La seguridad de las tarjetas de crédito

El mundo del turismo está en plena tormenta provocada por la necesidad de securizar las tarjetas de crédito. Las empresas de primer orden ya han tomado decisiones relevantes acerca del cumplimiento de la norma PCI DSS, que actualmente se haya en su versión 3.2. Ya tenemos claro que todas las entidades (hoteles, comercios, proveedores de servicios, “channel managers”, etc.) que participen en el proceso, almacenamiento y transmisión de datos de tarjetas de pago se encuentran dentro del alcance de la norma. Ahora bien, ¿qué hacemos a partir de ahora?

La primera pregunta que asalta a las empresas es sobre la obligatoriedad de la norma, al pertenecer a un consorcio creado por las grandes compañías de tarjetas de pago. Se prevén multas a organizaciones y empresas que no cumplan con la PCI DSS, si se encuentran dentro de su alcance, que pueden llegar hasta los 300.000€. Las sanciones pueden derivarse de una fuga intencionada o no de datos de tarjetas de pago, o de cualquier otro incidente relacionado con la falta de seguridad de dichos datos.

Así pues, las opciones que tienen actualmente muchas empresas son dos; iniciar el cumplimiento de la norma en la organización, y su posterior certificación, o bien externalizar el cumplimiento a pasarelas de pago certificadas. Evidentemente las dos opciones tienen sus ventajas e inconvenientes.

El cumplimiento del estándar supone un gran esfuerzo para las empresas, especialmente si su alcance tecnológico es grande. Incluye acciones sobre la seguridad de las redes y sistemas, protección de los datos de las tarjetas de pago, hacer pruebas regulares de intrusión, etc. Asimismo, los costes pueden resultar elevados en función nuevamente del alcance. La gran ventaja de su implantación, especialmente si se alinea con la estrategia de seguridad de negocio, es implantar un marco de seguridad potente y efectivo en la organización.

Por último, existe la posibilidad de evitar la certificación en PCI DSS, externalizando el alcance en otras empresas que cumplen la norma. Los típicos ejemplos se encuentran en las pasarelas de pago con entidades bancarias o proveedores de servicios especializados en ello. Los costes se reducen drásticamente, pero por el contrario una parte importante del negocio queda en manos de un tercero, lo cual requiere un control legal y de cumplimiento muy preciso.