Si tu organizacion procesa pagos con tarjeta de credito o debito, ya tienes obligaciones bajo PCI DSS. No importa si el volumen es alto o bajo, si usas una pasarela externa o si el equipo de seguridad es pequeno. El estandar aplica igual.
El problema mas comun que vemos en empresas mexicanas no es la falta de intencion de cumplir, sino la falta de claridad: no saben exactamente que les exige el estandar, que cambio con la version mas reciente, o cual es su exposicion real si no estan al dia.
Que es PCI DSS
PCI DSS, por sus siglas en ingles Payment Card Industry Data Security Standard, es un conjunto de controles de seguridad creado en 2006 por las principales marcas de tarjetas de pago: Visa, Mastercard, American Express, Discover y JCB. Su proposito es proteger los datos de los tarjetahabientes en cada etapa del proceso: cuando se capturan, cuando se transmiten y cuando se almacenan.
Tecnicamente no es una ley gubernamental, pero en la practica funciona como una obligacion contractual. Al firmar con un banco adquirente o un procesador de pagos para aceptar tarjetas, la empresa acepta cumplir con el estandar como condicion del servicio. Incumplirlo puede resultar en multas, incremento de comisiones o, en casos graves, la suspension de la capacidad de procesar pagos.
La version vigente hoy es PCI DSS v4.0, publicada en 2022 y totalmente en vigor desde abril de 2024.
A quien aplica en Mexico
El estandar aplica a cualquier entidad que almacene, procese o transmita datos de tarjetas de pago: bancos, retailers, aseguradoras, empresas de e-commerce, proveedores de software de punto de venta, fintechs y cualquier empresa que tenga un entorno de datos de tarjetahabiente activo, conocido como CDE (Cardholder Data Environment).
El nivel de cumplimiento que corresponde a cada organizacion depende del volumen anual de transacciones. Los niveles mas bajos (3 y 4) pueden autoevaluarse mediante un Cuestionario de Autoevaluacion (SAQ). Los niveles 1 y 2 estan obligados a contratar un QSA (Qualified Security Assessor), un auditor certificado por el PCI SSC, para emitir un Reporte de Cumplimiento formal.
Hay un punto que muchos equipos de TI subestiman: si una empresa sufre una brecha de datos de tarjeta, puede ser reclasificada automaticamente al nivel mas alto de auditoria, independientemente de su volumen habitual. Eso implica auditoria externa obligatoria y mayor escrutinio permanente.
Otro argumento comun es ‘nosotros no tocamos los datos porque usamos Stripe o Conekta’. El alcance si se reduce cuando se redirige al cliente a la pasarela sin que los datos pasen por los servidores propios. Pero si hay scripts de pago alojados en el sitio, si se registran datos de transaccion en sistemas propios, o si hay cualquier punto de contacto con el CDE, el alcance se amplia. La unica forma de saberlo con certeza es a traves de un analisis formal de alcance.
Los 12 dominios del estandar
PCI DSS se organiza en 12 requisitos agrupados en cuatro grandes areas de control:
- Red y configuracion segura (requisitos 1 y 2): firewalls, segmentacion de red y configuraciones sin credenciales predeterminadas.
- Proteccion de datos de tarjetas (requisitos 3 y 4): cifrado de datos almacenados y en transito.
- Gestion de vulnerabilidades (requisitos 5 y 6): antimalware actualizado, desarrollo seguro de aplicaciones y parches.
- Control de acceso (requisitos 7, 8 y 9): principio de minimo privilegio, autenticacion multifactor y proteccion del acceso fisico.
- Monitoreo y verificacion (requisitos 10 y 11): logs de auditoria, escaneos de vulnerabilidades trimestrales y pruebas de penetracion anuales.
- Politica de seguridad (requisito 12): gestion de riesgo documentada, capacitacion del personal y gobierno de terceros.
Cumplir con todos estos dominios requiere un enfoque sistematico. No es suficiente tener un firewall si no hay politicas documentadas. No basta con capacitar al equipo si el acceso privilegiado no esta controlado.
Que cambio con PCI DSS v4.0
La actualizacion mas reciente es la mas significativa en la historia del estandar. Desde el 1 de abril de 2025, los requisitos que en versiones anteriores eran considerados mejores practicas se volvieron obligatorios para todas las empresas en alcance. Esto incluye mas de 50 controles adicionales que muchas organizaciones aun no han implementado.
Los cambios mas relevantes para un director de TI o de seguridad:
- SIEM ahora es obligatorio. Las organizaciones deben contar con un sistema de gestion de eventos de seguridad para detectar anomalias en tiempo real.
- Mayor carga probatoria. La documentacion requerida para auditoria es mas extensa y detallada que en versiones anteriores.
- Autenticacion mas estricta. Los controles de acceso privilegiado y la autenticacion multifactor tienen requisitos mas especificos.
- Proteccion contra e-skimming. Las paginas de pago deben tener mecanismos para detectar modificaciones no autorizadas en el codigo.
- Analisis de riesgo personalizado. Las organizaciones deben documentar por que ciertas frecuencias de control son apropiadas para su entorno especifico.
Otro cambio conceptual importante: v4.0 se aleja del modelo de checklist y apuesta por una seguridad continua basada en resultados. Esto da mas flexibilidad para implementar controles de forma alternativa, pero tambien exige mayor madurez para documentarlo correctamente frente a un auditor.
Las consecuencias reales del incumplimiento
Las consecuencias del incumplimiento no son abstractas. Se traducen en numeros concretos que impactan directamente el balance de la organizacion:
- Multas mensuales por incumplimiento persistente, que pueden acumularse rapidamente despues de los primeros meses.
- Incremento en comisiones de procesamiento por transaccion, que en operaciones de alto volumen representan un costo significativo.
- Costo de investigaciones forenses en caso de brecha, generalmente ejecutadas por empresas especializadas y facturadas a la empresa afectada.
- Dano reputacional con clientes, socios comerciales e inversionistas.
- En casos extremos, suspension de la capacidad de procesar pagos con tarjeta.
Segun datos de la OEA en conjunto con la CNBV, todas las instituciones financieras en Mexico identificaron eventos en sus plataformas digitales que atentaban contra su ciberseguridad, y el 43% de esos eventos resulto exitoso. Este no es un riesgo teorico ni exclusivo del sector financiero.
Por donde empezar
Si no tienes claridad sobre el alcance real de tu CDE, el primer paso es un analisis de brechas. Este ejercicio permite identificar que controles ya estan implementados, cuales tienen deficiencias y cuales faltan por completo. Es el punto de partida para construir un plan de remediacion con tiempos y responsables reales.
Para la auditoria, el QSA solicitara evidencia concreta: politicas documentadas, logs de acceso disponibles de los ultimos tres meses, reportes de escaneos de vulnerabilidades, resultados de pruebas de penetracion anuales y configuraciones de sistemas y firewalls. Nada de esto se improvisa.
Las organizaciones que tratan el cumplimiento como un proceso continuo, y no como un proyecto puntual antes de la auditoria, tienen una postura de seguridad notablemente mas solida. Y cuando llega la auditoria, el proceso es mucho menos costoso en tiempo y recursos.
Conoce tu nivel de exposicion antes de que te lo digan tus redes de tarjeta
En OCD Tech ayudamos a organizaciones en Mexico a entender exactamente donde estan paradas frente a PCI DSS v4.0: que tienen cubierto, que les falta y como construir un camino realista hacia el cumplimiento. Sin alarmar, sin vender mas de lo necesario.
Si quieres saber si tu empresa esta en alcance y cual seria el punto de partida, ponte en contacto con nosotros.