Estandar PCI

Estandar PCI

1. Desarroladas para mejorar la seguridad de los datos del titular

   • PCI DSS
     • proporcionan
       • requisitos operativos
       • requisitos técnicos
       • requisitos principales
         • 1 Desarrollar y mantener sistemas y redes seguros
           • Control mediante Firewalls para redes internas y externas
             • Todos los sistemas protegidos, gestión de accesos a internet
               • Establecer normas de configuración
               • Procesos formales para aprobar y probar todos los cambios
           • 2 No contraseñas de sistemas y otros parámetros de seguridad
             • Cambio de valores predeterminados por el proveedor
               • desarrollo de normas de configuración para todos los componentes de sistemas
                 • FUENTES DE NORMAS:
                   • CIS
                   • ISO
                   • SANS
                   • NIST
                 • cifrar acceso administrativo (no de consola)
                   • inventario de componentes de sistema
                     • políticas de seguridad documentadas
                       • 6 Desarrollo de aplicaciones seguras
                         • Establecer procesos para identificar vulnerabilidades
                         • Software con parches de seguridad
                         • desarrollo de app internas y externas basadas en normas, basadas en S.I. en el ciclo de vida
                         • procesos de control de cambios en los componentes del sistema
                         • 8 Identificar y autenticar el acceso a los componentes del sistema
                           • políticas para identificación de usuarios
                           • ID exclusivas, correcta administración de autenticación
                           • autenticación de 2 factores para el proceso remoto a la red
                           • documentación y comunicación a los usuarios sobre los procedimientos y políticas
                           • NO id grupales ni genéricas
                           • para otro tipo de factores solo asignar a una sola cuenta, además de controles físicos y lógicos
                           • Acceso restringido a BDD que contenga datos del titular
                           • 11 Pruebas regulares de sistemas y procesos de seguridad
                             • Implementar procesos para determinación de accesos inalambricos
                             • análisis internos y externos de las vulnerabilidades de red, trimestralmente
                             • pruebas de penetración NIST SP800-115
                               • cobertura de todo el perímetro del CDE
                                 • pruebas de entorno interno y externo de red
                                   • revisión cada 12 meses de vulnerabilidades
                             • Técnicas de intrusión - detección, para revisión y prevención de red
                             • Mecanismo de detección de cambios, monitorización de integridad de archivos