Si manejás datos de tarjetas, te ayudamos a cumplir la norma
PCI DSS es el reglamento que piden las marcas de tarjetas para cuidar esos datos. Te acompañamos a ponerte en regla, paso a paso.
Explicado fácil
Así como un local de comida necesita la habilitación de bromatología, una empresa que procesa pagos con tarjeta necesita cumplir las reglas de seguridad de las tarjetas, llamadas PCI DSS.
Tenemos experiencia trabajando en entornos que cumplen esta norma. Te ayudamos a entender qué te piden, armamos el plan y ajustamos la infraestructura en la nube para cumplirlo.
Precio: Consultá. Cotizamos después de un primer diagnóstico.
Para quién es
Qué ganás
Entendés qué te piden
Traducimos la norma a tareas concretas.
Plan ordenado
Sabés qué hacer primero y cuánto falta.
Nube preparada
Ajustamos tu infraestructura en AWS o Azure para cumplir.
Llegás a la auditoría tranquilo
Con la documentación y la evidencia en orden.
Cómo funciona
Diagnóstico
Vemos dónde pasan los datos de tarjetas en tu empresa.
Brechas
Listamos qué falta para cumplir.
Plan
Te proponemos un plan con plazos y precio por escrito.
Implementación
Hacemos los ajustes y preparamos la documentación.
Para aplicar con o sin nosotros
Consejos simples y reales, que podés aplicar hoy mismo, nos contrates o no.
Que la tarjeta la maneje el procesador de pagos
Si cobrás con un procesador como Mercado Pago o Stripe y usás tokenización, los números de tarjeta nunca pasan por tus sistemas. Tenés mucho menos para proteger y para auditar.
El código de seguridad no se guarda nunca
El código de tres o cuatro números de la tarjeta (CVV) no se guarda después de cobrar. Ni en el sistema, ni en los logs, ni en un ticket, ni anotado en un papel.
Buscá tarjetas guardadas cada 3 meses
Una vez por trimestre pasá una herramienta como PANhunt por tus servidores para encontrar números de tarjeta guardados donde no deberían estar. Si aparece alguno, borralo y averiguá de dónde salió.
Separá la red de las tarjetas
Los equipos que tocan datos de tarjeta van en una red aparte, separada del resto de la empresa. Así un problema en una computadora de la oficina no llega a los pagos.
Un inventario de todo lo que toca tarjetas
Tené una lista al día de los servidores, programas y proveedores que manejan datos de tarjeta. No se puede proteger lo que no sabés que existe.
Ningún cambio en producción sin aprobación
Usá un sistema de tickets con una plantilla de pedido de cambio. Absolutamente todo cambio en producción pasa por un pedido de cambio aprobado, sin excepciones.
Tareas fijas en tickets: parches, logs y firewall
Armá tickets que se repitan solos: parches de los servidores cada mes, revisión de logs todos los días y revisión de las reglas del firewall cada mes. Así queda registro de que se hizo.
Guardá los logs un año
Los registros de lo que pasa en tus sistemas (logs) se guardan por lo menos un año. Si hay un incidente, son la única forma de saber qué pasó.
Servidores protegidos de fábrica
Configurá los servidores con la guía CIS Nivel 1, poné antivirus en todos y usá un monitor de integridad de archivos, que avisa si alguien modifica archivos importantes.
Un WAF adelante de todo lo que está en internet
Todo lo que quede abierto a internet pasa por un WAF, que es un filtro que frena ataques comunes antes de que lleguen a tu aplicación.
Controlá los scripts de tus páginas de pago
PCI DSS 4.0 pide tener una lista de los scripts que corren en la página de pago, justificar cada uno y detectar si alguien los cambia. Es la forma de evitar que te inyecten código que roba tarjetas.
Verificación en dos pasos y usuarios personales
Todo acceso al entorno de tarjetas pide un segundo paso, como un código en el celular. Cada persona tiene su propio usuario, nada de usuarios compartidos, y cada 3 meses revisás quién tiene acceso y sacás lo que sobra.
Escaneos cada 3 meses y pentest cada año
Cada trimestre hacé un escaneo externo con un proveedor aprobado (ASV) y un escaneo interno. Una vez por año, y después de cada cambio grande, hacé una prueba de intrusión (pentest).
Capacitación, plan de incidentes y papeles de los proveedores
Capacitá a tu equipo en seguridad una vez por año y probá tu plan de respuesta a incidentes. Pedile también cada año a tus proveedores su certificado de cumplimiento PCI (AOC).
Lo que nos preguntan
Ustedes emiten la certificación?
No. La certificación la da un auditor autorizado. Nosotros te preparamos para llegar en regla.
Trabajan con equipos técnicos propios?
Sí, trabajamos junto a tu equipo o lo complementamos.
Sirve si uso un procesador de pagos externo?
Sí. Aun así hay reglas que cumplir, y te ayudamos a saber cuáles.
Otros servicios
Migración a la nube
Pasamos tus sistemas y archivos a AWS o Azure por etapas, sin frenar el trabajo, y después los mantenemos.
Ver más →Ciberseguridad
Buscamos puntos débiles en contraseñas, accesos, copias de seguridad y página web.
Ver más →Bot de WhatsApp
Contesta el WhatsApp las 24 horas, da turnos, toma pedidos y viene con página web. Nuestro producto principal.
Ver más →Charlemos sobre tu negocio
Escribinos por WhatsApp o mandanos un mail a enzo@delzo.cloud. Sin compromiso.