Los sistemas de punto de venta facilitan el día a día de cualquier comerciante, por lo que es importante mantener la tecnología actualizada y segura. No solo su negocio depende de su sistema; sus clientes también confían en él para que sus datos estén protegidos. Cada vez que los compradores realizan una transacción en el terminal, su información personal se transmite a través de redes públicas. Si su negocio no cumple con la normativa PCI para garantizar la máxima seguridad de los datos de pago, está poniendo en riesgo tanto a sus clientes como a su negocio.
Las brechas de seguridad son como una tormenta perfecta: pueden producirse cuando el sistema es vulnerable y los ciberdelincuentes buscan formas de robar sus datos. Sin embargo, usted tiene cierto control para detener la tormenta. Es un hecho que los piratas informáticos y los ladrones quieren sus datos, pero usted puede controlar si su sistema de punto de venta es vulnerable. Un buen punto de partida es asegurarse de que su TPV y su tecnología de pago cumplan con las normas PCI-DSS.
¿Qué es el cumplimiento de la normativa PCI?
El cumplimiento de la normativa PCI se refiere al cumplimiento de las Normas de Seguridad de Datos de la Industria de Tarjetas de Pago (PCI-DSS), que establecen cómo deben protegerse y almacenarse los datos de las tarjetas de crédito. Las cuatro grandes del sector de las tarjetas de crédito —Visa, MasterCard, American Express y Discover— fundaron el Consejo de Normas de Seguridad PCI, que regula dichas normas. Para garantizar un alto nivel de seguridad de los datos de pago en todo el sector, las normas de seguridad PCI incluyen requisitos sobre cortafuegos, contraseñas, cifrado, números de identificación de los empleados, acceso al sistema y almacenamiento y transmisión de datos.
¿Es esto relevante para su negocio?
Si su empresa acepta tarjetas de crédito en la tienda física o en línea, el cumplimiento de las normas PCI le concierne. No existen grados distintos de cumplimiento: o se cumple o no se cumple. El incumplimiento le expone al riesgo de sufrir ataques financieros y violaciones de seguridad. Aparte de la mala publicidad y la pérdida de negocio, estos incidentes pueden afectar a su bolsillo y poner fin a su relación con su entidad financiera. Las multas por incumplimiento de las normas PCI pueden ascender a más de 100 000 dólares al mes, impuestas por el Consejo PCI.
¿Qué necesito para garantizar la máxima seguridad de los datos de pago?
Existen tres tecnologías que funcionan conjuntamente para optimizar un entorno de seguridad de los datos de pago:
EMV: La tecnología EMV hace que las transacciones con tarjeta física sean más seguras. La transición a EMV no solo cambió la forma en que las personas pagan con tarjeta de crédito (introduciendo tarjetas con chip en el terminal, en lugar de pasarlas por el lector), sino que también trasladó la responsabilidad por las transacciones fraudulentas de los bancos a los comerciantes, en caso de que estos no utilicen tecnología compatible con EMV. Esto significa que las empresas ya no cuentan con la protección de las entidades emisoras de tarjetas de crédito si alguien realiza una transacción fraudulenta; son ellas las que deben asumir esas pérdidas. El incumplimiento de la normativa puede suponer una lección muy costosa.
Tokenización: esta tecnología ayuda a los comerciantes a mantener los datos de las tarjetas de pago fuera del ámbito de aplicación de la norma PCI. La tokenización consiste en sustituir datos sensibles, como números de tarjetas de crédito o información personal, por un «token» que se utiliza para completar una transacción específica. Dado que los datos se han convertido en un token antes de enviarse a través de las redes y no se trata de un número de cuenta real, la información tokenizada no tiene ningún valor para los piratas informáticos ni para los ladrones de datos.
Cifrado: siempre que la información del titular de la tarjeta se guarde o se envíe a través de redes abiertas, estos datos deben cifrarse. El cifrado consiste en convertir la información confidencial en un código que solo puede descifrarse con una clave criptográfica —de la que los piratas informáticos no disponen—. Los números completos de tarjetas de crédito y débito, así como otra información personal, nunca deben almacenarse ni enviarse a través de redes abiertas.
Las tecnologías de seguridad de los datos de pago y el cumplimiento de la normativa PCI ayudan a proteger su negocio frente a las brechas de seguridad. Estos incidentes son noticia de primera plana y tienen consecuencias duraderas para las empresas, entre ellas la publicidad negativa, la pérdida de ingresos y la responsabilidad civil asociada a la brecha. No permita que su sistema de punto de venta sea una víctima; manténgase informado y mantenga su tecnología actualizada.
