Cuando una empresa procesa pagos con tarjeta, está manejando mucho más que simples números: está gestionando la confianza del cliente. Proteger esa información se ha convertido en una prioridad global, y la normativa PCI DSS establece los estándares que rigen esta protección.
Pero ¿qué ocurre con los datos una vez que dejan de ser útiles? Aquí entra un aspecto muchas veces ignorado: el borrado seguro y certificado de información, pieza clave para evitar filtraciones y cumplir con los estándares.
La PCI DSS (Payment Card Industry Data Security Standard) es una norma de seguridad desarrollada por el PCI Security Standards Council, creado por las cinco principales marcas de tarjetas: Visa, Mastercard, American Express, JCB y Discover.
Su propósito es claro: proteger los datos de los titulares de tarjetas y garantizar transacciones seguras en cualquier entorno, ya sea físico, digital o remoto.
Desde su lanzamiento en 2004, PCI DSS se ha convertido en el estándar global para todas las empresas que manejan información de tarjetas de pago, y abarca desde comercios minoristas hasta plataformas de e-commerce, bancos, pasarelas de pago, Fintechs y call centers.
La normativa pone especial atención en el CHD (Cardholder Data) y el SAD (Sensitive Authentication Data):
Estos datos no deben ser almacenados salvo en casos muy específicos y, si se almacenan, deben estar cifrados, controlados y ser eliminados de forma segura al finalizar su uso, como lo detalla este artículo sobre la normativa PCI DSS .
Cualquier organización que almacene, procese o transmita datos de tarjetas está obligada a cumplir con PCI DSS. Esto incluye:
Incluso si una empresa subcontrata el procesamiento de tarjetas, sigue siendo responsable del cumplimiento, ya que debe garantizar que sus proveedores también estén certificados.
La norma clasifica a las empresas en cuatro niveles según el volumen anual de transacciones:
|
Nivel |
Transacciones anuales |
Requisitos principales |
|
1 |
Más de 6 millones |
Auditoría anual externa + escaneos trimestrales. |
|
2 |
1 a 6 millones |
Autoevaluación anual (SAQ) + escaneos trimestrales. |
|
3 |
20,000 a 1 millón |
SAQ y cumplimiento técnico periódico. |
|
4 |
Menos de 20,000 |
SAQ, pero con requisitos personalizados según el banco adquirente. |
Independientemente del nivel, todos deben cumplir los 12 requerimientos centrales de la norma.
Agrupados en seis objetivos clave, estos son los pilares que toda empresa debe adoptar:
Estos requisitos no solo son técnicos; también son operativos y organizacionales. El borrado seguro entra en juego en varios puntos, sobre todo en los requisitos 3 (protección de datos) y 9 (restricción de acceso físico a datos almacenados).
Uno de los principios más relevantes (y a menudo ignorado) es que los datos de tarjeta no deben almacenarse más tiempo del necesario. Y cuando se eliminan, deben hacerlo de forma que no puedan ser recuperados, ni siquiera con herramientas forenses.
Aquí es donde el borrado seguro y certificado se convierte en una práctica crítica:
La sanitización de datos también es clave cuando se realizan migraciones de servicios, se termina una relación con un proveedor, o se cambia de infraestructura en la nube.
No cumplir con esta parte pone en riesgo la integridad del sistema, aunque todo lo demás esté en regla.
Las sanciones por incumplir PCI DSS pueden ser severas. Incluyen:
Empresas que han ignorado estas normativas han enfrentado crisis reputacionales y financieras devastadoras, muchas veces evitables con medidas como el borrado certificado de discos duros.
Sí, y es muy recomendable. PCI DSS comparte principios con:
Sí. Aunque no manejes los datos directamente, eres responsable de que tus proveedores estén certificados y alineados con los requisitos.
Si los registros contienen CHD o SAD, deben ser eliminados de forma segura cuando ya no sean necesarios, conforme a políticas como las de retención de datos.
Debe estar validado como conforme con los estándares del PCI SSC. Además, su ciclo de vida debe incluir prácticas como el borrado criptográfico de registros sensibles.
Sí. La protección de datos aplica a cualquier entorno donde se capture, procese o almacene información de tarjetas, incluidas apps móviles y dispositivos inteligentes.
En Delete Technology contamos con soluciones tecnológicas y servicios que facilitan el borrado seguro y certificado de información. Ponte en contacto con nosotros si tu industria requiere de nuestra experiencia.
Síguenos en nuestras redes sociales