SEGURIDAD CERTIFICADA PCI

FICHA COMERCIAL DE ATRIBUTO

Objetivo del atributo para el comercio: Al contratar el servicio de haztutienda, el comercio obtiene una solución y servicio de eCommerce preparado y listo para obtener el sello de certificación por parte de empresas reguladoras. (ejemplo Trustwave, CAELI, 1st Secure IT, por mencionar algunos.)

Descripción: PCI-DSS implementa una serie de controles enfocados a la seguridad del código desarrollado, así como en la estructura de las redes y locaciones físicas, basados en 5 cuestionarios de acuerdo con el giro del comercio/negocio, con la finalidad de asegurar la información de los tarjetahabientes.

Objetivo de la funcionalidad: Desarrollar un código que cumpla con las políticas de seguridad, implementar un servicio de hosting que cumpla con los requisitos necesarios para asegurar las transacciones y datos de los tarjetahabientes

Características: Se realiza la capacitación “interna” para desarrollo y tecnología, como una constante sobre las principales vulnerabilidades y metodologías de seguridad con el propósito de trasladar conocimiento y dar cumplimiento a normas de compliance, mismas que incluyen:

• Identificación de vulnerabilidades.

• Actualización de sistemas.

• Revisión de código.

• Inyección SQL.

• Pérdida de autentificación.

• Exposición de datos sensibles.

• Secuencia de comando en sitios cruzados (XSS).

• Componentes de vulnerabilidades conocidas.

Usabilidad y bondades para el comercio:

• Se entrega un eCommerce con una infraestructura en cumplimiento de normativa PCI-DSS.

• Se cuenta con controles de acceso a servidores como parte del servicio.

• Ofrece el servicio un conjunto de reglas de seguridad en cada uno de los servidores de acuerdo con su uso y función.

• El servicio ofrece escaneo de vulnerabilidades de forma periódica.

• El servicio cuenta con monitoreo para la detección de cambios en la aplicación (WAF).

• Se realizan respaldo de manera diaria a nivel código y bases de datos.

• Incluye servidores de balanceo para mitigar ataques tipo DDOS (Denegación de servicio).

• Obtención de un código con los estándares de seguridad y con las políticas para el desarrollo de software.

• Actualizaciones en caso de nuevas vulnerabilidades o bugs en el código

Integración: Está incluida si es un servicio “SAaS” ( software como servicio ) e incluye seguridad en código y fuentes del eCommerce, en infraestructura de servidores, además cuenta con actualizaciones de desde plataforma.

En caso de Licenciamiento se envían actualizaciones de código en cumplimiento de la política PCI.

Supuestos y dependencias.

• En caso de alguna incidencia se realizan tareas para su resolución y actualización en los servicios “SaaS” (software como servicio).

• En caso de alguna incidencia se realizan tareas para su resolución y actualización en el código de forma que siempre se mantenga con las últimas versiones.

Certificado de cumplimiento PCI DSS SAQ-D v3.2.1

Ejecuciones prácticas

Solo como servicio (SaaS):

Se realizan escaneos y se llevan controles de seguridad según matriz de cumplimiento PCI de manera periódica.

Extracto de reporte.

Se agrega sello de PCI compliance en el eCommerce de salida, ya que el eCommerce da cumplimiento al pago seguro.