Boletín de Noticias Septiembre 2018

Gestión del Cambio Significativo PCI DSS v3.2

Para todo el que se haya visto involucrado o haya tenido que trabajar con el estándar PCI DSS y, especialmente, aquellos que hayan tenido que “sufrir” su implantación y mantenimiento en cualquier de sus alcances, sabrán que dicho estándar deja bastantes ambigüedades y conceptos de los que no termina del todo de definir con exactitud.

Para mitigar este hecho, el SSC viene publicando con cada versión del estándar, un documento a modo de glosario, en el cual recopila diversos conceptos, términos, abreviaciones y acrónimos. Uno de estos términos, y sobre el que trata este artículo, es el Cambio Significativo, con la particularidad de que este concepto no viene recogido ni detallado en el glosario anteriormente mencionado.

PCI DSS VS. GDPR

El 25 de mayo de 2018 entró en aplicación el Reglamento General de Protección de Datos Europeo (o General Data Protection Regulation, de aquí en adelante GDPR), que remplazó a la Directiva de Protección de Datos 95/46/EC, y que fue diseñado con el objetivo de alinear todas las leyes de protección de datos en países europeos, proteger y darle control de sus datos privados a los ciudadanos europeos y establecer un marco de trabajo homogéneo en términos de privacidad para que las organizaciones e individuos puedan ejercer sus derechos y conozcan sus responsabilidades. […]

Precisamente, es en este último punto en el cual GDPR converge con el estándar PCI DSS: La protección de los datos de tarjetas de pago vinculadas con ciudadanos europeos. No obstante, son documentos diferentes pero que pueden ser empleados indistintamente como complemento para lograr el cumplimiento de uno o del otro y no son excluyentes.

Tratamiento datos sensibles de autenticación, ¿fuera de PCI DSS?

Recientemente nos hemos encontrado el caso de algunos clientes que nos han preguntado si un entorno donde se almacenan, procesan o trasmiten datos sensibles de autenticación relacionados con las tarjetas de pago, pero no datos PAN, es susceptible de la aplicación del estándar de seguridad PCI DSS.

Técnicas de truncado de datos de tarjeta en entornos PCI DSS

Con el objetivo de minimizar el esfuerzo de implantación de PCI DSS en un entorno dónde se procesan datos de tarjetas, una de las premisas más importantes que nos planteamos es la reducción de dicho entorno. Para ello, una de las técnicas que podemos utilizar es la del truncado de los datos de tarjeta en su almacenamiento.

Esta técnica, se basa en almacenar solo una parte del PAN, con fines históricos o de trazabilidad, pero sin permitir al atacante que pueda llegar a deducir el PAN completo de la transacción a través del uso de técnicas computacionales simples.

Rol de la International Trade Administration en el marco Privacy Shield

El marco de seguridad Privacy Shield es administrado por la International Trade Administration (ITA), que forma parte del Departamento de Comercio de los Estados Unidos.

Para comprender los pasos a seguir y los requerimientos solicitados en el caso de querer adherirse al cumplimiento del mismo, es importante conocer el rol de dicho actor en la gestión y mantenimiento de dicho marco de seguridad. Para ello, a continuación, veremos las principales acciones llevadas a cabo por ITA en la gestión del marco Privacy Shield.

Publicada la versión 3.0 del estándar “PCI PIN Security Requirements and Testing Procedures”

En Agosto de 2018 el PCI SSC publicó la versión 3.0 del estándar "PIN Security Requirements and Testing Procedures". Este documento hace parte de la familia de estándares PCI PIN Transaction Security (PTS) en donde también se encuentran PCI HSM (Hardware Security Module) y PCI POI (Point of Interaction), orientados a la protección del PIN (Personal Identification Number) en transacciones presenciales (“card present”) en cajeros electrónicos y terminales de punto de venta (TPV) atendidas y desatendidas. La primera versión de PCI PIN (1.0) fue publicada en el año 2011 y la versión 2.0 fue publicada en 2014, con lo que este estándar ya acumula 7 años de implementaciones a nivel mundial.

Breve introducción al estándar PCI 3D-Secure (PCI 3DS)

En octubre de 2017, el PCI SSC anunció el PCI 3D-Secure (PCI 3DS), un nuevo estándar de seguridad aplicable en entornos de pago no presencial, dónde se utiliza 3D-Secure, un protocolo que mejora la seguridad en la autenticación de los clientes en las compras online. Dicho protocolo permite a los consumidores autenticarse a través de un valor de un solo uso (one-time password), como puede ser número contenido en una tarjeta de coordenadas, un token criptográfico, una contraseña, un código enviado vía SMS/correo electrónico, etc.

Cumplimiento PCI DSS, consejos básicos del PCI SSC para pequeños comercios

Recientemente, el PCI SSC ha publicado unas “píldoras” formativas, llamadas “Payment data security essentials”, para ayudar a los pequeños comercios online a cumplir con los requerimientos del estándar de seguridad PCI DSS. Dichas píldoras, indican recomendaciones o buenas prácticas de seguridad a cumplir, con los requerimientos que dicta dicho estándar. Además, van acompañadas de material adicional que complementa dichas formaciones, como son guías y videos adicionales explicativos.

Preguntas y Respuestas sobre el nuevo tipo de examen de CISSP CAT (Computerized Adaptive Testing)

Estos últimos meses se han presentado muchas inquietudes por el cambio del modelo de examen que ha adoptado el (ISC)2, y que viene siendo una tendencia entre muchas organizaciones, para la realización de los exámenes de CISSP. Este nuevo modelo de examen, en el que el examinado debe ir respondiendo preguntas y, en base a sus respuestas, las preguntas se adaptan y definen, tiene como objetivo reducir el tiempo y cantidad de preguntas y, se pretende, evaluar de forma más efectiva el conocimiento del examinado ante las materias en las que se examina.

Pero esto modelo también ha hecho que surjan dudas. En base a la experiencia de uno de nuestros compañeros del equipo consultor de Internet Security Auditors, y sin pretender ser un P/R “oficial” ni encuesta, hemos planteado algunas preguntas y respuestas que, no han sido respondidas por el (ISC)2.

23-24/10 de 2018: XII ENISE (León, España).

29/11-2/12 de 2018: CyberCamp 2018 (Málaga, España)

17-18/10: Cyber Ethical Days (Barcelona, España)