Akamai cumple con el Estándar PCI DSS para Acelerar las Transacciones Online Seguras con Tarjetas de Crédito

/noticias.info/
• Para asegurar estándares de seguridad consistentes para la protección de datos relativos a las tarjetas de crédito, Akamai cumple el Estándar Payment Card Industry (PCI) Data Security Standard (DSS)
• La seguridad de las transacciones online permite a las empresas de comercio electrónico mejorar la lealtad a la marca, reducir el abandono de los sitios Web e incrementar las tasas de conversión
• El nuevo servicio Dynamic Site Accelerator PCI de Akamai incluye el portal de gestión de auditoría PCI, herramientas de validación de configuración, informes de escaneo de infraestructura, normas de integración de servicios y una red SSL que cumple las normas PCI

El PCI Standards Security Council, compuesto de American Express, Discover, JCB, MasterCard y Visa, recientemente ha incrementado la presión sobre las organizaciones de comercio para proteger los datos de las tarjetas de crédito de sus clientes. Esta mayor presión ha incluido severas consecuencias punitivas penando el no cumplimiento, incluyendo multas o pérdidas de privilegios para la aceptación de pagos por tarjeta de crédito, o el uso de marcas de tarjetas de crédito. Akamai es ahora el primer y único servicio de aceleración de transacciones certificado para PCI, que mejora de forma segura las prestaciones y fiabilidad de los sitios Web de comercio y transacciones de comercio electrónico.

“Históricamente, al igual que las tiendas han trabajado para obtener la certificación, han tenido que colaborar con sus partners tecnológicos para certificar el cumplimiento,” dijo Andy Ellis, Chief Security Architect de Akamai. “Como respuesta, hemos creado una solución que acelera las transacciones de los sitios Web de forma segura y que a la vez, hace que sea más rápido y fácil cumplir las normas PCI. Para la mayoría de nuestros clientes de comercio, el cumplimiento de las normas PCI sigue siendo uno de sus principales requisitos.”

Para cumplir las normas PCI, Akamai realizó una auditoría de su red distribuida globalmente, de sus políticas y sistemas de seguridad de la información. La auditoría cubrió la red Akamai Secure Sockets Layer (SSL) y todas las herramientas de gestión, procesos y procedimientos asociados.
“Los estándares de seguridad PCI han establecido requisitos para asegurar la red, proteger los datos de los propietarios de tarjetas y regular sistemas de seguridad,” dijo Steven Trimbo, Director de Operaciones Online de Best Buy. El cumplimiento de las normas PCI es esencial para nosotros para ofrecer a nuestros clientes la comodidad de las transacciones online con tarjetas de crédito. Es crucial que nuestro partner tecnológico Akamai esté preparado y bien posicionado para ofrecer una plataforma de protección segura y fiable, que nos ayude a cumplir los más altos estándares de seguridad de la industria.

“Tener una infraestructura de aceleración de transacciones que cumple las normas PCI es uno de los requisitos críticos para las empresas de comercio electrónico actuales ya que manejamos grandes volúmenes de datos de pago sensibles de nuestros clientes,” dijo Jim Moran, Chief Information Security Officer de Educational Testing Service, una organización que ayuda al desarrollo de la calidad y equidad en la educación de las personas en todo el mundo. “El servicio de aceleración de sitios Web que cumple las normas PCI de Akamai nos permite optimizar las prestaciones de nuestros sistemas de comercio electrónico mientras aseguramos que las transacciones se realizan respetando las normas PCI, lo que lleva a una experiencia de usuario más rápida y más segura.”

La solución Dynamic Site Acceleratior PCI para acelerar las transacciones seguras con tarjetas de crédito online siguiendo las normas PCI. El servicio Dynamic Site Accelerator PCI incluirá:
- El portal de gestión de auditoría PCI
o Herramientas automatizadas para validar las configuraciones del sitio Web
o Informes de escaneo de infraestructura
o Certificado de validación PCI
- Normas de integración de servicios para el cumplimiento de las normas PCI- Notificación y respuesta a incidentes PCI
- Términos y condiciones autorizados para el cumplimiento de las normas PCI- Red SSL que cumple las normas PCI

Via noticias.info (agencia internacional de noticias)

Link relacionados

- Jornada sobre Seguridad en Medios de Pago - PCI DSS - Presentaciones

- Seguridad para tarjetas de crédito - PCI Security Standards Council

Las empresas que cumplen con los requerimientos PCI DSS sufren menos violaciones de datos

A pesar de ello, la mayoría de los profesionales no considera que el cumplimiento tenga un efecto positivo en la seguridad de su información

Imperva, compañía con foco en la protección de datos y sitios web, y distribuido en el mercado ibérico por Exclusive Networks, junto al Instituto Ponemon, ha dado a conocer los resultados de su segundo estudio relativo al impacto del Estándar de Seguridad de Datos para la Industria de Tarjetas de Pago (PCI DSS -Payment Card Industry’s Data Security Standards-).

El informe sobre Tendencias de Cumplimento PCI DSS -realizado en 2011 a 670 profesionales de multinacionales norteamericanas especializadas en seguridad TI- revela cómo el cumplimiento con PCI-DSS tiene un impacto positivo en la seguridad y protección de datos de las empresas.

En este sentido, y como principal conclusión se desprende que si bien una buena parte de las organizaciones que cumplen con el estándar PCI sufren menores violaciones, o no las padecen, la mayoría de los profesionales no percibe aún que PCI-DSS pueda suponer un elemento favorable en lo concerniente a la seguridad de la información.

Cumplimiento del estándar: una buena medida para reducir violaciones

Así las cosas, según el estudio, el 64% de las empresas que reconoce acatar el estándar PCI-DSS confirma no haber sufrido transgresiones relativas a los datos asociados a sus tarjetas de crédito en los últimos dos años, mientras que sólo el 38 % de las compañías que no cumplen pudieron afirmar lo mismo.

Cuando se trata de violaciones de datos globales (incidentes generales o relativos a la información contenida en la tarjeta de crédito), el 63% de las organizaciones que se encuentran en conformidad con el estándar no padeció más que una única violación de sus datos, en comparación con el 22% de las compañías que no lo acogen. Cabe destacar también que el 26% de las empresas que no lo ejecutan fueron víctimas de más de cinco delitos en el mismo período de tiempo.

Una percepción cínica sobre PCI-DSS A pesar de que la evidencia indica lo contrario, el 88% de los encuestados confirma no estar de acuerdo con que el cumplimiento de PCI-DSS pueda encerrar un efecto positivo en lo relativo al número de transgresiones experimentadas, y sólo el 39% cita la mejora en la seguridad de los datos como una de las propuestas de valor -contenida en PCI DSS- para los negocios.

De hecho, únicamente el 33% cree que el gasto destinado a cumplir con PCI-DSS queda cubierto por el beneficio que supone para la organización. El cumplimiento aumenta, a pesar de todo

El informe también recoge que dos tercios de los encuestados han logrado el cumplimiento sustancial con PCI-DSS. Esta cifra contrasta con la obtenida en el Estudio sobre Tendencias de Cumplimiento PCI DSS de 2009, cuando el número de participantes que confirmaba este hecho correspondía únicamente a la mitad de los profesionales preguntados, mientras que aproximadamente el 25% de los encuestados afirmaba que no había alcanzado nivel de cumplimiento alguno. En 2011, únicamente el 16% de las organizaciones sondeadas testifica no haberlo hecho.

Fuente:  NewsLetter E.Security 09 / 05 / 2011

Report: PCI DSS Compliance Trends Study, 2011

PCI Security Standards Council emite un resumen de los cambios en la nueva versión de la norma

El PCI Security Standards Council emite un resumen de los cambios en la nueva versión de la norma para la seguridad de la información del pago electrónico (PCI DSS)

El PCI Security Standards Council (Consejo de normas de seguridad de la industria de medios de pago), un organismo global de normas abiertas que suministra gestión de la norma para la seguridad de la información en la industria de pagos con tarjeta (PCI DSS) y requisitos de seguridad para los dispositivos de entrada de PIN (PED), así como para la norma de seguridad de la información para las aplicaciones de pago (PA-DSS), anunció hoy la emisión de un resumen de los cambios que se introducirán en la norma PCI DSS, para actualizar la versión 1.1 a la nueva versión 1.2, que fuera anunciada con anterioridad y que se presentará en octubre. Se encuentra disponible una introducción al resumen de los cambios, así como una sección de Preguntas Frecuentes (FAQ) en el sitio Web del Consejo.

Los cambios en la norma PCI DSS incluyen aclaraciones y explicaciones de los requisitos, las cuales ofrecen una mayor flexibilidad para enfrentar los desafíos actuales que presenta el entorno de las transacciones con tarjetas de pago. El documento que resume estos cambios está diseñado especialmente para aclarar los puntos clave de cada requisito. Gracias a estas aclaraciones también se podrán eliminar los requisitos adicionales redundantes, mejorando, a la vez, los requisitos sobre el alcance y el suministro de datos. Cuando se emita la versión 1.2 que incorpora las mejores prácticas existentes, también se actualizarán y consolidarán los documentos para respaldarla. Cabe destacar que la versión 1.2 no agrega ningún requisito importante a los 12 requisitos ya conocidos que han estado en vigencia desde el comienzo del Consejo.

“Gracias a la interacción con la comunidad, las Organizaciones Participantes del Consejo han prestado un servicio invalorable para poder mejorar la norma PCI DSS de modo que cumpla con las necesidades actuales del mercado”, declaró Bob Russo, gerente general del PCI Security Standards Council.

“Con la versión 1.2, lo que hacemos no es corregir las prácticas de seguridad que han venido funcionando hasta ahora, sino perfeccionarlas. Además, estamos distribuyendo una sinopsis de los cambios que se introducirán para asegurarnos de que ninguna de estas aclaraciones tome por sorpresa a los accionistas”.
Mediante el resumen de los cambios efectuados en la revisión de la norma PCI DSS, el Consejo les brinda instrucciones a los accionistas para que sepan a qué atenerse cuando la versión 1.2 esté disponible para el público. El Consejo concluirá la revisión de la norma y entregará la versión 1.2 a sus Organizaciones Participantes a principios de septiembre. Las Organizaciones Participantes del PCI SSC y el Comité Asesor del Consejo han estado respondiendo las consultas sobre las revisiones, y el Consejo está ultimando los detalles de la preparación de la nueva norma, así como la documentación que la respalda. Con este proceso se cumple el ciclo de vida establecido para garantizar que la norma PCI DSS se revise y actualice cada dos años. La versión 1.1 de la norma PCI DSS se presentó en septiembre de 2006.

Descarga
PCI DSS Summary of ChangesThe Payment Card Industry Data Security Standard (DSS) v 1.2 will replace the DSS v. 1.1 on October 1, 2008. This Summary of Changes document provides an overview of the significant differences between the two versions.
English: pdf

Visto en Euroinvestor.es

Otros post relacionados

PCI Compliance for dummies (Free Book)

Download this Free Book: Get the Facts on PCI Compliance and Learn How to Comply with the PCI Data Security Standard

Complying with the PCI Data Security Standard may seem like a daunting task for merchants. This book is a quick guide to understanding how to protect cardholder data and comply with the requirements of PCI - from surveying the standard's requirements to detailing steps for verifying compliance.

PCI Compliance for Dummies arms you with the facts, in plain English, and shows you how to achieve PCI Compliance. In this book you will discover:

• - What the Payment Card Industry Data Security Standard (PCI DSS) is all about
• - The 12 Requirements of the PCI Standard
• - How to comply with PCI
• - 10 Best-Practices for PCI Compliance
• - How QualysGuard PCI simplifies PCI compliance

Contact Information

Download

Seguridad para tarjetas de crédito - PCI Security Standards Council

El PCI Security Standards Council [*] anunció ayer que ha asumido la responsabilidad por los requisitos de seguridad para los dispositivos de entrada de PIN (PED por sus siglas en inglés) que previamente eran administrados bajo los auspicios de JCB, MasterCard International y Visa International.

Los requisitos de seguridad para PED están diseñados para garantizar globalmente las transacciones basadas en números de identificación personal (PIN), y se aplican a los dispositivos que aceptan entradas de PIN para todas las transacciones basadas en PIN.

"Agregar los requisitos de seguridad de PED refuerza y amplía nuestro compromiso de asegurar el proceso de pagos en forma global", manifestó Bob Russo, gerente general del PCI Security Standards Council. "El agregado de los requisitos de seguridad para PED bajo el PCI Security Standards Council eliminará requisitos contrapuestos, simplificará el proceso de pruebas y mantendrá medidas de seguridad permanentes para mejorar la seguridad general de las transacciones de pago."

Al estar los requisitos de seguridad para PED administrados por el Council, todas las marcas de medios de pago fundamentales reconocerán la certificación de PED, agilizando el proceso de pruebas, reduciendo los costos para los proveedores, y llevando a la proliferación de una mayor selección de productos PED. Los fabricantes de PED que envíen dispositivos para pruebas de seguridad podrán respaldarse en un único conjunto de requisitos, lo que garantizará la seguridad del titular de tarjetas y dará posibilidades para una instalación más rápida.
La implementación de los requisitos de seguridad Tendrá lugar en los próximos meses.

[*] PCI Security Standards Council es un foro mundial independiente y abierto cuya misión consiste en fomentar el continuo desarrollo, la mejora, la difusión y la implementación de estándares para la protección de datos.

A PCI Security Standards Council también se lo conoce como el "Consejo de normas de seguridad de la industria de medios de pago", era conocido anteriormente como AIS dentro del mundo VISA. Los AIS que se homologaron con VISA antes de que naciera el PCI Security Standards Council se convirtieron automáticamente en QSA homologados por PCI.

El objetivo último de PCI Security Standards Council es mejorar la seguridad de los datos relativos a cuentas de pago mediante una amplia adopción de los estándares que propone a la industria.
Los miembros fundadores de la organización incluyen a American Express, Discover Financial Services, JCB, MasterCard Worldwide y Visa International.

Este consejo mantiene una norma denominada "Norma PCI", la cual es un juego integrado de requisitos de seguridad de la información desarrollado por Visa y MasterCard para proteger la información de los titulares en todas las infraestructuras que puedan contener o transmitir ese tipo de datos.
Existen compañías homologadas para prestar asesoramiento según esta norma en diferentes lugares del mundo. En la actualidad la norma se ha adoptado por las grandes marcas de tarjetas: American Express, Discover Financial Services, JCB International Credit Card, MasterCard Worldwide y Visa International por lo que una vez superada una auditoría, esta es aceptada por todas las marcas.
Hay tres tipos de servicios disponibles para facilitar el cumplimiento de esta norma y la superación del proceso de auditoría: Revisión de cumplimiento de la norma PCI, Verificación de cumplimiento de la norma PCI y Comprobación automatizada de la seguridad PCI.

Web Oficial: www.pcisecuritystandards.org/

El PCI Security Standards Council emite un cuestionario actualizado de auto evaluación

WAKEFIELD, Masachusets.--(BUSINESS WIRE)
El PCI Security Standards Council, un organismo global de normas abiertas que suministra gestión de la norma para la seguridad de la información PCI Data Security Standard (PCI DSS) y requisitos de seguridad para los dispositivos de entrada de PIN, PCI PIN Entry Device (PED), así como para la norma de seguridad de la información para las aplicaciones de pago, Payment Application Data Security Standard (PA-DSS), anunció hoy que se encuentra disponible a partir de ahora el Cuestionario de Auto Evaluación (Self-Assessment Questionnaire - SAQ) para comerciantes y proveedores de servicio.

El SAQ es una herramienta de validación importantísima usada principalmente por los comerciantes y los proveedores de servicio para demostrar que cumplen con la norma PCI DSS.

Este nuevo SAQ está diseñado específicamente para simplificar y aumentar la eficacia del proceso de evaluación, y ayudar a los comerciantes que no necesitan efectuar una evaluación en el sitio para proteger la información de la tarjeta de pago. “Con la introducción del SAQ actualizado, los comerciantes podrán comprender mejor los pasos necesarios para asegurar su información de pago y cumplir con la norma PCI DSS”, dijo Bob Russo, gerente general del PCI Security Standards Council.
Un informe reciente efectuado por Javelin Research and Strategy enfatiza la necesidad de que los comerciantes continúen adoptando la norma PCI DSS. En este informe se encontró que el 63 por ciento de los consumidores cree que los comerciantes y minoristas son los que cuentan con menor seguridad para proteger su información de cuenta entre los afectados por las transacciones de pago.

En respuesta a estos comentarios de la industria, este nuevo SAQ incorpora actualizaciones diseñadas para reflejar la última versión 1.1 de la DSS y reemplaza una versión anterior que había estado vigente desde enero de 2005. La versión 1.1 del SAQ está disponible a partir de ahora en www.pcisecuritystandards.org/tech/saq.htm y consta de cuatro formularios únicos para ajustarse a distintos escenarios comerciales. Estos cuatro incluyen:
SAQ A: Está orientado a las necesidades de los comerciantes que han tercerizado todo el almacenamiento, procesamiento y transmisión de la información del titular de la tarjeta.
SAQ B: Creado para satisfacer las necesidades de los comerciantes que procesan la información del titular de la tarjeta únicamente mediante máquinas de impresión o terminales independientes de acceso telefónico.
SAQ C: Construido para orientarse a las necesidades de los comerciantes cuyos sistemas de aplicaciones de pago están conectados a Internet.
SAQ D: Diseñado para satisfacer las necesidades de todos los proveedores de servicios definidos por una marca de pago como elegibles para completar un SAQ y de aquellos comerciantes que no entran dentro de las categorías a las que se destinan los SAQ A, B, o C.

También se incluye en el sitio Web del Consejo una sección de preguntas frecuentes (FAQ) y un documento de instrucciones y pautas para el SAQ, destinado a simplificar el proceso y asegurarse de que los comerciantes y los proveedores de servicios puedan determinar con facilidad qué tipo de SAQ es la herramienta que les corresponde para confirmar el cumplimiento de la norma PCI DSS.
“La emisión del último cuestionario de auto evaluación es un paso más que da el PCI Security Standards Council para asegurarse de que todos los comerciantes y proveedores de servicios tengan opciones para determinar su estrategia de cumplimiento", dijo Russo. “Al tener distintos SAQ disponibles se logra aumentar la eficacia del proceso, y esto hará que los interesados puedan determinar con facilidad sus problemas de cumplimiento y resolverlos para asegurarse de que cumplen totalmente con la Norma”.

Articulos relacionados...

Information Supplement: PCI DSS Risk Assessment Guidelines - November 2012

WAKEFIELD, Mass., November 16, 2012 —The PCI Security Standards Council (PCI SSC), a global, open industry standards body providing management of the Payment Card Industry Data Security Standard (PCI DSS), PIN Transaction Security (PTS) requirements and the Payment Application Data Security Standard (PA-DSS), today released the PCI DSS Risk Assessment Guidelines Information Supplement, a product of the PCI Risk Assessment Special Interest Group (SIG). Organizations planning and performing a risk assessment in accordance with PCI DSS 12.1.2 can use the information supplement to help identify threats and the associated vulnerabilities that could jeopardize the security of payment card data.

More...

Objective

The objective of this document is to provide supplemental guidance and recommendations for performing a risk assessment in accordance with PCI DSS Requirement 12.1.2. A risk assessment, as required in the PCI DSS, is a formal process used by organizations to identify threats and vulnerabilities that could negatively impact the security of cardholder data.

 

This document does not replace, supersede, or extend any PCI DSS requirements; rather it provides guidance for organizations to identify, analyze, and document the risks that may affect their cardholder data environment (CDE).
 

Intended Audience

This guidance is intended for any organization that stores, processes, or transmits cardholder data (CHD). Examples include merchants, service providers, acquirers (merchant banks), and issuers. The intended audience includes large, medium, or small organizations

 

Donwload

 

 

Jornada sobre Seguridad en Medios de Pago - PCI DSS - Presentaciones

Se publicaron todas las presentaciones de la Jornada sobre PCI DSS celebrada el 7 de Noviembre de 2007 en Madrid - España.

Presentaciones:

• Presentación de la Jornada.
  
• Requerimientos de PCI DSS y las soluciones que permiten ir un paso más allá en la pura implementación - Zane Ryan de Dot Force España y Bruce Mac Nab de SafeNet.
  
• Cómo PCI DSS debe contemplarse como un proceso continuo y no un proyecto de seguridad dentro de un Sistema de Gestión de la Seguridad de la Información - Miguel Ángel Domínguez de Internet Security Auditors.
  
• Caso de éxito en la implantación de PCI DSS dentro de su SGSI certificado sobre la norma ISO/IEC 27001:2005. Pros y contras en su implantación así como las dudas que se plantearon en ATCA sobre la implantación de la norma- Pedro Sánchez de ATCA.
  
• Camino desarrollado por Mastercard Worldwide. Norma PCI DSS y PCI SSC (PCI Security Standards Council) - Paul Baker.
  
• Visión de Visa del porqué de contemplar la implantación de PCI DSS dentro de la empresa y los beneficios que aporta su implantación - Steve Wilson.

Link relacionado: PCI DSS Compliance Checklist

Seis pasos para... el cumplimiento del estándar PCI

A partir de diciembre de 2007, cualquier organización que acepte pagos mediante tarjeta deberá cumplir con el estándar de seguridad de datos PCI (Payment Card Industry).

Este estándar ha sido elaborado de forma conjunta por las principales empresas de pago con tarjeta, incluidas MasterCard y Visa, para poner fin a las frecuentes brechas de seguridad que afectan a los datos de miles de usuarios de tarjetas de crédito.

Mediante este estándar se pretende imponer una serie de políticas y medidas de seguridad que aseguren la privacidad de las transacciones de pago, así como el almacenamiento de estos datos.

Cualquier empresa que no cumpla con los mínimos de seguridad establecidos podrán enfrentarse a cuantiosas multas e incluso a la expulsión de los programas de pago por tarjeta.
Siga estos sencillos pasos para asegurarse el cumplimiento del estándar de seguridad de datos PCI.

1. Cree y mantenga una red segura. Requisitos PCI 1 y 2.
2. Proteja los datos de tarjetas de crédito. Requisitos PCI 3 y 4.
3. Disponga de un seguimiento de vulnerabilidades. Requisitos PCI 5 y 6.
4. Realice un exhaustivo control de acceso. Requisitos PCI 7, 8 y 9.
5. Monitorice y verifique el estado de su red. Requisitos PCI 10 y 11.
6. Redacte una política de seguridad interna. Requisito PCI 12.

Estándar de seguridad de datos PCI:
1-Disponer de un cortafuegos para proteger datos de tarjetas de crédito

2- No utilizar las credenciales predeterminadas en los diferentes parámetros de seguridad

3- Proteger los datos almacenados de tarjetas de crédito

4- Encriptar la transmisión de datos a través de redes públicas
5- Disponer de protección antivirus actualizada
6- Desarrollar y mantener sistemas y aplicaciones seguras
7- Restringir al máximo el acceso a los datos de tarjetas de crédito
8- Asignar un identificador único a cada usuario con acceso

9- Restringir de forma física el acceso a los sistemas con datos de tarjetas de crédito

10- Controlar el acceso a los recursos de la red y a los datos de tarjetas de crédito
11- Comprobar con frecuencia la seguridad de sistemas y procesos
12- Redactar una política de seguridad interna

Documento completo

Report: PCI DSS Compliance Trends Study, 2011

Imperva and The Ponemon Institute have completed a second study on the impact of the Payment Card Industry’s (PCI) Data Security Standards (DSS).

 

The 2011 PCI DSS Compliance Trends Study surveyed 670 US and multinational IT security practitioners on how efforts to comply with PCI-DSS affect an organization’s data protection and security. This report is essential for any organization attempting to comply PCI and wants to benchmark their efforts with their peers.

This year's report shows that:

• - The majority of PCI compliant organizations suffer fewer or no breaches, most practitioners still do not perceive the mandate to have a positive impact on data security.
• - About 64 percent of PCI-DSS compliant organizations reported suffering no data breaches involving credit card data over the past two years, while only 38 percent of non-compliant organizations reported suffering no breaches involving credit card data over the same period.
• - Certain technologies are adopted more quickly than others to comply with PCI. For example, code review saw the biggest decline in adoption.

Download


 Link relacionado:
PCI's Impact on Security Quantified





 

PCI Compliant: ¿sus APIs necesitan de esta certificación PCI DSS?

 ¿Qué es la certificación PCI DSS?

PCI DSS (PaymentCardIndustry – Data Security Standard) es un estándar de seguridad de alto nivel, indicado para todo el ecosistema de empresas que graban o procesan datos de tarjetas de crédito y débito – cubriendo desde dispositivos electrónicos, hasta aplicaciones e infraestructuras.

Este estándar fue establecido por PCI Security Standards Council (PCI SSC), formado por las grandes compañías de tarjetas, para tornar el ecosistema de pagos electrónicos más seguro y garantizar la adhesión y confianza de los clientes.

 

¿Mis APIs necesitan estar PCI compliant?

Cualquier empresa que acepta pagos con tarjeta de crédito/débito, procesando o almacenando datos de estas tarjetas, es indicada para tener la certificación PCI DSS. Este escenario es cada vez más común, principalmente para empresas involucradas en sectores como MercadoMinorista, Servicios Financieros y proveedores de tecnología.

En el caso que sus APIs trafiquen alguna información relacionada a tarjetas de pagos, entonces es muy importante que usted y los colaboradores técnicos involucrados en la sustentación de estas APIs cumplan los requerimientos y posean la certificación PCI.

Más.. 

Fuente: sensedia.com

 

2011 Verizon Payment Card Industry Compliance Report

This report analyzes findings from actual Payment Card Industry (PCI) Data Security Standard (DSS) assessments conducted by Verizon’s team of Qualified Security Assessors (QSAs).

The report describes where these organizations stand in terms of overall compliance with the DSS and presents analysis around which specific requirements are most and least often in place during the assessment process. Furthermore, we overlay this assessment- centric data with findings from Verizon’s Investigative Response services to provide a unique risk-centric perspective on the compliance process. In a section new to this year’s edition, significance tests are conducted to examine the relationship (or lack thereof) between various organizational practices and initial compliance scores.

• - Essentially unchanged from last year, only 21 percent of organizations were fully compliant at the time of their Initial Report on Compliance (IROC). This is interesting, since most were validated to be in compliance during their prior assessment. What causes this erosion over the course of the year?
• - Also similar to our prior report, organizations met an average of 78 percent of all test procedures at the IROC stage, with some variation in compliance scores. For instance, about 20 percent of organizations passed less than half of the DSS requirements, while 60 percent scored above the 80 percent mark.
• -  Organizations struggled most with the following PCI requirements: 3 (protect stored cardholder data), 10 (track and monitor access), 11 (regularly test systems and processes), and 12 (maintain security policies).
• -  PCI Requirements 4 (encrypt transmissions over public networks), 5 (use and update anti-virus), 7 (restrict access to need-to- know), and 9 (restrict physical access) showed the highest implementation levels
• -  Organizations do not appear to be prioritizing their compliance efforts based on the PCI DSS Prioritized Approach published by the PCI Security Standards Council—even less so than in the previous year.
• -  A mini-study comparing governance practices to the initial compliance score suggests that the way organizations approach compliance significantly factors into their success.
• -  Once again, organizations that suffered data breaches were much less likely to be compliant than a normal population of PCI clients.
• - Analysis of the top threat actions leading to the compromise of payment card data continues to exhibit strong coverage within scope of the PCI DSS. For most of them, multiple layers of relevant controls exist across the standard.

Download


Link relacionado:
- Verizon PCI report finds firms struggling to maintain compliance
- Informe anual de PCI: la seguridad es un proceso

Normas de Seguridad de Datos de la Industria de Tarjetas de Pago (PCI)

Ante el crecimiento exponencial de la banca comercial y del uso de tarjetas de crédito y de débito, la certificación PCI es en la actualidad y será, por los próximos dos años, uno de los requisitos más importantes que tendrá el sector bancario y comercial en el mundo entero.

Recordemos que PCI es el nombre abreviado de PCI DSS (Estándar de Seguridad de Datos de la Industria de Pagos con Tarjeta, por su sigla en inglés), un estándar administrado por el PCI Security Standards Council y que reúne a un conjunto común de prácticas que ayudan a garantizar la seguridad en el manejo de información de pagos con tarjeta, e incluye una serie de requerimientos para construir y mantener una red segura; proteger la información (de los titulares de tarjetas) en tránsito o inactiva; mantener un programa de gestión de vulnerabilidad; implementar fuertes medidas de control de acceso; monitorear su infraestructura de TI y mantener una directrices de seguridad de la información.

La necesidad de crear este estándar para transacciones electrónicas surge ante la creciente ocurrencia de brechas e incidentes de seguridad relacionados con las tarjetas de débito y crédito; ya sea que se trate del acceso, uso, exposición, alteración o destrucción no autorizada de información relacionada a los sistemas o datos de las entidades emisoras de tarjetas de crédito.

En Venezuela, según el INDECU durante el 2007 se han recibido 10 mil quejas de usuarios con irregularidades en sus tarjetas de créditos: 70% por ilícitos en cajeros automáticos y 30% por clonaciones tanto de débito como de crédito.
Por otra parte, la Alianza Nacional de Usuarios y Consumidores (ARAUCO) registró hasta julio de 2007 50 mil denuncias por estafa con tarjetas de crédito y débito. Este es un número preocupante si tomamos en cuenta el crecimiento exponencial que ha tenido la banca comercial en los últimos años en cuanto a usuarios y servicios ofrecidos.

Via daycohost.com


Normas de Seguridad de Datos de la Industria de Tarjetas de Pago (PCI) - Spanish:

• Normas de Seguridad de Datos de la Industria de Tarjetas de Pago:
  https://pcisecuritystandards.org/pdfs/spanish_pci_dss_v1-1.pdf
• Glosario, Abreviaturas y Acrónimos:
  www.pcisecuritystandards.org/pdfs/spanish_pci_dss_glossary_v1-1.pdf
• Procedimientos de Auditoría de Seguridad: www.pcisecuritystandards.org/pdfs/spanish_pci_dss_audit_procedures_v1-1.pdf
• Procedimientos de Escaneo de Seguridad: www.pcisecuritystandards.org/pdfs/spanish_pci_security_scanning_procedures_v1-1.pdf

Link Relacionados:
- Seguridad para tarjetas de crédito - PCI Security Standards Council
- Cumplir con PCI-DSS en España (si yo fuera un comercio)
- Las tarjetas de pago exigen más seguridad a la venta electrónica
- Jornada sobre Seguridad en Medios de Pago - PCI DSS - Presentaciones

Cumplir con PCI-DSS en España (si yo fuera un comercio)

Aquel viejo lema de los años sesenta de "Spain is different" que parecía teníamos olvidado resurge con fuerza a la hora de hablar del cumplimiento de PCI-DSS en España.
Llevamos 2 años convencidos de que es una normativa que acabará llegando, pero lo cierto es que hoy por hoy es una dura pugna a 4 bandas: las marcas de tarjetas, las entidades financieras, los comercios y el PCI Security Standards Council. Y entre todos, no se ponen de acuerdo para hacer que se cumpla con este estándar en nuestro país, cuando en el resto del "primer mundo" es una realidad e incluso en algunos estados norteamericanos se ha convertido en Ley.

También es verdad que en España, la red de tarjetas es particular con tres grandes players: Euro 6000, Servired y Sistema4b que, a su vez, representan tanto a las entidades financieras como a las principales marcas de tarjetas. Esta situación es diferente a la existente en cualquier otro país del mundo y, quizás, es lo que puede estar en el origen de la dificultad para la aplicación efectiva del estándar en España.
En esta situación hay un grupo importante de afectados, los comercios (los 'service providers' es algo similar) que deben encontrarse totalmente desorientados. Por una parte oye rumores (y ya se sabe, "cuando el río suena..."), pero cuando pregunta a su interlocutor, a su banco (entidad adquirente), le llegan mensajes de tranquilidad: "eso a vosotros no os afecta", "eso todavía no es obligatorio", etc., etc... en fin, todo un cruce de caminos.

Pero claro, cumplir con el estándar no es trivial: 12 grandes requerimientos que cubren todos los aspectos de la seguridad (a modo de ISO 27002 con un alcance limitado a los sistemas que tratan de titulares de tarjetas) y una gran prohibición: el almacenamiento de datos confidenciales del plástico. Todo esto, aderezado con la obligación de realizar auditorías insitu anuales y/o escaneos de vulnerabilidades trimestrales en función del número de transacciones que realices. Me imagino a algunos de vosotros teniendo un déjà vu y pensando: "¿Esto no es lo mismo que con los datos de carácter personal?". Pues sí, prácticamente lo mismo, con la diferencia de que no tenemos que cumplir porque lo diga una Ley, sino porque lo establecen las cláusulas de un contrato.

Además, está ocurriendo lo mismo: Cuando se publicó la Ley en 1992, sólo unos pocos se preocuparon por aquel artículo que hablaba de la obligación de establecer medidas de seguridad y tuvieron que pasar 7 años, hasta que en 1999 se publicó el Reglamento con dichas medidas de seguridad (y que incluía, que incluye, la obligación de pasar una auditoría) y la Agencia de Protección de Datos (por aquel entonces) se puso dura con el tema, para que todos empezáramos a tomarnos este tema en serio (supongo que por las sanciones).

Pues bien, con PCI-DSS, ocurrirá lo mismo. Todos sabemos que el tema del compliance es una cuestión de elegir bien una estrategia de cumplimiento en línea con los objetivos de la organización. En la mayor parte de los casos (por desgracia) no se ve la seguridad como un driver de negocio, sino como un reductor de costes con una probabilidad incierta y, claro está, ante esta situación, cuanto más improbable sea el coste del incumplimiento, más raro será que algún comercio se decida a abordar el cumplimiento con PCI-DSS de una forma seria.
Ahora bien, en cuanto esta situación cambie, y la probabilidad del coste del incumplimiento aumente y se parezca más a un hecho cierto, entonces será normal abordar el cumplimiento con PCI-DSS puesto que éste, siempre será inferior que el coste del incumplimiento.
Evidentemente, esto es distinto en el caso de los 'service providers' que deben cumplir con el estándar para poder seguir prestando servicios, en este caso, es obvio que el cumplimiento con PCI-DSS se convierte en una cuestión de negocio y, por tanto, explica por qué hasta ahora, la mayoría de nuestros proyectos en este ámbito están relacionados con este tipo de actores.

Para concluir, si yo fuera un comercio, ¿qué haría? Muy sencillo, preguntar a mi banco. Las entidades financieras serían las destinatarias de las penalizaciones impuestas por las marcas de tarjeta (a menos que aceptemos tarjetas tipo American Express) por lo que han de ser ellas las que marquen el tempo del cumplimiento. Evidentemente, yo me iría preparando, y actuaría como en el caso de cualquier normativa: Analizaría mi grado actual de cumplimiento y evaluaría el coste del cumplimiento para ir planificando la implantación de todas aquellas medidas o ir realizando los cambios necesarios en la operativa para que, llegado el momento, no tuviera problemas para demostrar mi cumplimiento con el estándar (como hoy va de refranes, uno más: "Hombre/mujer precavid@ vale por dos")...
Porque una cosa es evidente, más TEMPRANO que tarde vamos a tener que CUMPLIR con PCI-DSS.
Antonio Ramos, Director de Consultoría

Via blog.s21sec.com

New PCI Guidance for Mobile Payments

New merchant guidance from the Payment Card Industry Security Standards Council addresses card data protection for mobile devices used to accept payments, an area that poses increasing risks.

Banking institutions, as card issuers and acquirers, should use the guidance when assisting merchants with end-to-end mobile transaction security, says Steve Kenneally, who works in the Center for Regulatory Compliance at the American Bankers Association. 

 

 "Shining a spotlight on the need to improve payment security is always a great idea," he says. "Providing specific recommendations on how to achieve a higher level of security is even better."

As payments acquirers, banking institutions work with merchants to ensure the payment environment is secure, Kenneally says. "We expect the PCI guidelines to become one more tool that acquirers can use to increase merchant security," he adds.

Among mobile security considerations addressed in the PCI Council's new guidance are:

• Risks associated with account data entry on mobile devices, account data residing or stored on the devices and account data transmitted through mobile devices;
• Steps merchants should follow to ensure the physical and transactional security of mobile devices used for payment acceptance; and
• Guidelines for components involved in payment acceptance, such as hardware, software, the use of payment acceptance solutions and customer relationship considerations.

Mobile for Payment Acceptance

"The PCI guidelines recognize that some of the qualities that make mobile acceptance so attractive to merchants, also make it attractive to fraudsters," Kenneally says. "The applications are simple to obtain, easy to use and, by definition, are easy to transport. It may be easier just to steal a merchant's phone or tablet, rather than hacking into the system. You can't say that about a gas pump or checkout line at the supermarket." 

More...

Fuente: www.bankinfosecurity.com

 

2010 PCI Compliance Report - Just Released (Verizon)

VERIZON 2010 PAYMENT CARD INDUSTRY COMPLIANCE REPORT
A study conducted by the Verizon PCI and RISK Intelligence teams

Quick Summary

This report analyzes findings from actual Payment Card Industry Data Security Standard (PCI DSS) assessments conducted by Verizon’s team of Qualified Security Assessors (QSAs). The report examines the progress of organizations toward the goal of compliance and includes topics such as how and why some seem to struggle more than others. Also presented are statistics around which PCI DSS requirements and sub-requirements are most and least often in place (or compensated for) during the assessment process. Finally, the report overlays PCI assessment data with findings from Verizon’s Investigative Response services to provide a unique risk-centric slant on the compliance process.

Download (PDF - EN, 29 Pag)

Requisitos y consecuencias del cumplimiento de las normas de la PCI

Las reglas de la PCI establecen que los consumidores deben contar con un medio de transmisión de datos seguro para manejar la información confidencial de los tarjetahabientes, el cual debe incluir un programa de control de riesgos. Es necesario que se utilicen y actualicen con frecuencia los programas antivirus, además de contar con la capacidad para detectar, eliminar y brindar protección contra cualquier forma de software dañino.

Las empresas que cumplen los requisitos de la PCI están sujetas a multas de hasta 500.000 dólares por incidente, así como a un mayor escrutinio y sanciones adicionales, incluyendo la revocación de su capacidad para procesar sus tarjetas de débito y crédito. Además de multas y sanciones, las empresas que no cumplan con estas normas estarán sujetas a las regulaciones de publicación correspondientes (ocasionando la pérdida de la confianza de los clientes y la disminución del valor de su marca), lo cual puede reducir sus ingresos y las ganancias de los accionistas.

Por lo tanto, las empresas detallistas y otras organizaciones que manejan información confidencial de los tarjetahabientes alrededor del mundo se están enfocando de manera especial en desarrollar con rapidez una solución para cumplir las normas de la PCI.

“Las empresas detallistas y otros vendedores, emisores y organizaciones internacionales que manejan un gran volumen de operaciones con tarjetas de crédito o débito enfrentan la compleja tarea de asegurar la información personal de los tarjetahabientes. Estas complejas regulaciones generalmente requieren el cambio de venta al mayoreo por prácticas de seguridad internas y externas”, señaló Brian Burke, Director del Departamento de Contenido Seguro y Administración de Riesgos de IDC. “Las empresas detallistas y otras empresas deben cumplir para proteger a sus clientes, a ellos mismos y su marca. Especialmente, las empresas pequeñas y medianas necesitan garantizar su seguridad a través de una solución fácil de implementar que se administre con recursos mínimos. IronPort ofrece esta ventaja a través de appliances de seguridad de correo electrónico que satisfacen los requisitos de cumplimiento de la PCI de manera sencilla y transparente”.

Via ebizlatam

Check PCI Compliance - VMware Compliance Checker

Check the compliance of your IT infrastructure against specific standards and best practices that are applicable for the environment. The Compliance Checker is a free, downloadable, fully-functional product for checking compliance of your environment to help you ensure that it remains secure and compliant.

Compliance Checker for PCI DSS v1.2 is a free, downloadable tool that provides a real-time compliance check for multiple Microsoft Windows servers and desktops against PCI DSS v1.2 requirements. The tool collects data from these servers and desktops and produces a detailed summary of which requirements are met and which ones are not. This summary of PCI DSS v1.2 compliance can be used to drive a remediation/mitigation strategy and help prepare for audits.

Download



80% of web applications can't pass a PCI audit

During recent in-depth security reviews of almost 3,000 applications, it was discovered that over 80% of web applications don't comply with the OWASP Top 10 list of critical web application errors and subsequently couldn't pass a PCI compliance audit. Obviously, application security still has a long way to go. It's overly simplistic, but being in compliance with regulations like PCI provides a good baseline of security. You can still be hacked if you are in compliance with PCI or HIPAA or anything else, but the chances that your organization will find itself in the news because of a breach are significantly reduced.  There are far easier targets.

It was also discovered that over 80% of third-party code failed security tests. According to the report, anywhere from 30-70% of internally developed applications are comprised of third-party components. That number should clarify the danger of insecure third-party code just as much as Siemens Stuxnet did (probably the most famous to date example of a vulnerability resulting from insecure third-party code).

What will seem like common-sense after you hear it...open-source software is more secure than either its in-house or commercial brethren. A lot. A whopping 93% of open source applications did not pose a potential security risk. Apparently many eyes (and many testers) can help to create more secure software.

As we’ve repeatedly seen over the past couple of years, Cross-Site Scripting remains main web application vulnerability. The report notes that a full 51% of the vulnerabilities discovered in these applications was Cross-Site Scripting.

Something of a  bright spot, though...the average time for organizations to fix security defects has now shrunk from 36-82 days to 12-19. That's a significant drop. At least it's a start...and a good one, at that.

http://www.darkreading.com/security_monitoring/security/app-security/showArticle.jhtml?articleID=227...


Visto en HP

Metasploit 3.6 Aims for Compliance

The Metasploit vulnerability testing framework is out with a major update this week, providing new capabilities to help enterprises ensure security compliance.

Metasploit is available in three versions, Express, Pro and Open Source edition, and all three benefit from new features and capabilities. Metasploit Pro users gain a new PCI compliance capability that is intended to help organizations validate their readiness for the new PCI-DSS (Payment Card Industry Data Security Standard) 2.0 requirements.

"The Metasploit Pro PCI-DSS 2.0 report is designed to be used an appendix to a comprehensive report," HD Moore, Rapid7 Chief Security Officer and Metasploit chief architect told InternetNews.com. "Instead of providing a full list of pass/fail items, it is focused on known fail conditions based on the results of the penetration test."

More...

Visto en esecurityplanet.com