Cobramos por TPV y online — ¿qué nos exige PCI DSS 4.0?

En la parte online, al cobrar, ¿el cliente mete el número de tarjeta en un formulario de tu web o la página lo redirige a la pasarela 3D Secure del banco? Esa diferencia cambia por completo el tipo de documento que tienes que rellenar.

Los requisitos 6.4.3 y 11.6.1 de PCI DSS 4.0 van directos a la seguridad de los scripts en e-commerce. El código malicioso inyectado en la pasarela puede copiar tarjetas por detrás. Hay que documentar la justificación de cada script externo que cargue en la pantalla de pago.

Nos mandaron ese mismo correo hace dos meses. Hacemos unas 40.000 operaciones al año. Una consultora nos pedía 35.000 TL. Hablamos con el banco y como usamos redirección nos dijeron que con el SAQ-A bastaba. Lo preparamos nosotros en 3 días, lo mandamos y listo, aceptado.

si no guardas datos de tarjetas en tu base de datos no te rayes. los bancos mandan esos correos en automatico a todo el mundo por normativa rellenas el formulario bien y te olvidas del tema.

Corrección: recordaba mal la cifra, era un poco más baja.

Los departamentos de seguridad de los bancos se piensan que cualquier negocio es un gigante del e-commerce y tiran plantillas genéricas. No te lances a contratar auditorías de miles de liras; habla primero con tu gestor del banco y que te confirmen por escrito si con el SAQ-A vale.

Al llenar el formulario es muy probable que te trabes en estos 3 puntos: 1) La complejidad y el cambio periódico de contraseñas de servidores y paneles, 2) Tener activa la autenticación en dos pasos para acceder al panel de administración, 3) La lista de seguimiento de los números de serie de los datáfonos/POS físicos.

Mañana mismo anota en una tabla los números de serie que vienen debajo de los POS de tus sucursales físicas. Crea una lista de cotejo sencilla para revisar cada semana y firmar que 'no hay manipulación física'; con eso respondes directamente a la pregunta de la auditoría.

No te asustes, aunque PCI DSS 4.0 parezca súper complejo al principio, las guías de autoevaluación para pequeñas empresas son bastante claras. Descarga el documento SAQ-A del sitio oficial, tradúcelo al español y ve paso a paso; lo terminas en medio día.

voy a defender lo contrario no se molesten. los entornos de prueba olvidados son una puerta de entrada más frecuente que el sistema en producción.

si tenéis dudas, escribid os responeré en la medida de lo posible.

Es correcto en general, pero falta un detalle. Si es la primera vez que lo hacéis, empezad poco a poco, la escala llegará después.

Si decidimos sin medir, siempre acabamos en el mismo punto. Lo dejo como nota, por si sirve.

Voy a defender lo contrario no se molesten. Lo importante no es la cifra, sino en qué se basa esa cifra.

Esta es mi opinión, no lo escribo como una verdad absoluta.

El punto que más se pasa por alto sobre requisitos PCI DSS 4.0 es este: La respuesta varía mucho según el sector, no hay una regla general.

Corrijanme si me equivoco.

A nosotros también nos pasa.

Voy a resumir el tema, porque se han dado varias respuestas diferentes. Lo que más tiempo nos hacía perder era no saber quién tomaba las decisiones.

También me gustaría saber si alguien lo hace de otra manera.

Soy una pequeña empresa os lo cuento desde mi lado. Todo lo que no está por escrito, ambas partes lo recordarán de forma distinta en el futuro.

Corrijanme si me equivoco.

Voy a contar mi experiencia. Los entornos de prueba olvidados son una puerta de entrada más frecuente que el sistema en producción.

Comprobado por experiencia.

Yo también estaba pensando en lo mismo. Si obtienes tres respuestas distintas sobre un tema, la pregunta está mal formulada.

Gracias por escribir esto, es lo correcto. Que todo el mundo haga algo no significa que sea lo correcto.

Si es la primera vez que lo hacéis, empezad poco a poco, la escala llegará después. Por supuesto, cambia si tu situación es diferente.