Antecedentes: Conforme se ha establecido el modelo digital para llevar a cabo las transacciones financieras, los fraudes electrónicos se han incrementado de forma muy importante, situación que ha generado pérdidas por varios millones de dólares alrededor del mundo, en el año 2006 las marcas de tarjeta de crédito (American Express, VISA, Mastercard, Discover y JCB) fundaron el council de PCI con el objetivo de desarrollar las mejores prácticas para la protección de la red de tarjeta y banca electrónica.

El 28 de noviembre de 2018, el Diario Oficial de la Federación publicó la decisión de la Comisión Nacional Bancaria y de Valores y autoridades del sector financiero mexicano de hacer obligatorio el cumplimiento de la norma PCI para las instituciones del sector financiero como para los comercios y organizaciones públicas y privadas que transmiten, procesan o almacenan datos de tarjeta de crédito y débito.

Desde la publicación en el diario oficial, los bancos del país están solicitando a sus afiliados que implementen la norma PCI y presenten sus certificados para poder seguir usando los servicios de banca electrónica y tarjetas de pago.

Cabe destacar que independientemente del cumplimiento con las autoridades financieras, el contar con la certificación de la norma PCI impactan de una manera muy importante en los controles de seguridad de las organizaciones lo que trae como beneficio inmediato la reducción de riesgos en el manejo de datos personales y de sus tarjetas, esto es de gran importancia en estos momentos donde la mayor parte de las transacciones económicas se harán de forma remota usando para ello los servicios de comercio y banco electrónico y con tarjetas de pago.

haztutienda.com y PCI

Entendiendo la gran importancia que PCI tiene hoy en México nos hemos dado a la tarea implementar una estrategia que facilite a nuestros clientes el cumplimiento con la norma:

• Nuestros servicios de eCommerce electrónico (sistemas, procesos y procedimientos) están certificados bajo la norma PCI.

• Para que nuestros clientes alcancen la certificación PCI hemos establecido las alianzas para brindar una solución integral de cumplimiento.

• La certificación de nuestros clientes es muy importante para nosotros, es por ello que ponemos un servicio adecuado a sus necesidades.

Objetivo del atributo para el comercio: Al contratar el servicio de haztutienda.com, el comercio obtiene una solución y servicio de eCommerce debidamente certificada en PCI, asociado a ello ofrecemos un paquete de servicios a través del cual acompañamos a nuestros clientes en el proceso de implementación de la norma PCI.

Descripción: Para los comercios y organizaciones el council de PCI ha diseñado una norma en particular denominada PCI-DSS (Payment Card Industry Data Security Standard) constituida por un conjunto de aproximadamente 400 controles estructurados en 6 capítulos:

1. Desarrollar, mantener sistemas y redes seguros

2. Proteger los datos del titular de la tarjeta

3. Mantener un programa de administración de vulnerabilidades

4. Implementar medidas sólidas de control de acceso

5. Supervisar y evaluar las redes con regularidad

6. Mantener una política de seguridad de información

El número de controles a implementar en cada comercio u organización dependerá de sus modelos de operación.

Cabe destacar que al contratar los servicios de haztutienda.com, se establece un contrato en el que se especifica con precisión qué parte de los controles estarán a nuestro cargo y a través de los servicios de consultoría que nuestros aliados les brindan podemos ayudarlos a determinar con precisión cuáles controles se requieren cumplir según la operativa de su negocio.

Una vez que se han establecido las condiciones para el cumplimiento de la norma, se procede a la implementación, documentación de los controles y certificación, en esta etapa los servicios que prestamos a través de nuestros aliados son de:

Una vez que se han establecido las condiciones para el cumplimiento de la norma, se procede a la implementación, documentación de los controles y certificación, en esta etapa los servicios que prestamos a través de nuestros aliados son de:

• Servicios de asesoría grupal.

• Entrega de diversos formatos aplicables a cada caso.

• Escaneo de vulnerabilidades.

• Portal de seguimiento a la certificación.

¿Qué hacemos en haztutienda.com para favorecer la seguridad en nuestros eCommerce afiliados?:

Internamente se realiza capacitación para desarrollo y tecnología, como una constante sobre las principales vulnerabilidades y metodologías de seguridad con el propósito de trasladar conocimiento y dar cumplimiento a normas de compliance, mismas que incluyen:

• Identificación de vulnerabilidades.

• Actualización de sistemas.

• Revisión de código.

• Inyección SQL.

• Pérdida de autentificación.

• Exposición de datos sensibles.

• Secuencia de comando en sitios cruzados (XSS).

• Componentes de vulnerabilidades conocidas.

Usabilidad y bondades que obtiene el eCommerce al operar servicio SaaS desde haztutienda.com:

• Se entrega un eCommerce con una infraestructura en cumplimiento de normativa PCI-DSS.

• Se cuenta con controles de acceso a servidores como parte del servicio.

• Ofrece el servicio un conjunto de reglas de seguridad en cada uno de los servidores de acuerdo con su uso y función.

• El servicio ofrece escaneo de vulnerabilidades de forma periódica.

• El servicio cuenta con monitoreo para la detección de cambios en la aplicación (WAF).

• Se realizan respaldo de manera diaria a nivel código y bases de datos.

• Incluye servidores de balanceo para mitigar ataques tipo DDOS (Denegación de servicio).

• Obtención de un código con los estándares de seguridad y con las políticas para el desarrollo de software.

• Actualizaciones en caso de nuevas vulnerabilidades o bugs en el código

Integración: Está incluida si es un servicio “SAaS” (software como servicio) e incluye seguridad en código y fuentes del eCommerce, en infraestructura de servidores, además cuenta con actualizaciones de desde plataforma.

En caso de Licenciamiento se envían actualizaciones de código en cumplimiento de la política PCI.

Supuestos y dependencias.

• En caso de alguna incidencia se realizan tareas para su resolución y actualización en los servicios “SaaS” (software como servicio).

• En caso de alguna incidencia se realizan tareas para su resolución y actualización en el código de forma que siempre se mantenga con las últimas versiones.

Certificado de cumplimiento PCI DSS SAQ-D v3.2.1