¿Cuáles son los requisitos de PCI DSS en 2023?

La PCI DSS establece numerosos requisitos que todos los comerciantes deben seguir para garantizar su cumplimiento. El primer paso es proteger los datos de los titulares de las tarjetas instalando y manteniendo una configuración de cortafuegos. Vamos a explicarle en qué consiste y cómo le ayuda nuestro servicio.

Este requisito es en realidad el más exigente desde el punto de vista técnico de todas las normas PCI DSS. La instalación y el mantenimiento de una configuración de cortafuegos pueden parecer sencillos a primera vista, pero este requisito conlleva muchas cosas, como descubrirá a continuación.

¿Qué espera la PCI cuando se trata de instalar y mantener una configuración de cortafuegos?

Lo primero que hay que hacer es establecer e instalar las normas de configuración del router y del cortafuegos, que deben consistir en todo lo siguiente

1. Un procedimiento formal para la comprobación y aprobación de todas las conexiones de red y las alteraciones de las configuraciones de los routers y cortafuegos.
2. Un diagrama que identifica todas las redes, dispositivos de red y componentes de sistemas. Este diagrama debe incluir las conexiones entre el Entorno de Datos del Titular de la Tarjeta (CDE) y todas las demás redes, incluyendo las redes inalámbricas.
3. También necesita un diagrama que muestre los flujos de datos de los titulares de las tarjetas en todas sus redes y sistemas.
4. Para cada conexión a Internet, debe haber un cortafuegos. Esto también se aplica entre cualquier zona desmilitarizada (DMZ) y la zona de red interna.
5. Para gestionar los componentes de la red, se necesita una descripción de todos los grupos, funciones y responsabilidades.
6. Se requiere una justificación y documentación empresarial con respecto a la utilización de todos los servicios, puertos y protocolos permitidos, así como cualquier medida de seguridad que se utilice para los protocolos inseguros.
7. Debe revisar todos los conjuntos de reglas del router y del cortafuegos cada seis meses como mínimo.

Comprender este requisito:

Lo que debes reconocer es que tanto los routers como los firewalls juegan un papel crucial cuando se trata de puntos de entrada y salida de la red. Permitirán el acceso autorizado a la red y bloquearán el acceso no deseado, y esto pone de manifiesto por qué es imperativo tener implantados cortafuegos y routers. Los puntos a-g son esencialmente las directrices de PCI para los pasos que hay que dar para asegurar que esta primera línea de defensa es tan fuerte como debe ser.

Así pues, veamos cómo aplicar los puntos a-g:

1. 1. Proceso formal de prueba/aprobación – Es vital porque ayuda a prevenir los problemas de seguridad que surgen debido a una mala configuración de la red, el cortafuegos o el router. Debe asegurarse de que sólo los usuarios autorizados (con contraseña) puedan realizar cualquier cambio y que estas alteraciones se registren y conserven.
   2. Diagrama de identificación de redes, dispositivos de red y componentes de sistemas – Estos diagramas describen la configuración de la red y pueden utilizarse para identificar la ubicación de todos los dispositivos de red. Sin ella, los dispositivos pueden quedar fuera de los controles de seguridad sin saberlo, lo que puede suponer un grave riesgo. Debe generar y actualizar automáticamente los diagramas de red.
   3. Diagrama de flujo de datos del titular de la tarjeta – Identifica la ubicación de todos los datos del titular de la tarjeta dentro de la red. Esto le permite gestionar los datos de forma más eficaz.
   4. Cortafuegos para todas las conexiones a Internet: esto reduce las posibilidades de que un individuo malintencionado se introduzca en su red a través de una red desprotegida, ya que el acceso se supervisa y controla con mayor eficacia. Asegúrese de que se instala un cortafuegos que cumpla con la normativa PCI para cada conexión a Internet, así como entre cualquier DMZ y la zona de red interna.
   5. Descripción de todos los grupos, funciones y responsabilidades – Esto garantiza que todo el personal sepa quién es responsable de qué. Estas funciones pueden gestionarse a través de un sistema de gestión centralizado.
   6. Documentación y justificación empresarial para todos los servicios, puertos y protocolos permitidos: esto le permite eliminar o desactivar todos los demás protocolos, puertos o servicios.
   7. Revise el conjunto de reglas del enrutador y del cortafuegos cada seis meses: se requiere una actualización constante para cumplir continuamente con las normas PCI DSS.

También debe construir configuraciones de router y firewall que limiten las conexiones entre los componentes del sistema CDE y las redes no confiables. Esto implica:

1. El tráfico debe ser restringido, tanto de entrada como de salida, para que el entorno de datos del titular de la tarjeta sólo contenga lo necesario. Todo el resto del tráfico no relacionado debe ser segregado.
2. Los archivos de configuración del router deben estar asegurados y sincronizados.
3. Controle el tráfico instalando cortafuegos perimetrales entre el CDE y todas las redes inalámbricas. Configure estos cortafuegos para permitir el tráfico autorizado sólo entre el CDE y el entorno inalámbrico.

Comprender este requisito:

El segundo paso consiste en lograr la configuración correcta del cortafuegos para que funcione correctamente y controle el tráfico de la red de forma segura y eficaz. Debe asegurarse de que la protección de la red está instalada entre la red interna de confianza y cualquier red externa que no sea de confianza. Si no lo haces, eres vulnerable a un ataque.

1. 1. Restringir el tráfico entrante y saliente – Esto es necesario para asegurar que cualquier atacante malicioso no obtenga acceso a su red a través del uso de servicios, puertos o protocolos de manera no autorizada o a través de direcciones IP no autorizadas. Conseguirlo mediante la creación de un Entorno de Datos del Titular de la Tarjeta en el que se deniega todo el tráfico de entrada y salida, excepto las transacciones de pago.
   2. Asegurar y sincronizar los archivos de configuración del router – Los archivos de configuración de inicio a menudo se pasan por alto debido a su uso poco frecuente. Sin embargo, si no se actualizan con la misma configuración de seguridad, entonces un ciberdelincuente puede encontrar una forma de entrar.
   3. Instale cortafuegos perimetrales entre todas las redes inalámbricas y el CDE: los individuos malintencionados suelen aprovechar la tecnología inalámbrica para acceder a los datos de las tarjetas. Por eso se necesitan cortafuegos para restringir el acceso de las redes inalámbricas al entorno de datos del titular de la tarjeta.

Debe prohibirse el acceso público directo entre cualquier componente del sistema CDE e Internet. Para ello, debes:

1. El tráfico entrante debe limitarse a los componentes del sistema que suministran servicios, protocolos y puertos autorizados de acceso público. Implantar una DMZ para conseguirlo.
2. Dentro de la DMZ, el tráfico entrante de Internet debe limitarse a las direcciones IP.
3. Deben prohibirse las conexiones directas entre el CDE e Internet, tanto de entrada como de salida.
4. Debe detectar y bloquear cualquier dirección IP de origen falsificada para que no pueda entrar en la red. Implementar medidas anti-spoofing para lograrlo.
5. No se debe permitir el tráfico saliente no autorizado desde el CDE hacia Internet.
6. Las conexiones “establecidas” sólo deben permitirse en la red.
7. Todos los componentes del sistema que almacenan datos de los titulares de las tarjetas deben estar separados de la DMZ y de otras redes que no sean de confianza y, en su lugar, colocados en una zona de red interna.
8. La información de enrutamiento y las direcciones IP privadas no deben ser reveladas a partes no autorizadas.

Comprender este requisito:

Los dos pasos anteriores se han centrado en la protección que ofrecen los cortafuegos. El cortafuegos protege esencialmente las conexiones de los sistemas públicos al CDE. Sin embargo, todo esto no servirá de nada si se permite el acceso directo entre los sistemas públicos y el CDE.

1. 1. Implementar una DMZ – Esto gestiona las conexiones entre Internet y los servicios que las empresas necesitan tener disponibles para el público. Esto impedirá que los ciberdelincuentes utilicen Internet para acceder a su red interna. Limite todo el tráfico para asegurarse de que cumple con la normativa.
   2. Limitar el tráfico de entrada a las direcciones IP en la DMZ – Esto asegura que nadie no autorizado tenga acceso. Prohibir las conexiones directas entre Internet y el CDE – Esto impide que se produzcan accesos no filtrados entre los entornos de confianza y los que no lo son. Por lo tanto, digamos que un ciberdelincuente obtiene información sensible; no podrá enviarla desde su red a un servidor externo no fiable. Puede conseguirlo denegando todo el tráfico de entrada y salida, excepto las transacciones de pago.
   3. Implementar medidas anti-spoofing – Los atacantes maliciosos a menudo tratan de imitar una dirección IP para que usted crea que proviene de su propia red. Hay que tomar medidas para evitarlo.
   4. Prohibir el tráfico saliente no autorizado desde el CDE hacia Internet – Debe controlar el tráfico para que sólo se permitan las comunicaciones autorizadas. Puede hacerlo denegando todo el tráfico entrante y saliente, salvo las transacciones de pago.
   5. Permitir sólo las conexiones establecidas en la red – Necesita un cortafuegos que realice una inspección de paquetes con estado. Esto implica mantener el estado de cada conexión a través del cortafuegos para saber si una respuesta está autorizada o si un ciberdelincuente está tratando de engañar al cortafuegos para poder encontrar una forma de entrar.
   6. Segregar los componentes del sistema que almacenan los datos de los titulares de las tarjetas de la DM Z – Hay menos capas para que los ciberdelincuentes penetren si la información de los titulares de las tarjetas se almacena dentro de la DMZ. Esto les facilita el acceso. Los datos de los titulares de las tarjetas deben estar dentro de una red segregada.
   7. La información de enrutamiento y las direcciones IP privadas no deben ser reveladas a partes no autorizadas – Debe asegurarse de que las direcciones IP privadas sean reveladas, de lo contrario un hacker podría descubrir cuál es la dirección IP y obtener acceso a su red. Exija a todos los usuarios que se registren, garantizando la divulgación autorizada de un administrador en cada lugar, y debe prohibir los protocolos de enrutamiento y los anuncios.

Se debe instalar un software de cortafuegos personal en todos los dispositivos y móviles propiedad de los empleados que se conecten a Internet cuando se utilicen para acceder a la red o fuera de ella.

Comprender este requisito:

Se necesita un cortafuegos personal para proteger los móviles y los dispositivos propiedad de los empleados de un ataque basado en Internet. Esto es imperativo, ya que estos dispositivos son más susceptibles de ser vulnerados porque están fuera del firewall corporativo, y por lo tanto se convierten en objetivos principales para los hackers. Por lo tanto, si sus empleados utilizan sus portátiles para trabajar y se conectan cuando están fuera de la red, es su responsabilidad asegurarse de que tienen instalado un software de cortafuegos personal.

Los procedimientos operativos y las políticas de seguridad para gestionar los cortafuegos deben estar documentados y ser conocidos por todas las partes afectadas.

Comprender este requisito:

Para asegurarse de que sigue impidiendo el acceso no autorizado a la red, debe gestionar las políticas y los procedimientos establecidos en relación con los cortafuegos y los routers, asegurándose de que están bien documentados y actualizados.