Datos de pago y PCI-DSS: requisitos de seguridad

Esta página es una traducción del texto original en portugués, ofrecida para facilitar la lectura. Trata del derecho brasileño. En caso de divergencia, prevalece la versión en portugués. Leer el original en portugués

Las empresas que procesan datos de pago deben cumplir los exigentes requisitos del PCI-DSS, bajo pena de multas millonarias, pérdida de la acreditación y responsabilidad civil y penal.

Qué es el PCI-DSS y por qué importa para su empresa

El PCI-DSS (Payment Card Industry Data Security Standard) es un estándar global de seguridad creado por las principales marcas de tarjetas de crédito y débito para proteger los datos de los titulares de tarjetas durante el procesamiento, el almacenamiento y la transmisión de esa información. Al analizar el panorama brasileño de protección de datos, observamos que muchas empresas aún desconocen la obligatoriedad de cumplir con este estándar y lo tratan como una mera recomendación facultativa. En realidad, toda organización que acepte, procese, almacene o transmita datos de tarjetas de pago debe adherirse al PCI-DSS, sin importar su tamaño ni su volumen de transacciones.

El estándar fue desarrollado por el PCI Security Standards Council (PCI SSC), entidad fundada en 2006 por las marcas Visa, Mastercard, American Express, Discover y JCB. Desde entonces, el PCI-DSS ha tenido diversas actualizaciones, y la versión 4.0 es la más reciente, con exigencias ampliadas en materia de autenticación multifactor, cifrado y monitoreo continuo. Se constata que la versión 4.0 introdujo cambios significativos en el enfoque de seguridad: se pasó de un modelo basado en una lista de verificación estática a una metodología de análisis de riesgos personalizada, que otorga a las organizaciones mayor flexibilidad para implementar los controles, siempre que demuestren una eficacia equivalente.

En el contexto brasileño, el PCI-DSS se vincula directamente con la Ley General de Protección de Datos (LGPD, Ley n.º 13.709/2018), pues los datos de tarjetas de pago se consideran datos personales. Por lo tanto, el incumplimiento del PCI-DSS puede configurar también una violación de la LGPD, lo que amplía de forma considerable el espectro de responsabilidad. Además de las sanciones administrativas previstas en la LGPD (que incluyen multas de hasta el 2% de la facturación, limitadas a R$ 50 millones por infracción), la empresa puede enfrentar penalidades contractuales impuestas por las adquirentes y por las marcas de tarjetas, que van desde multas mensuales hasta la revocación total de la habilitación para procesar pagos electrónicos.

Los 12 requisitos fundamentales del PCI-DSS

El PCI-DSS se estructura en seis objetivos de control que se desglosan en 12 requisitos fundamentales. Cuando realizamos una due diligence de datos de pago, estos requisitos funcionan como la columna vertebral de toda la evaluación. El primer objetivo se refiere a la construcción y el mantenimiento de una red segura: exige instalar y mantener firewalls para proteger los datos de los titulares de tarjetas y prohíbe el uso de las contraseñas predeterminadas que entregan los fabricantes para los parámetros de seguridad del sistema.

El cumplimiento del PCI-DSS no es un evento puntual, sino un proceso continuo de monitoreo, actualización y validación que debe estar incorporado al gobierno corporativo de la organización.

El segundo objetivo aborda la protección de los propios datos del titular de la tarjeta. Determina que las organizaciones protejan los datos almacenados de los titulares mediante cifrado, truncamiento, enmascaramiento y hashing, y que cifren la transmisión de esos datos en redes abiertas y públicas. Observamos que este es uno de los puntos de mayor vulnerabilidad en las empresas brasileñas, en especial en aquellas que aún mantienen integraciones heredadas con sistemas de pago antiguos, en los que los datos de las tarjetas circulan sin un cifrado adecuado o se almacenan en texto plano en bases de datos internas.

El tercer y el cuarto objetivo tratan, respectivamente, del mantenimiento de un programa de gestión de vulnerabilidades (que incluye protección contra malware y desarrollo seguro de aplicaciones) y de la implementación de medidas sólidas de control de acceso. En este punto, cabe destacar la exigencia de limitar el acceso a los datos de los titulares de tarjetas únicamente a las personas que efectivamente necesitan esa información para desempeñar sus funciones (principio del mínimo privilegio), asignar una identificación única a cada persona con acceso a un computador y restringir el acceso físico a los datos.

Los dos últimos objetivos comprenden el monitoreo y las pruebas periódicas de la red (rastreo y monitoreo de todos los accesos a los recursos de red y a los datos de los titulares, además de pruebas periódicas de los sistemas y procesos de seguridad) y el mantenimiento de una política integral de seguridad de la información. Cuando realizamos evaluaciones de cumplimiento, se verifica que la ausencia de una política formal de seguridad de la información es uno de los incumplimientos más recurrentes en las empresas medianas.

Niveles de cumplimiento y obligaciones según el volumen transaccional

El PCI-DSS clasifica a las organizaciones en cuatro niveles de cumplimiento, determinados por el volumen anual de transacciones con tarjeta. Los comerciantes de Nivel 1 procesan más de seis millones de transacciones al año y deben someterse a auditorías anuales realizadas por un Qualified Security Assessor (QSA), además de efectuar escaneos trimestrales de la red por parte de un Approved Scanning Vendor (ASV). Los comerciantes de Nivel 2 (entre uno y seis millones de transacciones) y de Nivel 3 (entre 20 mil y un millón de transacciones de comercio electrónico) pueden realizar autoevaluaciones mediante el Self-Assessment Questionnaire (SAQ), complementadas con escaneos ASV trimestrales. Los de Nivel 4 (menos de 20 mil transacciones de comercio electrónico o hasta un millón en total) también utilizan el SAQ, con requisitos de escaneo definidos por la adquirente.

Due diligence de datos de pago: cómo conducir la evaluación

La due diligence orientada a los datos de pago va más allá de la simple verificación de una certificación PCI-DSS vigente. Cuando realizamos este tipo de evaluación (ya sea en contextos de fusiones y adquisiciones, contratación de proveedores o auditorías internas), adoptamos un enfoque que examina tanto el cumplimiento formal como la efectividad práctica de los controles implementados. El primer paso consiste en el mapeo completo del flujo de datos de pago dentro de la organización, identificando todos los puntos de captura, procesamiento, almacenamiento y transmisión de datos de tarjetas.

A continuación, evaluamos la documentación de cumplimiento existente, que incluye el informe de cumplimiento (ROC) o el cuestionario de autoevaluación (SAQ) más reciente, los resultados de los escaneos ASV trimestrales, los informes de pruebas de penetración, las políticas de seguridad de la información y los registros de capacitación del personal. Se verifica la vigencia de esta documentación, pues las certificaciones vencidas o los escaneos con resultados pendientes son indicadores de riesgo relevantes.

Un aspecto que con frecuencia se descuida en la due diligence es la evaluación de la cadena de proveedores y prestadores de servicios que tienen acceso a datos de pago. El PCI-DSS exige que la organización mantenga e implemente políticas y procedimientos para gestionar a los prestadores de servicios con quienes se comparten datos de titulares de tarjetas. En la práctica, constatamos que muchas empresas delegan el procesamiento de pagos a terceros sin verificar adecuadamente el cumplimiento de esos socios, lo que crea puntos ciegos significativos en la cadena de protección de datos.

Aspectos jurídicos de la responsabilidad por incidentes

En el ordenamiento jurídico brasileño, la responsabilidad por incidentes que involucran datos de pago puede darse en múltiples ámbitos. En el ámbito civil, el Código de Defensa del Consumidor (Ley n.º 8.078/1990) establece la responsabilidad objetiva del proveedor por defectos en la prestación de servicios, lo que abarca las fallas de seguridad que den lugar a una filtración de datos de pago de los consumidores. La LGPD, por su parte, prevé que el controlador o el operador que cause un daño patrimonial, moral, individual o colectivo en razón del tratamiento de datos personales está obligado a repararlo, y la responsabilidad puede ser solidaria entre los agentes de tratamiento.

En el ámbito administrativo, además de las sanciones previstas en la LGPD que aplica la Autoridad Nacional de Protección de Datos (ANPD), las empresas pueden enfrentar penalidades del Banco Central de Brasil, que regula a las instituciones de pago mediante la Ley n.º 12.865/2013 y resoluciones complementarias. El Marco Civil de Internet (Ley n.º 12.965/2014) también impone obligaciones de seguridad en el almacenamiento de registros de acceso y datos personales, aplicables a las operaciones de pago realizadas en entornos digitales.

Implementación práctica: del diagnóstico al cumplimiento

El camino hacia el cumplimiento del PCI-DSS comienza con un diagnóstico preciso del estado actual de la seguridad de los datos de pago en la organización. Se recomienda comenzar con un análisis de brechas (gap analysis) que compare las prácticas vigentes con cada uno de los 12 requisitos del estándar. Este análisis produce un mapa claro de los incumplimientos existentes y permite priorizar las acciones de remediación según el nivel de riesgo asociado a cada brecha identificada.

La segmentación de la red es una de las estrategias más eficaces para reducir el alcance del cumplimiento del PCI-DSS. Al aislar el entorno de datos de tarjetas (Cardholder Data Environment, o CDE) del resto de la red corporativa, la organización limita el número de sistemas, procesos y personas sujetos a los requisitos del estándar, y reduce así los costos y la complejidad de la implementación. Se verifica que las empresas que adoptan este enfoque desde el inicio del proyecto de cumplimiento obtienen resultados más rápidos y sostenibles.

La implementación de un cifrado robusto es otro pilar fundamental. Los datos de las tarjetas deben cifrarse tanto en tránsito (con protocolos como TLS 1.2 o superior) como en reposo (con algoritmos como AES-256). Es esencial que las claves criptográficas se gestionen de manera adecuada, con procedimientos documentados para su generación, distribución, almacenamiento, rotación y destrucción. Constatamos que la gestión deficiente de las claves criptográficas es una vulnerabilidad recurrente, incluso en organizaciones que implementan un cifrado robusto en los demás aspectos.

El monitoreo continuo y la respuesta a incidentes completan el ciclo de cumplimiento. Las organizaciones deben implementar sistemas de detección de intrusiones (IDS/IPS), registrar y monitorear todos los accesos a los recursos de red y a los datos de los titulares de tarjetas, y realizar escaneos de vulnerabilidades trimestrales y pruebas de penetración anuales. Debe documentarse un plan de respuesta a incidentes específico para violaciones de datos de pago, que se pruebe periódicamente y que todas las partes involucradas conozcan.

Tendencias y actualizaciones: PCI-DSS 4.0 y el futuro de la seguridad de los pagos

La versión 4.0 del PCI-DSS trajo cambios sustanciales que repercuten directamente en la forma en que las organizaciones abordan la seguridad de los datos de pago. Entre las principales novedades, cabe destacar la introducción del enfoque personalizado (customized approach), que permite a las organizaciones demostrar su cumplimiento mediante controles alternativos, siempre que satisfagan el objetivo de seguridad definido para cada requisito. Esta flexibilidad reconoce que distintos entornos tecnológicos pueden requerir soluciones diferentes para alcanzar el mismo nivel de protección.

La autenticación multifactor (MFA) vio ampliado su alcance en la versión 4.0: ahora se exige para todos los accesos al entorno de datos de tarjetas, y no solo para los accesos remotos, como en las versiones anteriores. Este cambio refleja la comprensión de que las amenazas internas y el movimiento lateral dentro de la red representan riesgos tan significativos como los accesos externos no autorizados. Observamos que implementar la MFA en todos los puntos de acceso al CDE exige una planificación cuidadosa para no afectar la operación ni la productividad de los colaboradores.

Otra tendencia relevante es la creciente convergencia entre los requisitos del PCI-DSS y las exigencias de legislaciones de protección de datos como la LGPD y el GDPR europeo. Las organizaciones que adoptan un enfoque integrado de cumplimiento, y tratan la seguridad de los datos de pago y la protección de los datos personales como componentes de un mismo programa de gobernanza, logran mayor eficiencia y coherencia en los controles implementados. Al realizar evaluaciones de due diligence, se verifica que esta integración es un indicador positivo de madurez organizacional en materia de protección de datos.

El avance de las tecnologías de tokenización y de cifrado de punto a punto (P2PE) también está transformando el panorama del cumplimiento. Estas tecnologías permiten que los datos reales de la tarjeta se sustituyan por tokens o se cifren desde el punto de captura, lo que reduce drásticamente la exposición a riesgos y el alcance del cumplimiento del PCI-DSS. Para las empresas que están iniciando o revisando su programa de cumplimiento, adoptar estas tecnologías representa una oportunidad de construir una infraestructura de pagos más segura desde su concepción.

Este tema guarda relación directa con seguridad y control de acceso mediante API gateway, asunto que abordamos en un artículo específico.

Este tema guarda relación directa con derecho al olvido digital, asunto que abordamos en un artículo específico.

As informações deste artigo são de caráter informativo e não substituem consulta jurídica individualizada. Cada caso possui particularidades que exigem análise específica.