Las auditorías PCI DSS son un requisito obligatorio para cualquier empresa que almacene, procese o transmita datos de titulares de tarjetas. La norma incluye 12 requisitos y más de 400 subrequisitos, lo cual la convierte en una tarea compleja. Recientemente ha sido actualizada con nuevos requisitos que han modificado significativamente su aplicación.
Suponer que se sabe dónde se almacenan los datos
La norma PCI DSS exige segmentar la red en áreas dentro y fuera del entorno del titular de la tarjeta. Los sistemas fuera de este ámbito suelen no estar relacionados con el procesamiento de tarjetas. Sin embargo, pueden existir puntos ciegos o lagunas que permitan la salida de datos sensibles. Esto puede convertirse en un problema durante una auditoría si se descubre.
No realizar una comprobación previa de la preparación
Si ha pasado por la auditoría PCI DSS varias veces, es posible confiar en que será sencilla como antes. Sin embargo, los auditores pueden variar considerablemente año tras año y centrarse en áreas distintas. Es fundamental tratar cada auditoría como si fuera la primera. Se recomienda realizar una comprobación previa con otro miembro del equipo para simular la auditoría.
Suponer que el entorno no ha cambiado
No es suficiente que una base de datos no haya sido modificada desde el año anterior. Puede haber cambios en el entorno que afecten al cumplimiento de la norma. Por ejemplo, se han observado casos donde administradores creaban tablas temporales con datos claros de titulares de tarjetas y luego olvidaban su existencia hasta que eran descubiertas durante una auditoría.
Pensar que la auditoría PCI DSS solo cubre controles técnicos
La norma PCI DSS es técnica, pero su alcance va más allá de los controles técnicos. A menudo son los procesos empresariales los que manejan gran parte de los datos sensibles. Si no se tienen en cuenta, pueden surgir problemas durante la auditoría al encontrar hojas de Excel con números de tarjetas claros. Es fundamental documentar todos los procesos relacionados con el cobro mediante tarjetas y asegurar que las unidades de negocio comprendan la importancia de proteger estos datos.