Con el apoyo adecuado, los desarrolladores pueden guiar a su organización hacia un cumplimiento excelente de la norma PCI DSS 4.0.

Una versión de este artículo apareció originalmente en DZone. Se ha actualizado y publicado aquí.

La versión 4.0 de la Norma de Seguridad de Datos de la Industria de Tarjetas de Pago (PCI DSS) cambiará prácticamente todo lo relacionado con la seguridad de cualquier empresa u organización que acepte pagos electrónicos (la gran mayoría). Sin duda, esta actualización supondrá un cambio radical para la mayoría de las empresas, que se verán obligadas a actualizar muchos de sus procesos de seguridad y, posiblemente, a introducir nuevas medidas de protección en áreas como el cifrado, la autenticación, el control de acceso, la gestión de claves y otras, en las que hasta ahora el progreso había sido lento.

Debido a la complejidad de los nuevos requisitos, las organizaciones solo podrán cumplir plenamente con ellos antes de marzo de 2025. Sin embargo, esta fecha límite llegará antes de lo que la mayoría cree. De hecho, muchas empresas con visión de futuro ya están tomando medidas para que sus desarrolladores puedan navegar por el panorama de cumplimiento pendiente.

Más allá del entrenamiento listo para usar

Los desarrolladores de la organización escriben la mayor parte del código en el que se basa su infraestructura, por lo que son un buen punto de partida a la hora de implementar los nuevos requisitos de PCI DSS 4.0. Sin embargo, como parte de un programa de concienciación sobre seguridad actualizado, la mayoría de los desarrolladores necesitarán apoyo estratégico para mejorar sus habilidades. El objetivo es garantizar que cuenten con la experiencia necesaria para implementar y mantener el mayor nivel de seguridad que exigen las nuevas normas.

En realidad, el requisito 12.6.2 de PCI DSS 4.0 guía a las organizaciones en la implementación de un plan de seguridad formal y en su actualización utilizando la información más reciente sobre amenazas y tecnologías de defensa. Con las normas anteriores, un plan de seguridad básico o incluso una formación anual sobre cumplimiento en forma de «lista de verificación» bastaban para cumplir los objetivos. Los requisitos de la nueva norma van mucho más allá, e incluso exigen que los planes de formación en seguridad aborden las amenazas y vulnerabilidades específicas del entorno de la empresa.Por ejemplo, si el robo de identidad es un problema importante para la organización, la formación debe abordar esta cuestión.

Es evidente que, tanto desde un punto de vista práctico como desde el cumplimiento de las nuevas normas, la formación mínima ya no es suficiente. Por el contrario, las organizaciones deben proporcionar a los desarrolladores vías de aprendizaje completas y ágiles que les enseñen a aplicar las mejores prácticas de seguridad en su trabajo diario. Al ir más allá del cumplimiento mínimo y proporcionar a los desarrolladores los recursos necesarios para comprender realmente la seguridad, las organizaciones pueden ayudar a sus desarrolladores a tomar mejores decisiones generales en materia de seguridad, al tiempo que cumplen con la norma PCI DSS 4.0.

La buena noticia es que muchos de los nuevos requisitos de PCI DSS 4.0 se centran en áreas con las que la mayoría de los desarrolladores ya están familiarizados, como la autenticación, el cifrado, el control de acceso y la gestión de claves. Al proporcionar a los desarrolladores recursos adecuados, relevantes y familiares para mejorar sus habilidades, las organizaciones pueden prepararlos más fácilmente para hacer frente a los nuevos estándares y mayores responsabilidades que exigen los requisitos de PCI DSS 4.0.

Utilizar PCI DSS 4.0 como base para mejorar la seguridad general.

Aunque satisfacer las necesidades de los desarrolladores mediante una buena formación en materia de seguridad será clave para cumplir con éxito la nueva norma PCI DSS 4.0, los esfuerzos por impulsar a las organizaciones hacia una mejor ciberseguridad no terminan ahí.Sí, los requisitos son estrictos, pero dado que la mayoría de las organizaciones deben esforzarse por cumplirlos, no hay razón para no aprovechar este esfuerzo como trampolín para poner en marcha una mejor concienciación y formación general en materia de seguridad. Esto no solo ayudará a las organizaciones a cumplir los requisitos de conformidad, sino que también permitirá comenzar a fomentar una cultura de seguridad proactiva que dé prioridad a las mejores prácticas y garantice que todos los miembros de la organización trabajen con el mismo objetivo de «la seguridad es lo primero».

Por supuesto, hay una curva de aprendizaje, pero es muy probable que los desarrolladores estén dispuestos a hacer ese esfuerzo. En la encuesta de Evans Data, la gran mayoría de los más de 1200 desarrolladores profesionales activos en todo el mundo se mostraron a favor de la idea de crear código seguro y establecer una mejor cultura de seguridad en las organizaciones. Está claro que la mayoría de los desarrolladores acogen con agrado el cambio estratégico hacia la codificación segura en el proceso de desarrollo y la redefinición de las prioridades de seguridad.

Las actualizaciones de seguridad exigidas por la norma PCI DSS 4.0 proporcionan una excusa perfecta para que las empresas inviertan en mejorar las mejores prácticas de seguridad y la formación, y para fomentar una mejor cultura de seguridad general dentro de la organización.

Si las empresas de desarrolladores invierten en un programa que les permita combinar habilidades de codificación segura con las herramientas y la formación adecuadas, los desarrolladores podrán alcanzar más fácilmente un mayor nivel de madurez en materia de seguridad. Esto, a su vez, contribuirá a crear una cultura de seguridad en la que los desarrolladores puedan tomar mejores decisiones, lo que mejorará la seguridad general de la organización, incluso más allá de los estrictos requisitos del nuevo estándar PCI DSS 4.0.
‍