PCI-DSS

¿Qué es la norma PCI DSS?

PCI DSS es una fuente de referencia para los requisitos de seguridad cuya finalidad es garantizar la confidencialidad de las tarjetas bancarias y de crédito durante su uso en sistemas informáticos. La edición y el mantenimiento de la fuente de referencia son realizados por el PCI Council, una asociación profesional de sociedades emisoras de tarjetas de crédito que incluye a VISA, Mastercard, American Express, JCB y Discovery.

Cualquier banco que expida tarjetas a sus clientes titulares de una cuenta bancaria, o que reciba transacciones para sus clientes comerciales, puede proporcionar una definición contractual de los requisitos de seguridad que deben cumplir sus clientes y socios. La norma PCI DSS define un nivel de seguridad común que engloba la mayoría de las necesidades. La norma PCI DSS ha llegado a ser referencia en materia de seguridad de los pagos electrónicos, y su cumplimiento se ha convertido en un requisito sistemático para los usuarios de sistemas de pago en línea. Cada parte de la cadena de alojamiento del sistema de pago en línea comparte una fracción de responsabilidad en el control de la seguridad global de la plataforma. Estas obligaciones son transferidas por contrato desde las marcas de las tarjetas hacia todos los agentes involucrados en la plataforma de pago electrónico.

La norma PCI DSS enumera oficialmente más de 250 controles y funciones de seguridad que deben establecerse para tratar los números de tarjeta con total seguridad. Estos controles se dividen en seis grupos:

• Construir y mantener una red y un sistema seguros

• Proteger los datos de los titulares de las tarjetas

• Mantener un programa de control de vulnerabilidades

• Introducir medidas sólidas de control de acceso

• Controlar y verificar las redes con regularidad

• Mantener una política de seguridad de la información

Cumplimiento de la norma PCI DSS

La conformidad con la norma PCI DSS es de aplicación a toda la plataforma de pago electrónico y debe ser respetada por el comerciante según lo estipulado por los bloques de construcción de PCI DSS que pertenecen a su proveedor de servicios. Lo que implica que cada parte involucrada en el uso de la plataforma cumple con los requisitos de la norma que son relevantes para sus actividades, demostrando esta conformidad a sus clientes.

En el marco de la infraestructura de pago PCI DSS de OVHcloud, OVHcloud es responsable de la seguridad de la infraestructura, mientras que usted es responsable de la seguridad de las máquinas virtuales alojadas, del uso de las funcionalidades de la red virtual y de los niveles de aplicación desplegados en sus máquinas virtuales. Así, la conformidad con PCI DSS supone un esfuerzo conjunto de combinar las medidas de seguridad de su programa y su plataforma de sistema con las de la infraestructura de Private Cloud de OVHcloud.

El cumplimiento de la norma PCI DSS se certifica a través de una declaración de cumplimiento (AOC por las siglas en francés) que se expide una vez realizado un cuestionario de autoevaluación o una auditoría realizada por uno o varios asesores de seguridad certificados (QSA por las siglas en inglés).

La conformidad de su plataforma con PCI DSS es un procedimiento estructurado, cuyas características y obligaciones dependen de varios factores:

•     número de transacciones anuales,
•     tipo/s de tarjeta/s bancaria/s aceptada/s
•     banco/s adquiriente/s,
•     complejidad de la infraestructura de pago electrónico.

Cumplir la norma PCI DSS supone acercarse a las partes implicadas con el fin de entender sus expectativas particulares. OVH le recomienda ponerse en contacto con su banco adquiriente y/o con una empresa de QSA para facilitarle este proceso.

La plataforma de OVH se somete a auditorías anuales por parte de una empresa de QSA. Los documentos de auditoría están a su disposición para que pueda consultarlos y permitirle:

•     conocer qué requisitos cubre nuestra certificación,
•     definir las necesidades que debe cubrir,
•     mostrar a su QSA que todos los requisitos aplicables son reconocidos por OVHcloud y se ajustan a la norma PCI DSS.

OVHcloud también puede ayudarle a alcanzar la conformidad, gracias al apoyo de su equipo de expertos, así como a la documentación que ofrecemos, incluyendo:

•     la creación de una matriz de asignación de responsabilidades de PCI DSS,
•     las condiciones específicas en las que se explica la responsabilidad de OVH,
•     un modelo de especificaciones para la ejecución de las pruebas de amenazas obligatorias.