Guía
PCI DSS y el almacenamiento del PAN: guardar números solo cuando hace falta
Las reglas de PCI DSS sobre el almacenamiento del PAN deciden dónde pueden estar los números de tarjeta y cómo protegerlos. El control más económico suele ser no guardar el número completo.
- Preparamos, un QSA evalúa
- Rangos de precio publicados
- Estimación por escrito, todo por correo
La primera regla de PCI DSS para el almacenamiento del PAN
Guarde solo lo que necesita y solo el tiempo necesario. Por eso, primero van una política escrita de conservación y un proceso periódico de borrado.
Cómo proteger el almacenamiento del PAN en PCI DSS
Todo número de cuenta principal guardado debe ser ilegible. La norma admite varios métodos.
| Método | En palabras simples |
|---|---|
| Truncamiento | Se elimina parte del número de forma permanente. |
| Tokenización | Un valor sustituto reemplaza el número. |
| Hash con clave | Un hash unidireccional con una clave secreta. |
| Cifrado robusto | Cifrado, con claves bien gestionadas. |
Revisión de PCI DSS sobre el PAN guardado
Marque lo que puede demostrar hoy.
Su resultado aparece aquí a medida que marca las casillas, para que vea lo que sigue pendiente.
Enmascaramiento al mostrar el número
Mostrar es otra regla. Pantallas e informes no deben mostrar más que los primeros seis y los últimos cuatro dígitos, salvo que un rol de verdad necesite más.
Dónde sorprende el almacenamiento del PAN en PCI DSS
Los números de tarjeta se esconden donde nadie lo planeó, como tickets de soporte, grabaciones telefónicas, archivos de registro y hojas de cálculo exportadas.
- Tickets de atención a clientes y correo
- Registros de aplicaciones y de depuración
- Respaldos y bases de datos viejas
- Hojas de cálculo para reembolsos
Dónde ayudamos
Le ayudamos a encontrar casos de almacenamiento del PAN y a reducirlos o protegerlos antes de la evaluación. La remediación cuesta $30,000–$150,000 en entornos grandes. No somos un QSA. La norma está en la biblioteca de documentos del PCI SSC.
Busque otra vez tras cada cambio importante: una herramienta de soporte nueva puede empezar a capturar números en tickets. La búsqueda es una rutina, no un proyecto único. Explique también al personal por qué importa, porque una exportación descuidada puede deshacer meses de reducción de alcance. Así, el entorno de datos del tarjetahabiente sigue tan pequeño como lo diseñó.
Preguntas sobre PCI DSS y el PAN
¿PCI DSS permite el almacenamiento del PAN?
Sí, si hay una necesidad de negocio y el número se vuelve ilegible.
¿La tokenización saca el almacenamiento del PAN del alcance de PCI DSS?
Puede reducir mucho el alcance, según cómo esté diseñado el sistema de tokens.
¿El almacenamiento del PAN en PCI DSS incluye los respaldos?
Sí. Toda copia cuenta, incluidos los respaldos.
¿Podemos guardar alguna vez el CVV?
No. Los códigos de seguridad no se guardan tras la autorización.
Guías relacionadas
Reduzca el alcance de PCI DSS sobre el PAN
Indíquenos dónde podrían estar los datos de tarjetas. Le enviamos una estimación por escrito, normalmente en un día hábil.
Quiero mi estimación por escrito