Con el apoyo adecuado, los desarrolladores pueden guiar a las organizaciones hacia un cumplimiento excelente de la normativa PCI DSS 4.0.

Una versión de este artículo se publicó originalmente en. DZone. Aquí se ha actualizado y sindicado.

La versión 4.0 de la norma de seguridad de datos de la industria de tarjetas de pago (PCI DSS) cambia casi todo lo relacionado con la seguridad de cualquier empresa u organización que acepte pagos electrónicos (la mayoría). Esta actualización supondrá un cambio radical para la mayoría de las empresas, que tendrán que actualizar muchos de sus procesos de seguridad e introducir nuevas protecciones en materia de cifrado, autenticación, control de acceso, gestión de claves y otras áreas en las que hasta ahora la adopción había sido lenta.

Debido a la complejidad de los nuevos requisitos, las organizaciones deben cumplir plenamente con la normativa antes de marzo de 2025. Sin embargo, esta fecha límite llegará antes de lo que la mayoría de la gente cree. De hecho, muchas empresas con visión de futuro están tomando medidas para que los desarrolladores puedan hacer frente al entorno de cumplimiento normativo actual.

Más allá del entrenamiento con casillas de verificación

Los desarrolladores de la organización escriben la mayor parte del código que utiliza la infraestructura, por lo que son un buen punto de partida para implementar los nuevos requisitos de PCI DSS 4.0. Sin embargo, la mayoría de los desarrolladores necesitan apoyo estratégico para mejorar sus habilidades como parte de un programa actualizado de concienciación sobre la seguridad. El objetivo es que adquieran la experiencia necesaria para implementar y mantener el mayor nivel de seguridad que exige la nueva norma.

De hecho, el requisito 12.6.2 de PCI DSS 4.0 exige a las organizaciones implementar un programa de seguridad formal y actualizarlo con la información más reciente sobre amenazas y tecnologías de defensa. En la norma anterior, se consideraba que se había cumplido el objetivo con un programa de seguridad básico o con una formación anual sobre cumplimiento normativo del tipo «marcar casillas». La nueva norma exige mucho más, como que los programas de formación en seguridad aborden las amenazas y vulnerabilidades específicas del entorno empresarial.Por ejemplo, si el robo de identidad es un problema importante en una organización, debe abordarse mediante la formación.

Es evidente que una formación mínima ya no es suficiente desde un punto de vista práctico ni para cumplir con los nuevos estándares. En su lugar, las organizaciones deben ofrecer a los desarrolladores una ruta de aprendizaje completa y ágil que les enseñe a aplicar las mejores prácticas de seguridad en su trabajo diario.Las organizaciones pueden ir más allá del mínimo esfuerzo de cumplimiento normativo y proporcionar a los desarrolladores los recursos necesarios para comprender adecuadamente la seguridad, lo que les permitirá tomar mejores decisiones de seguridad en general y cumplir con la norma PCI DSS 4.0.

La buena noticia es que muchos de los nuevos requisitos de PCI DSS 4.0 se centran en áreas con las que la mayoría de los desarrolladores ya están familiarizados, como la certificación, el cifrado, el control de acceso y la gestión de claves. Si se proporcionan a los desarrolladores recursos adecuados, relevantes y familiares que les permitan mejorar sus habilidades, las organizaciones podrán prepararse más fácilmente para las nuevas normas y las responsabilidades reforzadas que exige PCI DSS 4.0.

Utilizar PCI DSS 4.0 como plataforma para reforzar la seguridad general.

Aunque resolver las necesidades de los desarrolladores mediante una formación excelente en materia de seguridad es importante para cumplir con éxito la nueva norma PCI DSS 4.0, los esfuerzos por llevar a la organización hacia una mejor ciberseguridad no tienen por qué terminar aquí. Sí, los requisitos son estrictos, pero la mayoría de las organizaciones deben esforzarse por cumplirlos, por lo que no hay razón para no utilizar estos esfuerzos como punto de partida para iniciar una mejor concienciación y formación en materia de seguridad en general. De este modo, las organizaciones no solo podrán cumplir los requisitos de cumplimiento normativo, sino que también podrán empezar a crear una cultura de seguridad positiva que dé prioridad a las mejores prácticas y haga que todo el personal de la organización trabaje por los mismos objetivos prioritarios en materia de seguridad.

Por supuesto, existe una curva de aprendizaje, pero los desarrolladores también se esforzarán por lograrlo. Según una encuesta realizada por Evans Data, la gran mayoría de los más de 1200 desarrolladores profesionales que trabajan activamente en todo el mundo apoyan la idea de crear código seguro y establecer una mejor cultura de seguridad en las organizaciones. Está claro que la mayoría de los desarrolladores acogen con satisfacción el cambio estratégico y respaldado hacia la codificación segura y el cambio de prioridades de seguridad como parte del proceso de desarrollo.

Las actualizaciones de seguridad exigidas por PCI DSS 4.0 proporcionan a las empresas una excusa perfecta para invertir en mejores prácticas de seguridad y formación, e introducir una cultura de seguridad más sólida en toda la organización.

Si las empresas invierten en programas que integren tecnologías de codificación segura con las herramientas y la formación pertinentes, los desarrolladores podrán mejorar más fácilmente su madurez en materia de seguridad. De este modo, los desarrolladores tendrán la capacidad de tomar mejores decisiones que superen con creces los estrictos nuevos estándares PCI DSS 4.0, lo que les permitirá crear una cultura de seguridad.
‍