Webinar-Spanish-PCI DSS-4.0.pdf

SEMINARIO WEB:
PCI DSS v4.0
SU ASOCIADO EN CUMPLIMIENTO DE TI
VAYA MÁS ALLÁ DE LA LISTA DE COTEJO
Descargar Ficha de PCI DSS 4.0
Agendar Discusión de Certificación PCI DSS

ANDRES GUTIERREZ
Presidente LATAM
ControlCase
Andrés es el presidente de ControlCase LAC en Colombia y es responsable de todas las
operaciones y actividades, incluida la gestión y entrega de los servicios de ControlCase en la
región de América Latina.
Es responsable de las Ventas y Ejecución de Negocios en el territorio y de otras operaciones
dentro de la región de América Latina. También es un gerente experimentado con más de 12
años de experiencia en Auditoría y Consultoría para los diferentes Estándares de Seguridad de
la Información. Andrés ha realizado evaluaciones de seguridad de TI, incluidas evaluaciones de
brechas, compromisos de remediación y certificación para bancos y proveedores de servicios
pequeños a grandes en servicios de pago, comerciantes y BPO dentro de los Estados Unidos,
Canadá y América Latina. Antes de ControlCase, Andrés ocupó varios puestos de seguridad
de la información, incluida una experiencia Big4.
Andrés tiene una Licenciatura en Ciencias en Ingeniería Informática junto con las Certificaciones
de Auditor Líder QSA e ISO/IEC 27001 y ha hablado en diferentes ocasiones en varios foros de
la Industria de TI.
Presentaciones
© ControlCase. All Rights Reserved. 2

Agenda
1. Sobre ControlCase
2. Sobre PCI DSS
3. Historia de PCI DSS
4. Actualización PCI DSS V4.0
5. A Fondo: Cambios Notables
6. Cronología de PCI DSS V4.0

1
SOBRE CONTROLCASE

Instantánea ControlCase
CERTIFICACIÓN Y SERVICIOS DE CUMPLIMIENTO CONTINUOS
Vaya más allá de la lista de cotejo del auditor para:
Reducir dramáticamente el tiempo, costo y carga de certificarse y mantener cumplimiento de TI.
• Demostrar el cumplimiento más eficiente
y efectivamente en costo (certeza de
costo)
• Mejorar las eficiencias
• Hacer más con menos recursos y ganar
tranquilidad sobre cumplimiento
• Liberar sus recursos internos para
concentrarse en sus prioridades
• Descargar gran parte de la carga de
cumplimiento a un asociado de
cumplimiento de confianza
1,000+ 275+
10,000+
CLIENTES CERTIFICACIONES
DE SEGURIDAD
DE TI
EXPERTOS EN
SEGURIDAD

Solución
Servicios de Certificación y Cumplimiento Continuo
“
He trabajado en ambos lados de la
auditoría. Jamás había visto a otra firma
entregando el mismo producto y servicio
con el mismo valor. Ninguna otra firma
proporciona esa mejora continua y el
nivel de detalle y respuesta.
— Gerente de Seguridad y Cumplimiento,
Centro de Datos
ControlCase
Compliance Hub®
Impulsado por la
Automatización
Servicios de
Certificación
de TI
Servicios de
Cumplimiento
Continuo
Enfoque de
Asociación

Asociación Estratégica de Seguridad para Cumplimiento de PCI DSS
Las Evaluaciones PCI DSS Deberán Ser Completadas
por un Asesor de Seguridad Calificado (QSA)
ControlCase es una compañía QSA que ofrece lo siguiente:
Enfoque de
Asociación
Gestión del Éxito
del Cliente
Equipo de Apoyo
Receptivo
Experiencia
Proactiva
Pensamiento
Innovador

Servicios de Certificación
“
Cuentas con 27 segundos para dar una
primera impresión. Y después de nuestra
reunión inicial, resultó claro que ellos
estaban más interesados en auxiliar a
nuestro negocio y forjar una relación,
no solo en hacerse del negocio.
— Director Sr., Riesgo y Cumplimiento de Información,
Gran Comerciante
PCI DSS ISO 27001-2 SOC 1,2,3,&
Cybersecurity
HIPAA
FedRAMP PCI P2PE GDPR NIST 800-53
PCI PIN PCI SSF/SLC CSA STAR HITRUST CSF
One Audit™
Evaluar Una Vez. Cumplir para Muchos.

Tablero de ControlCase One Audit™

2
SOBRE PCI DSS

¿Qué es PCI DSS?
ESTÁNDAR DE SEGURIDAD DE DATOS DE LA
INDUSTRIA DE TARJETAS DE PAGO
Establecido en 2006 por emisoras
líder de tarjetas de pago.
(VISA, MasterCard, American Express,
JCB International, y Discover Financial
Services)
Mantenido por el Consejo de
Estándares de Seguridad PCI
(PCI SSC).
PCI DSS proporciona requerimientos
operativos y técnicos para proteger
datos de tarjetahabientes.
ACTUALMENTE EN PCI DSS VERSIÓN 3.2 RECIÉN SE ANUNCIÓ PCI DSS VERSIÓN 4.0

12 Requerimientos de PCI DSS
OBJETIVOS DE CONTROL (6 PRINCIPIOS) 12 REQUERIMIENTOS
Construir y mantener una red segura
1. Instalar y Mantener una Configuración de Cortafuegos para Proteger Datos de Tarjetahabientes
2. No Utilizar Valores por Defecto de Fabricante para Contraseñas de Sistema y Otros Parámetros de Seguridad
Proteger datos de tarjetahabientes
3. Proteger Datos de Tarjetahabientes Almacenados
4. Cifrar la Transmisión de Datos de Tarjetahabientes por Redes Abiertas Pública
Mantener un programa de gestión de vulnerabilidad
5. Usar y Actualizar Regularmente Software Antivirus en Todos los Sistemas Comúnmente Afectados por Malware
6. Desarrollar y Mantener Sistemas y Aplicaciones Seguros
Implementar medidas de control de acceso robustas
7. Restringir Acceso a Datos de Tarjetahabientes por Estricta Necesidad de Negocio
8. Asignar una ID Única a CadaPersona con Acceso a Computadora
9. Restringir Acceso Físico a Datos de Tarjetahabientes
Monitorear y probar redes regularmente
10. Rastrear y Monitorear Todo Acceso a Recursos de Red y datos de Tarjetahabientes
11. Probar Regularmente Sistemas y Procesos de Seguridad
Mantener una política de seguridad de información 12. Mantener una Política que Atienda la Seguridad de Información

Familia de Estándares PCI DSS
PCI DSS
Seguridad de Ambientes que
almacenan, procesan o transmiten
datos de cuentas
PCI PA-DSS
Asegura que las aplicaciones de pago
soporten cumplimiento PCI DSS
PCI P2PE
Asegura que los datos se cifren en el
POI y que solo puedan descifrarse por
un ambiente
PCI TSP
Requerimientos para proveedores de
servicio de identificador para tokens
de Pago EMV
PCI Producción de Tarjetas
Requerimientos de seguridad físicos
y lógicos para manufactura y
personalización de tarjetas
PCI 3DS
Requerimientos físicos y lógicos para
entidades que implementan solución
de Pago 3DS
PCI PTS – HSM
Controles físicos y lógicos para
asegurar HSM
PCI PTS – POI
Protección de datos sensibles en POI
PCI PTS – Seguridad PIN
Gestión, procesamiento y transmisión
seguros de datos de PIN

Datos en Cuestión (Datos Tarjetas Crédito & Débito)
DATOS DE TARJETAHABIENTES INCLUYEN:
• Número de Cuenta Primario (PAN)
• Nombre de Tarjetahabiente
• Fecha Vencimiento
• Código de Servicio
DATOS DE AUTENTICACIÓN SENSIBLES INCLUYEN:
• Datos Rastreo Completos
• CAV2/CVC2/CVV2/CID
• Bloques PINs/PIN
Tipos de Datos en una Tarjeta de Crédito
Fecha de
Expiración
Cinta Magnética
(datos en pistas
1 y 2)
# de
Cuenta
Principal
Chip
(datos
en cinta
magnética
Código de identificación de
la tarjeta de crédito
(American Express)
Código de identificación de la
tarjeta de crédito. (Discover,
JCB, MasterCard, Visa)

3
HISTORIA DE PCI DSS

Fechas de Lanzamiento de PCI DSS
Diciembre
2004
Septiembre
2006
Octubre
2008
Octubre
2010
Noviembre
2013
Abril
2015
Abril
2016
Mayo
2018
Marzo
2022
PCI DSS v1 PCI DSS v1.1 PCI DSS v1.2 PCI DSS v2 PCI DSS v3 PCI DSS v3.1 PCI DSS v.3.2 PCI DSS v.3.2.1 PCI DSS v4

4
ACTUALIZACIÓN PCI DSS V4.0
DE CONTROLCASE

Actualización PCI DSS V4.0
Ninguna compañía puede aún certificar
compañías a PCI DSS V 4.0.
Consejo PCI por ofrecer capacitación inicial circa
Junio 2022 – tras lo cual QSAs pueden comenzar
evaluaciones bajo PCI DSS 4.0.
Consejo PCI ha publicado una lista de cambios y
documentación en línea. ControlCase actualizará
a clientes conforme nos acerquemos a 3T 2022.
Hasta entonces no hay cambio a nuestro proceso
de evaluación.
Las compañías tendrán 2 años para transitar
hacia v4.0 pero también pueden cambiar más
pronto.

Metas para PCI DSS V4.0
LA SIGUIENTE GENERACIÓN DEL ESTÁNDAR DE PCI DSS (V4.0) TIENE LOS SIGUIENTES OBJECTIVOS
• Continuar cumpliendo con necesidades de seguridad de la industria de pagos
• Promover seguridad como proceso continuo
• Aumentar la flexibilidad para las organizaciones usando métodos diferentes para lograr objetivos de seguridad
• Mejorar métodos y procedimientos de validación

Cambios Críticos Desde PCI DSS V3.2.1 a V4.0
CAMBIOS
METODOLÓGICOS
• Varias actualizaciones pequeñas en los requerimientos
con Aclaración o Guía añadida
• Introducción a enfoque Personalizado para ofrecer
método de validación de requerimiento adicional para
cumplir con objetivo de requerimiento
• Introducción de análisis de riesgo dirigido para
variados requerimientos críticos
• Para Proveedores de Servicio - Confirmación
de alcance PCI DSS al menos una vez cada 6 meses
y ante cambio significativo en el ambiente en el
alcance
NUEVOS REQUISITOS QUE PUEDEN REQUERIR
MAYOR ESFUERZO DE IMPLEMENTACIÓN
• Requerimientos estrictos de contraseña y MFA
(Autenticación Multifactor)
• Mecanismos para detectar y proteger al personal
contra ataques de phishing
• Solución técnica automatizada para aplicaciones web
de exposición pública que detecta ypreviene
continuamente ataques basados en web
• Mecanismos automatizados para revisar bitácoras de
auditoría para todos los sistemas CDE y críticos
• Rastreos de vulnerabilidad internos mediante rastreo
autentificado

5
A FONDO: CAMBIOS NOTABLES

12 Requerimientos de PCI DSS V3.2.1 vs. V4.0
PCI DSS V3.2.1 12 REQUERIMIENTOS PCI DSS V4.0 12 REQUERIMIENTOS
1. Instalar y Mantener una Configuración de Cortafuegos para Proteger Datos de Tarjetahabientes 1. Instalar y Mantener Controles de Seguridad de Red
2. No Utilizar Valores por Defecto de Fabricante para Contraseñas de Sistema y Otros Parámetros de Seguridad 2. Aplicar Configuraciones Seguras a Todos los Componentes de Sistemas
3. Proteger Datos de Tarjetahabientes Almacenados 3. Proteger Datos de Cuenta Almacenados
4. Cifrar la Transmisión de Datos de Tarjetahabientes por Redes Abiertas Pública 4. Proteger Datos de Tarjetahabientes con Criptografía Robusta Durante Transmisión En Redes Públicas Abiertas
5. Usar y Actualizar Regularmente Software Antivirus en Todos los Sistemas Comúnmente Afectados por Malware 5. Proteger Todos los Sistemas y Redes de Software Malicioso
6. Desarrollar y Mantener Sistemas y Aplicaciones Seguros 6. Desarrollar y Mantener Sistemas y Software Seguros
7. Restringir Acceso a Datos de Tarjetahabientes por Estricta Necesidad de Negocio 7. Restringir Acceso a Componentes de Sistemas y Datos de Tarjetahabientes por Estricta Necesidad de Negocio
8. Asignar una ID Única a CadaPersona con Acceso a Computadora 8. Identificar Usuarios y Autentificar Acceso a Componentes de Sistemas
9. Restringir Acceso Físico a Datos de Tarjetahabientes 9. Restringir Acceso Físico a Datos de Tarjetahabientes
10. Rastrear y Monitorear Todo Acceso a Recursos de Red y datos de Tarjetahabientes 10. Registrar y Monitorear Todos los Accesos a Componentes de Sistemas y Datos de Tarjetahabientes
11. Probar Regularmente Sistemas y Procesos de Seguridad 11. Probar Regularmente la Seguridad de Sistemas y Redes
12. Mantener una Política que Atienda la Seguridad de Información 12. Sustentar Seguridad de Información con Políticas y Programas Organizacionales

Actualizaciones Principales a Títulos de Requerimientos
REQUERIMIENTO 1:
• Se cambió el título de requerimiento de “Instalar y mantener una configuración de cortafuegos para proteger datos de tarjetahabientes” a “Instalar y Mantener Controles
de Seguridad de Red”
⎻ Se actualizó el título de requerimiento para reflejar el enfoque en un más amplio “controles de seguridad de red”. Se reemplazó “cortafuegos” y “enrutadores” con
“controles de seguridad de red” para sustentar un más amplio rango de tecnologías, incluyendo la tecnología cloud usada para cumplir con los objetivos de seguridad
atendidos tradicionalmente por cortafuegos.
REQUERIMIENTO 2:
• Se cambió el título de requerimiento de “No usar valores por defecto de fabricante para contraseñas de sistema y otros parámetros de seguridad” a “Aplicar
Configuraciones Seguras a Todos los Componentes de Sistemas”
⎻ Se actualizó el título de requerimiento para reflejar que el énfasis está en configuraciones seguras en general, y no solo en los parámetros por defecto
de fabricante.
REQUERIMIENTO 3:
• Se cambió el título de requerimiento de “Proteger datos de tarjetahabientes almacenados” a “Proteger Datos de Cuenta Almacenados”
⎻ Se actualizó el título de requerimiento para reflejar el enfoque en datos de cuenta. Se reemplazó “Datos de tarjetahabientes” con “Datos de Cuenta” para aplicar a los
requerimientos de protección de datos a datos de tarjetahabientes y datos de autenticación sensibles, y no solo a datos de tarjetahabientes para ser receptivos a las
necesidades de varias partes tales como Emisores.

Actualizaciones Principales a Títulos de Requerimientos
REQUERIMIENTO 5:
• Se cambió el título de requerimiento de “Usar y actualizar regularmente software antivirus en todos los sistemas comúnmente afectados por malware” a “Proteger Todos
los Sistemas y Redes de Software Malicioso”
⎻ Se actualizó el título de requerimiento para reflejar el enfoque en proteger todos los sistemas y redes de software malicioso. Se reemplazó “antivirus” con “anti-
malware”
en todo el requerimiento para soportar un rango más amplio de tecnologías usadas para satisfacer los objetivos de seguridad tradicionalmente acometidos por el
software antivirus.
REQUERIMIENTO 12:
• Se cambió el título de requerimiento de “Mantener una política que atienda la seguridad de información” a “Sustentar Seguridad de Información con Políticas y
Programas Organizacionales”
⎻ Se actualiza el título de requerimiento para reflejar que el énfasis está en políticas y programas organizacionales que sustenten la seguridad de información.

Objetivos para PCI DSS V4.0
CONTINUAR SATISFACIENDO
LAS NECESIDADES DE
SEGURIDAD DE LA INDUSTRIA
DE PAGOS
Las prácticas de seguridad deben evolucionar para
continuar satisfaciendo las necesidades de seguridad
de la industria de pagos conforme las amenazas
cambian.
Ejemplo:
• Se hicieron nuevas actualizaciones a requerimientos de
autenticación multifactor (MFA)
• Requerimientos de contraseña actualizados en línea con las
mejores prácticas actuales de la industria
• Se agregaron nuevos estándares de e-commerce y phishing
para atender las amenazas actuales.
• Requerimientos actualizados para manejo seguro de Datos
Sensibles de Autenticación (SAD)
• Se agregó nuevo requerimiento de rastreo autentificado de
vulnerabilidades internas para un mayor conocimiento del
panorama de vulnerabilidades de las organizaciones.

PROMOVER LA SEGURIDAD
COMO UN PROCESO
CONTINUO, YA QUE LA
SEGURIDAD EN CURSO ES
CRUCIAL PARA PROTEGER
DATOS DE PAGO
Ejemplo:
• Roles y responsabilidades claramente asignados para personal
trabajando en cada requerimiento.
• Se agregó guía a través de requerimientos para ayudar a las
organizaciones a comprender mejor cómo implementar y
mantener la seguridad.
• Se agregó una nueva opción de reportes para resaltar áreas
a mejorar y proporciona mayor transparencia para revisores
de reportes.

AUMENTAR FLEXIBILIDAD
PARA ORGANIZACIONES QUE
USAN DIFERENTES MÉTODOS
PARA LOGRAR OBJETIVOS DE
SEGURIDAD.
Proporcionar más opciones y métodos de validación
diferentes para aumentar la flexibilidad para las
organizaciones para lograr objetivos de seguridad y
sustenta la innovación en tecnología de pago.
Ejemplo:
• Permitió el uso de cuentas grupales, compartidas y públicas, con
excepciones.
• Se introdujeron análisis de riesgo dirigidos que habilitan a las
organizaciones para determinar la frecuencia de realizar ciertas
actividades.
• Se introdujo un nuevo método de aproximación customizado
para validar los requerimientos PCI DSS, da a las
organizaciones otra opción para considerar métodos
innovadores para lograr sus objetivos de seguridad.

MEJORAR MÉTODOS Y
PROCEDIMIENTOS DE
VALIDACIÓN CON OPCIONES
DE VALIDACIÓN Y REPORTES
CLARAS PARA SOPORTAR
TRANSPARENCIA Y
GRANULARIDAD.
Ejemplo:
• Mayor alineación entre información reportada en un Reporte
sobre Cumplimiento o Cuestionario de Autoevaluación y la
información resumida en una Certificación de Cumplimiento

Compensación de Controles vs Acercamiento Customizado
COMPENSACIÓN
DE CONTROLES
La entidad no puede cumplir con el
requerimiento tal cual se enuncia a
causa de restricciones técnicas o de
negocio documentadas, pero ha
implementado controles alternativos
para mitigar el riesgo.
ACERCAMIENTO
CUSTOMIZADO
La entidad cuenta con prácticas
maduras de gestión de riesgo y elige
implementar controles diferentes que
satisfacen el Objetivo de Acercamiento
Customizado pero que no satisface el
requerimiento tal cual se declara.

6
CRONOLOGÍA DE PCI DSS V4.0

2022
Q1 Q2 Q3 Q4
Lanzamiento Oficial:
PCI DSS V4.0 con
documentos de
validación
Documentos de
capacitación y
sustento ISA/QSA
31 de marzo de 2024
PCI DSS V3.2.1
se retira
31 de marzo de 2025
Nuevos requerimientos
fechados a futuro
se hacen efectivos
2023
Q1 Q2 Q3 Q4
2024
Q1 Q2 Q3 Q4
2025
Q1 Q2 Q3 Q4
Cronograma de Implementación de PCI DSS V4.0*
Periodo de Transición de PCI DSS V3.2.1 a V4.0
Implementación de Nuevos Requerimientos Fechados a Futuro
* Fechas basadas en proyecciones actuales y están sujetas a cambios.

Próximos Pasos
Q1 2022
• PCI DSS v4.0 y documentos
de validación se publicaron el
31 de marzo
• Resúmenes de respuesta a
RFCs estarán disponibles en
el portal PCI
• Contenidos de blog y videos
planeados para introducir v4.0
Q2 2022
• Traducciones, documentos
de soporte y capacitación
estarán disponibles al final
de junio
• Simposio Global de
PCI DSS v4.0
Q3-Q4 2022
• Participación, soporte
de partes interesadas
• Actualizaciones de
documentos de guía
adicionales

Transición de PCI DSS V3.2.1 a V4.0
Q3 2022
*Finales de junio en adelante
• Capacitaciones Transicionales
QSA e ISA Disponibles
• Toda la documentación liberada
• Organizaciones pueden
comenzar evaluaciones contra
v4.0 usando QSAs aprobados**
Q1 2024
* 31 de Marzo de 2024
• PCI DSS Retiro de PCI
DSS v3.2.1
• PCI v4.0 se Vuelve versión
exclusiva para uso
Q1 2025
* 31 de Marzo de 2025
• Nuevos requerimientos PCI
DSS con fechas futuras se
hacen efectivos
* Basado en cronograma actual. ** QSAs deben haber completado exitosamente V4.0. Capacitación previa a tomar evaluaciones V4.0

7
PREGUNTAS & RESPUESTAS

GRACIAS POR LA OPORTUNIDAD
DE CONTRIBUIR A SU PROGRAMA
DE CUMPLIMIENTO DE TI.
www.controlcase.com
(US) + 1 703.483.6383 (INDIA) + 91.22.62210800
contact@controlcase.com

Webinar-Spanish-PCI DSS-4.0.pdf

Recommandé

Recommandé

Contenu connexe

Tendances

Tendances (20)

Similaire à Webinar-Spanish-PCI DSS-4.0.pdf

Similaire à Webinar-Spanish-PCI DSS-4.0.pdf (20)

Plus de ControlCase

Plus de ControlCase (20)

Dernier

Dernier (17)

Webinar-Spanish-PCI DSS-4.0.pdf