Las telecomunicaciones son el eje del mundo digital: conectan personas, servicios, bancos, dispositivos y plataformas de todo tipo. Pero esa capacidad de conexión también conlleva una gran responsabilidad.
Las empresas telco no solo transportan datos: los recogen, almacenan, procesan y en ocasiones los destruyen, incluyendo datos de tarjetas de pago.
Por eso, la norma PCI DSS (Payment Card Industry Data Security Standard) se ha vuelto un estándar imprescindible en el sector. No solo porque es exigida por las marcas de tarjetas, sino porque representa una barrera crítica contra el fraude, el robo de identidad y las filtraciones masivas.
PCI DSS es un conjunto de estándares de seguridad creados en 2004 por el PCI Security Standards Council (Visa, Mastercard, American Express, Discover y JCB) para proteger los datos del titular de la tarjeta y evitar su uso indebido.
Su aplicación es obligatoria para cualquier organización que almacene, procese o transmita datos de tarjetas, y su cumplimiento es vigilado no sólo por las marcas, sino también por bancos, entidades reguladoras y auditores externos.
En el sector de telecomunicaciones, su relevancia ha crecido exponencialmente porque:
Esto las convierte en objetivos prioritarios para el cibercrimen y, a la vez, en entidades altamente reguladas.
La norma establece controles para proteger dos grandes grupos de datos:
Incluye:
Estos datos pueden almacenarse temporalmente, pero deben cifrarse y eliminarse de forma segura cuando ya no son necesarios. Aquí es donde entra la relevancia del borrado seguro y certificado como parte del cumplimiento técnico.
Como:
Estos no pueden almacenarse bajo ninguna circunstancia después de la autorización de la transacción. Y si accidentalmente se almacenan (en registros, backups, temporales), deben ser borrados de manera irrecuperable, conforme a metodologías como NIST 800-88.
Las telcos pueden no considerarse entidades financieras, pero en la práctica:
Muchas empresas de telecomunicaciones:
En todos estos casos, PCI DSS exige:
Por eso es fundamental implementar prácticas como el borrado criptográfico, la sanitización automatizada y políticas de retención de datos adaptadas al sector.
En muchos casos, las auditorías de PCI DSS fallan no por almacenamiento activo, sino por almacenamiento pasivo no controlado: bases antiguas, logs de testeo, backups olvidados, imágenes de disco, discos externos, entornos de desarrollo…
Implementar borrado seguro y certificado:
Además, puede aplicarse a nivel:
Consecuencias típicas para telcos que no cumplen:
No. Solo el borrado seguro —como el que promueve NIST 800-88 o IEEE P2883— asegura que los datos no sean recuperables, ni siquiera con software forense.
Evidencia de eliminación segura, registros de acceso, logs, informes de escaneo y política de retención/destrucción.
Sí. Muchas herramientas permiten borrar VMs, snapshots o volúmenes persistentes en entornos como VMware, AWS, Azure, etc.
Sí. El cifrado protege mientras los datos existen, pero no evita que se conserven más tiempo del necesario o que queden expuestos si se pierde la clave.
En Delete Technology contamos con soluciones tecnológicas y servicios que facilitan el borrado seguro y certificado de información. Ponte en contacto con nosotros si tu industria requiere de nuestra experiencia.
Síguenos en nuestras redes sociales