La norma PCI DSS: significado y ejemplos

La norma PCI DSS, el Estándar de seguridad de datos de la industria de tarjetas de pago (Payment Card Industry Data Security Standard), es un conjunto de reglas de seguridad para toda organización que almacena, procesa o transmite datos de tarjetas de pago. Lo mantiene el PCI Security Standards Council y busca proteger los datos de los titulares frente al robo y el fraude.

Cómo funciona

El estándar se organiza en doce requisitos principales, agrupados en seis objetivos. Abarcan construir y mantener una red segura, proteger los datos almacenados de los titulares, mantener los sistemas actualizados, restringir el acceso a quien lo necesita, supervisar y probar las redes y mantener una política de seguridad. El consejo actualiza el estándar con el tiempo, así que consulta la versión vigente en su sitio web.

Lo que debes hacer depende de cómo aceptes tarjetas:

• Página de pago alojada o redirección. El cliente introduce los datos de la tarjeta en la página de tu proveedor. Los números de tarjeta nunca pasan por tus sistemas, así que tu validación suele ser un cuestionario breve de autoevaluación.
• Formulario incrustado en tu sitio. Una parte mayor de tu sitio entra en el alcance, así que el cuestionario es más largo.
• Guardar o teclear tú mismo los números de tarjeta. El alcance más pesado, con controles más estrictos, análisis y a veces una evaluación externa.

Tu procesador de pagos o tu pasarela de pago normalmente te dirá qué cuestionario te corresponde y puede pedirte que confirmes el cumplimiento cada año. Ignorarlo puede acarrear comisiones o, en el peor caso, perder la posibilidad de aceptar tarjetas.

Ejemplo

Un consultor envía facturas con un enlace de pago y un contratista cobra tarjetas por teléfono. Compara su exposición.

Configuración	Quién maneja los números de tarjeta	Carga habitual
Enlace de pago en una página alojada	El proveedor	Baja: autoevaluación anual breve
Teclear tarjetas en una hoja de cálculo	El negocio	Alta: evítalo por completo
Terminal de tarjetas de un proveedor	El terminal del proveedor	Baja a moderada

La regla más simple: nunca escribas números de tarjeta en correos, notas, chats ni hojas de cálculo. Si un cliente te envía uno, bórralo y pídele que use el enlace de pago. Puedes crear la factura que lleva el enlace de pago con el generador de facturas, y la guía sobre aceptar pagos con tarjeta de crédito muestra configuraciones seguras.

Términos relacionados

• Pasarela de pago: recoge los datos de la tarjeta de forma segura para que no tengas que hacerlo tú.
• Procesador de pagos: suele ser tu primer contacto para dudas sobre PCI.
• Cuenta de comercio: normalmente incluye en sus condiciones el requisito de cumplimiento PCI.

PayToMe está en beta pública, y los pagos en línea están activos con Stripe, el procesador de pagos. Puedes iniciar sesión en PayToMe.