¿Nos aplica PCI DSS Level 1? ¿Qué nivel corresponde a nuestro volumen de transacciones?

Es clave saber si en la web usan iframe o una librería directa de JavaScript. Si es redirección (redirect) o iframe estándar, llenan el SAQ A, que son unos 22-25 puntos para responder sí/no. Pero si el formulario de la tarjeta se renderiza en su propio dominio, hace falta el SAQ A-EP, donde sí entra la exigencia de un escaneo ASV externo cada 3 meses.

La consultora os ha hecho el típico marketing del miedo. Llevo 15 años gestionando infraestructura de e-commerce y jamás he visto a una PYME que no supere los 6 millones estar en el Nivel 1. Lo que os ha mandado el banco es casi seguro una plantilla estándar para los controles anuales de rutina. Preguntadle a vuestro gestor del banco cuál es vuestro tipo de SAQ y no os metáis en gastos de auditoría innecesarios.

Las notificaciones que envían los bancos suelen deberse a la normativa de la BDDK y a la actualización anual de inventario de las franquicias internacionales de tarjetas. Bastará con responder a vuestro banco mediante un escrito oficial indicando vuestro volumen de transacciones, que no almacenáis datos de tarjetas y que los datos del titular pasan directamente por la infraestructura de una entidad de pago autorizada.

¿Habéis tenido en el pasado alguna sospecha de fuga de tarjetas en vuestro sistema o una ola inusual de contracargos desde los bancos? Porque, aunque el volumen de transacciones sea bajo, las marcas de tarjetas pueden pasar administrativamente a una empresa al Nivel 1 si detectan una brecha de seguridad. Si no ha habido ningún caso así, ese presupuesto no tiene ningún sentido.

nosotros tmb usamos TPV virtual pero ¿de dónde se descarga ese formulario SAQ y dónde se entrega? pues ¿hace falta q lo firme un experto externo sí o sí o vale con q lo firme el apoderado de la empresa?

Antes de gastar un solo céntimo, entra al panel del integrador con el que cobras. La mayoría de entidades de pago ofrecen gratis en la pestaña de cumplimiento su propio certificado PCI DSS y la declaración SAQ ya lista a tu nombre. Con descargar eso y mandárselo al banco suele solucionarse el tema al momento.

Pasamos por lo mismo el año pasado con un volumen similar. Le mandamos al banco el formulario SAQ A rellenado y sellado, y asunto resuelto. Solo hicimos un escaneo externo de vulnerabilidades para nuestra web dos veces al año, y pagamos en total unos 6.000 TL por ello. Los 180.000 TL es una propuesta totalmente abusiva.

El camino que parece barato suele salir caro a la larga. Que la copia de seguridad sea accesible en la misma red y con la misma identidad la convierte en parte del objetivo.

Eso es todo, disculpa si me he extendido demasiado.

Correcto. Si regañas las falsas alarmas, nadie volverá a reportar.

Corrijanme si me equivoco.

El camino que parece barato suele salir caro a la larga. La mayoría de los incidentes no empiezan por una vulnerabilidad, sino por una contraseña filtrada.

Espero que le sea útil.

Este hilo es para archivar.

Pienso diferente. Si el camino de la notificación es largo la notificación no llega; una notificación que no llega significa un incidente detectado tarde.

Espero que le sea útil.

no te olvides de: Si no lo pones por escrito desde el principio, lueego surgen discusiones.

esto tamién tiene su parte de medición. si regañas las falsas alarmas nadie volverá a reportar.

tomar medidas sin hacer inventario es dejar abierta una puerta que no ves.

Lo que se dice aquí es exactamente lo que nos pasó. La seguridad no es absoluta; significa hacer que el ataque no merezca la pena.

También me gustaría saber si alguien lo hace de otra manera.

Estoy de acuerdo. Al tomar decisiones, escribe también el peor escenario, no solo el mejor.

Los cambios en los datos de pago nunca se verifican por el mismo canal por el que llegan. Corrijanme si me equivoco.

Este enfoque tiene un coste, y no se habla de ello. Ningún proceso mejora si no se registran datos, porque no sabes qué tienes que arreglar.

Si tenéis dudas, escribid, os responderé en la medida de lo posible.

resumen breve para nuevos usuarios: Los primeros tres mses todo va bien, los problemas aparecen en el cuarto.

comrobado por experiencia.