Guía
PCI 3DS: la norma detrás de 3-D Secure, y a quién cubre
PCI 3DS se refiere al PCI 3DS Core Security Standard, que protege los sistemas que ejecutan la autenticación 3-D Secure. Aplica sobre todo a proveedores, no a la mayoría de los comercios.
- Preparamos, un QSA evalúa
- Rangos de precio publicados
- Estimación por escrito, todo por correo
Qué cubre PCI 3DS
3-D Secure añade un paso de autenticación del tarjetahabiente a los pagos en línea. La norma PCI 3DS protege los entornos que realizan esas funciones.
- Funciones de 3DS Server
- Funciones de Access Control Server
- Funciones de Directory Server
Quién debe cumplir PCI 3DS
La norma aplica a entidades que realizan o prestan esas funciones. Sin embargo, un comercio que usa el servicio 3-D Secure de un proveedor normalmente no se evalúa frente a ella.
| Entidad | ¿Suele estar en el alcance? |
|---|---|
| Proveedor de 3DS Server | Sí |
| Emisor o proveedor de ACS | Sí |
| Comercio que usa un proveedor | Normalmente no, pero PCI DSS sigue aplicando |
¿Le aplica PCI 3DS?
Marque lo que describe a su empresa.
Su resultado aparece aquí a medida que marca las casillas, para que vea lo que sigue pendiente.
PCI 3DS frente a PCI DSS
PCI DSS protege los datos de cuenta dondequiera que se almacenen, procesen o transmitan. En cambio, PCI 3DS se centra en los entornos 3-D Secure y sus claves. Muchos proveedores de 3DS deben cumplir ambas.
Cómo funciona la evaluación
La realizan evaluadores calificados para 3DS por el PCI SSC. El enfoque de evidencias se parece al de PCI DSS, pero los requisitos son distintos.
Dónde ayudamos
No somos un QSA ni un evaluador de 3DS. Pero ayudamos a los proveedores a ordenar la documentación y cerrar brechas antes de la evaluación. El análisis de brechas cuesta $8,000–$40,000. La norma está en la biblioteca de documentos del PCI SSC.
Revise también los contratos con su proveedor de 3-D Secure: qué parte mantiene qué controles y cómo se comparten las evidencias. Así las responsabilidades quedan claras cuando pregunte el evaluador. Además, lleve ambas normas en un solo calendario, porque las fechas de PCI DSS y PCI 3DS rara vez coinciden solas.
Preguntas sobre PCI 3DS
¿Los comercios deben cumplir PCI 3DS?
Normalmente no, si usan un proveedor. A ellos les sigue aplicando PCI DSS.
¿PCI 3DS es lo mismo que 3-D Secure?
No. 3-D Secure es el protocolo, y PCI 3DS es la norma de seguridad para sus entornos.
¿Quién evalúa PCI 3DS?
Evaluadores calificados por el PCI SSC para la norma 3DS.
¿3-D Secure reduce el alcance de PCI DSS?
No. Añade autenticación, pero no cambia cómo se protegen los datos de cuenta.
Guías relacionadas
Prepárese para una evaluación PCI 3DS
Cuéntenos su papel en 3-D Secure. Le enviamos una estimación por escrito, normalmente en un día hábil. Incluya pronto a su empresa matriz o a su socio de hosting, porque la infraestructura compartida suele sostener el entorno 3DS y sus controles quizá también deban evidenciarse. Así el alcance es preciso desde el inicio.
Quiero mi estimación por escrito