Guía de implementación de herramientas tecnológicas dirigida a las pymes para dar cumplimiento a la norma internacional PCI DSS V3.0

Abstract

En el año 482006, un grupo de cinco entidades financieras, preocupado por el alto índice de fraudes con tarjetas de crédito, se reunió para crear un programa de seguridad de datos y fundaron un consejo denominado PCI Security Standards Council. Este grupo está conformado principalmente por American Express, Discover Financial Services, JCB International, MasterCard y VISA, este programa se aplica a todas las empresas que transmitan, procesen o almacenen datos de tarjetas de crédito o débito, no importa el tamaño de la misma, es decir que toda empresa que opere en el nicho de manejo de datos de tarjetahabientes está obligada a cumplir con este requerimiento para que sea reconocida por el PCI DSS como una empresa que provee los niveles de seguridad adecuados en los proceso que involucren información de tarjetahabientes, los niveles de seguridad propuestos por PCI DSS se obtienen aplicando controles y metodologías en las empresas, las metodologías básicamente se centran en tener un gobierno de seguridad bien estructurado, en donde existan unas políticas y lineamientos a seguir por todos los integrantes de la empresa, los controles también deben ir definidos en la política de seguridad de la empresa, algunos hacen parte de la cultura organizacional que debe implementar el gobierno de seguridad de la información, pero la gran mayoría son controles de tipo tecnológico, que implican despliegues de tecnologías a todos los niveles de la empresa, estos controles tecnológicos están dirigidos a:

In 482006, a group of five financial institutions, concerned about the high fraud index with credit cards, gathered to create a program of data security and founded a council called PCI Security Standards Council. This group is mainly made up of American Express, Discover Financial Services, JCB International, MasterCard and VISA, this program applies to all companies that transmit, process or store data from credit or debit cards, no matter the size of it, that is to say that all company operating in the cardholder data handling niche is obliged to comply with this requirement so that it is recognized by the PCI DSS as a company that provides adequate levels of security in process involving cardholder information, security levels proposed by PCI DSS are obtained by applying controls and methodologies in companies, the methodologies basically focus on having a government of well-structured security, where there are policies and guidelines to follow by all the members of the company, the controls must also go defined in the company's security policy, some are part of the organizational culture to be implemented by the security government of the information, but the vast majority are technological controls, which involve technology deployments at all levels of the company, these controls technology are aimed at: