Las instituciones que debes identificar son las autoridades a las que puedas notificar y/o pedir apoyo ante la ocurrencia de un incidente, como por ejemplo entidades gubernamentales u organismos especializados.

Los grupos de interés son aquellos que te informan sobre nuevas vulnerabilidades o amenazas, y las noticias más actuales en cuanto a ciberseguridad. Nuestras Hacknews y Hackmeets pueden ayudarte a cumplir con esto 😉.

Se proporcionan lineamientos para un cumplimiento a alto nivel para la protección de datos personales para el estándar PCI DSS.

Debes documentar las medidas de uso de dispositivos móviles para garantizar la seguridad de la información, y el buen uso de los dispositivos por parte de los colaboradores.

Los dispositivos móviles que debes considerar son todos aquellos que utilizas para llevar a cabo tus funciones laborales, como por ejemplo equipos de cómputo, celulares, tablets, etcétera, los cuales pueden ser propiedad de la empresa o de los colaboradores.

Además, debes establecer los lineamientos adecuados para asegurar que el entorno donde se trabaje sea el más adecuado, y no ponga en riesgo la información de la empresa.

Estos lineamientos impactan en cómo deben llevarse a cabo tus procesos de reclutamiento, contratación y desvinculación de personal, y por ello están asociados con tu Procedimiento de Preselección y Selección de Personal y tu Procedimiento de Gestión de Accesos.

Esta sección considera la identificación, clasificación (es decir, el nivel de confidencialidad que requiere la información) y el etiquetado de activos. Así como también los métodos de saneamiento, eliminación y/o destrucción de los activos para mitigar posibles fugas o pérdidas de información.

La evaluación de riesgos que realizas en tu Matriz de Riesgos, siguiendo la Metodología de Gestión de Riesgos definida por la empresa, es esencial para el cumplimiento de los requisitos de PCI DSS, y debe ser implementada conforme a lo solicitado por el mismo estándar.

Dentro del template encontrarás el objetivo de la gestión y la referencia a la Política de Tecnología y Operaciones de TI, que es donde se encuentran todos los lineamientos asociados.

Las soluciones que te solicitamos dentro del template son las mínimas indispensables para asegurar un nivel de protección adecuado, por lo que te recomendamos que si no cuentas con alguna, selecciones la que consideres más conveniente, y realices su instalación y configuración dentro de tus equipos.

Esta gestión tiene como objetivo el revisar los sistemas de información de forma periódica para identificar vulnerabilidades y posibles brechas de seguridad, siguiendo el Procedimiento de Gestión de Vulnerabilidades definido por la empresa.

La aplicación de los escaneos de vulnerabilidades internas y externas, las pruebas de penetración o Ethical Hacking, y las pruebas de segmentación son esenciales para el cumplimiento del requisito 11 de PCI DSS.

Ya sea que tu empresa desarrolle internamente, siguiendo la Política de Desarrollo Seguro, la Metodología de Ciclo de Vida de Desarrollo y el Procedimiento de Gestión de Cambios Productivos definidos por la empresa, o bien que tengan el desarrollo tercerizado, es súper importante verificar que se estén aplicando las mejores prácticas que propone la industria.

Sentar las bases para una adecuada gestión de incidentes de seguridad, considerando desde los criterios para su notificación, cómo debe ser analizado y atendido, las acciones de remediación y su comunicación, te permitirá mitigar los riesgos de seguridad y prevenir incidentes futuros.

Esta gestión debe seguir lo establecido dentro del Procedimiento de Gestión de Incidentes de Seguridad de la empresa.

El alcance debe ser revisado, y de ser necesario, actualizado de manera que tu entorno de certificación PCI DSS siempre se encuentre correctamente definido. Y para ello debes establecer lineamientos para asegurar un mantenimiento adecuado de la identificación de los procesos alcanzados, del diagrama flujo de datos para las diversas etapas de pago y componentes del sistema en el CDE, y del diagrama de red.

Esto para que el documento se mantenga actualizado en todo momento, alineado a las necesidades de la empresa y sea implementado correctamente por todos los responsables involucrados.

Recomendamos que esta evidencia sea a través de una minuta de sesión de comité (en ese caso, debes subir el documento en PDF de la minuta), o con una captura de pantalla de la respuesta explícita de quién o quiénes lo aprobaron.

Esto debe realizarse por algún medio de comunicación interno de la empresa, como Slack, Teams o el correo electrónico organizacional.

Al igual que la aprobación, la comunicación del documento puede ser por cualquier medio formal interno de la empresa. Y para esto, debes subir una captura de pantalla donde se muestre que el documento fue comunicado a todos los colaboradores interesados.