1 INTRODUCCIÓN

El uso de tarjetas de débito y crédito con alcance internacional obligan a cumplir con estándares definidos por las grandes marcas mediante El PCI Security Standards Council. El más relevante en materia de seguridad PCI DSS establece diferentes requisitos tanto de gestión como técnicos con la finalidad de precautelar la información de los tarjeta-habientes en el sistema de medios de pago.

Figura 1: Tipos de Datos en Tarjetas

2 OBJETIVOS

2.1 OBJETIVO GENERAL

Desarrollar en conjunto con el cliente actividades para la implementación de los estándares de seguridad PCI DSS que corresponda al tipo de operaciones existentes con los medios de pago con la finalidad de estar preparados para la Auditoria de Cumplimiento PCI DSS

2.2 OBJETIVOS ESPECÍFICOS

Se plantean objetivos específicos en virtud de la experiencia y conocimientos de estos procesos:

FASE 1: Analizar el Ámbito PCI previamente definido y determinar desviaciones.
FASE 2: Acotar lo más posible el Ámbito PCI del Cliente
FASE 3: Adecuación PCI del Ámbito PCI acotado
FASE 4: Pre auditoria de cumplimiento – SAQ

3 ALCANCE Y ENTREGABLES

La adecuación de la infraestructura de seguridad a los requisitos PCI DSS ha sido definida por fases con sus correspondientes entregables:

3.1 FASE 1: ESTABLECER O VALIDAR ÁMBITO PCI

Mediante la revisión de los procesos operativos y tecnológicos del cliente, determinar el AMBIO PCI o validar el alcance definido por el cliente.

3.2 ENTREGABLE FASE 1

Ámbito PCI REAL VALIDADO

3.3 FASE 2: ASESORAR PARA ACOTAR ÁMBITO PCI

Una vez determinado el ámbito real, esta fase está orientada a minimizar lo más posible los procesos donde se operen con datos de tarjetas que estén protegidos por normativa. En esta fase se pretende realizar un análisis de necesidades por procesos y donde no se pueda establecer una necesidad de negocio, se propondrá medios alternativos para no comprometer los datos en cuestión.

3.4 ENTREGABLE FASE 2

Propuesta de Ámbito PCI Acotado al máximo.

3.5 FASE 3: ASESORAR PARA ADECUAR ÁMBITO PCI

En esta fase se propone asesorar al cliente para lograr el cumplimiento de PCI DSS al ámbito PCI acotado.

3.6 ENTREGABLE FASE 3

Matriz de adecuación del ámbito PCI acotado contra los objetivos de control definidos por PCI DSS. Esta fase puede presentar ciertas demoras en casos donde se requiera infraestructura, dispositivos, pero podría dejarse únicamente a nivel de Plan de Acción.

3.7 FASE 4: EVALUAR CUMPLIMIENTO

En esta fase la tarea consiste en simular una auditoria de pre certificación o también denominada SAQ – Self Assestment Questionary tomando en cuenta todos los requisitos, métodos y consideraciones que hace un organismo de Certificación QSA, durante esta fase.

3.8 ENTREGABLE FASE 4

Informe de pre auditoria SAQ, con No conformidades potenciales y recomendaciones de remediación.

En esta fase se hace una superposición del Ámbito PCI acotado contra los 12 requisitos de seguridad identificados en PCI DSS.

FASE 3.1: GAP PCI

En una primera fase este proceso establece las brechas de adecuación PCI.

Figura 2: Requisitos PCI DSS

FASE 3.2: ADECUACIÓN PCI

En una segunda fase se recomienda y acompaña en la aplicación de medidas técnicas para minimizar las brechas o en su defecto plantear desviaciones temporales y plan de acción.

Figura 3: Matriz de cumplimiento y adecuación

ENTREGABLE FASE 3

Se tienen dos entregables:

FASE 4: EVALUAR CUMPLIMIENTO

En esta fase se plantea realizar un simulacro muy estricto de una auditoria de certificación donde se espera tener como resultado todas las posibles observaciones antes de la auditoria de certificación.

Se aplican las recomendaciones PCI

Figura 4: Documentos relacionados con el SAQ

4.8 ENTREGABLE FASE 4

Informe de pre auditoria con No conformidades potenciales y recomendaciones de remediación. Con la premisa de ser lo más estrictos posibles en términos de cumplimiento y adecuación. Generalmente en esta etapa se destinan recursos humanos complementarios y diferentes a los empleados en la fase de implementación.

5 CREDENCIALES DE EXPERIENCIA ESPECIFICA

A continuación, algunos de los servicios otorgados en lo que al Servicio ISO 27001 se refieren. Estos servicios demuestran más allá de certificaciones teóricas, la experiencia real de nuestro equipo.

Nº	Año	NOMBRE DEL CLIENTE	SERVICIOS PRESTADOS
1	2001 – 2012	Banco Los Andes Procredit	Evaluación y Adecuación PCI
2	2012	Banco Solidario SA	Evaluación de cumplimiento y Adecuación PCI
3	2012	Mutual La Primera	Evaluación de cumplimiento y Adecuación PCI
4	2012	Cliente BISA	Capacitación y entrenamiento PCI DSS
5	2013	Banco Los Andes Procredit	Evaluación de cumplimiento PCI DSS
6	2014	Banco Los Andes Procredit	Evaluación de cumplimiento PCI DSS
7	2015	Banco Los Andes Procredit	Evaluación de cumplimiento PCI DSS
8	2016	Banco Los Andes Procredit	Evaluación de cumplimiento PCI DSS
9	2017	EFV La Primera	Auditoria de cumplimiento PCI DSS en el Proyecto de Core Financiero
10	2017 – 2020	Banco Ganadero	Adecuación PCI DSS

Compartimos algunos recuerdos del año 2011, cuando a iniciativa de Yanapti SRL se realizo un evento de PCI DSS para todas las Entidades Financieras con apoyo de empresas internacionales y la AUTORIDAD DE REGULACIÓN DEL SISTEMA FINANCIERO – ASFI