación sobre seguridad actualizado. Esto les permitirá adquirir la experiencia necesaria para implementar y mantener el mayor nivel de seguridad que exige la nueva norma.

De hecho, el requisito 12.6.2 de PCI DSS 4.0 exige a las organizaciones implementar un programa de seguridad formal y mantenerlo actualizado con la información más reciente sobre amenazas y tecnologías de defensa.Con la norma anterior, se podía cumplir el objetivo con un programa de seguridad básico y una formación anual sobre cumplimiento normativo del tipo «marcar casillas». La nueva norma exige mucho más y también obliga a impartir programas de formación en seguridad que aborden las amenazas y vulnerabilidades específicas del entorno empresarial. Por ejemplo, si el robo de datos personales es un problema importante para la organización, la formación debe abordar esta cuestión.

Desde un punto de vista práctico, está claro que, incluso cuando se cumplen las nuevas normas, ya no basta con una formación mínima. En su lugar,las organizaciones deben ofrecer a los desarrolladores una ruta de aprendizaje integral y ágil que les enseñe cómo aplicar las mejores prácticas de seguridad en su trabajo diario. Al ir más allá del mero cumplimiento mínimo y proporcionar a los desarrolladores los recursos necesarios para comprender verdaderamente la seguridad, las organizaciones pueden ayudarles a cumplir con la norma PCI DSS 4.0 y, en general, a tomar decisiones de seguridad más adecuadas.

Afortunadamente, muchos de los nuevos requisitos de PCI DSS 4.0 se centran en áreas con las que la mayoría de los desarrolladores ya están familiarizados, como la autenticación, el cifrado, el control de acceso y la gestión de claves. Si se proporcionan a los desarrolladores recursos adecuados, relevantes y fáciles de usar para mejorar sus habilidades, las organizaciones podrán preparar más fácilmente a los desarrolladores para las nuevas normas y responsabilidades que exige PCI DSS 4.0.

Utilizar PCI DSS 4.0 como plataforma para reforzar la seguridad global.

Para lograr el cumplimiento de la nueva norma PCI DSS 4.0, es fundamental satisfacer las necesidades de los desarrolladores mediante una formación adecuada en materia de seguridad, pero las iniciativas para reforzar la ciberseguridad de las organizaciones no terminan ahí.Es cierto que los requisitos son estrictos, pero la mayoría de las organizaciones deben esforzarse por cumplirlos, por lo que no hay razón para no aprovechar esta iniciativa como punto de partida para mejorar la concienciación y la formación generales en materia de seguridad. Esto no solo ayudará a las organizaciones a cumplir los requisitos de conformidad, sino que también contribuirá a fomentar una cultura de seguridad positiva que priorice las mejores prácticas y garantice que todos los miembros de la organización trabajen con el mismo objetivo de dar prioridad a la seguridad.

Es cierto que el aprendizaje lleva tiempo, pero los desarrolladores estarán dispuestos a participar en ese esfuerzo. Según una encuesta realizada por Evans Data a más de 1200 desarrolladores profesionales activos en todo el mundo, la gran mayoría apoya la idea de crear código seguro y establecer una mejor cultura de seguridad en las organizaciones. Está claro que la mayoría de los desarrolladores acogen con satisfacción la transición hacia una codificación segura estratégica y respaldada, así como el cambio de prioridades en materia de seguridad, como parte del proceso de desarrollo.

Las actualizaciones de seguridad exigidas por la norma PCI DSS 4.0 constituyen una excelente excusa para que las empresas inviertan en mejorar las mejores prácticas de seguridad y la formación, y adopten una mejor cultura de seguridad general dentro de la organización.

Si las empresas invierten en programas que integren las habilidades de codificación segura con las herramientas y la formación pertinentes, los desarrolladores podrán mejorar más fácilmente su madurez en materia de seguridad. Como resultado, los desarrolladores podrán tomar decisiones más acertadas, lo que contribuirá a fomentar una cultura de seguridad y a mejorar el sistema de seguridad global de la organización, superando con creces la nueva y estricta norma PCI DSS 4.0.
‍