Cobramos por POS y pagos online, ¿qué es PCI DSS y cuál es nuestra obligación real?

El banco te mandó un mail automático estándar. PCI DSS no es una pesadilla para las PyMEs que no guardan datos de tarjeta. Lo importante es confirmar si el formulario de pago en tu web es realmente un iframe o si el dato de la tarjeta pasa primero por tu servidor antes de ir al banco. Si es lo segundo, tu responsabilidad es mucho más pesada.

Hablá con el administrador de tu web y confirmá si los campos donde se ingresa la tarjeta cargan desde los servidores del proveedor de pagos. Si usás iframe completás el SAQ-A, que es un formulario de solo 20-25 preguntas operativas básicas.

El año pasado nos llegó el mismo mail y el contador asustado nos recomendó contratar una consultoría de auditoría por 80.000 TL. Después llamamos al área técnica del banco y nos dijeron 'si no guardan tarjetas en la web completen el formulario SAQ en el panel y listo'. Lo resolvimos en 15 min.

En la parte del local, si te llegan a auditar tené en cuenta estos dos puntos pa q no te encajen una multa: 1) Asegurate de que los cupones que salen del POS tengan enmascarados los dígitos del medio de la tarjeta. 2) Revisá que las cámaras de seguridad no estén grabando directo el teclado del POS en la caja.

Nosotros tmb usamos un paquete de e-commerce armado, si le mando este formulario directo a la empresa de la plataforma sin preguntarle al banco ¿ellos lo podrán llenar por nosotros?

El cuestionario de autoevaluación debe ser firmado legalmente por el responsable de la empresa. Pedirle al proveedor de tu plataforma su propio certificado de cumplimiento PCI DSS y adjuntarlo como documento extra para el banco va a acelerar tu trámite.

Si no guardás datos de tarjeta de ninguna forma no tenés de qué preocuparte, confirmá el formulario SAQ-A desde el panel y listo.

El año pasado nos pasó casi exactamente lo mismo. Lo que más tiempo nos hacía perder era no saber quién tomaba las decisiones.

Una copia de seguridad no probada no es una copia de seguridad. Comprobado por experiencia.

Lo probaré.

Tiene razón.

Permíteme resumir lo que se ha dicho hasta ahora. Si decidimos sin medir, siempre acabamos en el mismo punto.

La seguridad no es absoluta; significa hacer que el ataque no merezca la pena. Yo seguiría por ese camino.

La discusión se ha dispersado, voy a ordenarla. La mayor parte de la pérdida de tiempo se acumula en los trabajos pendientes de aprobación.

Espero que le sea útil.

Creo que este consejo no sirve para todos. Si la verificación en dos pasos está activa, una contraseña robada no sirve de nada por sí sola.

También me gustaría saber si alguien lo hace de otra manera.

Tema muy oportuno.

Me pasó lo mismo. No confíes en una sola medida; ve capa por capa.

Si escribís el resultado aquí, también servirá de ayuda a otros.

No sabía eso. Las soluciones que funcionan a pequeña escala se rompen al crecer, aprendí esto tarde.

Las soluciones que funcionan a pequeña escala se rompen al crecer, aprendí esto tarde. Comprobado por experiencia.

No tengo ninguna experiencia en que es el estandar pci dss, por eso pregunto. Si la verificación en dos pasos está activa, una contraseña robada no sirve de nada por sí sola.

Si intentas cambiarlo todo a la vez, nada termina de asentarse. Ánimo.

mucas gracias, lo probaré hoy.