Guía
Requisitos de seguridad de PIN PCI, y a quién aplican de verdad
Los requisitos de seguridad de PIN PCI protegen los PIN y las claves criptográficas que los rodean. Aplican sobre todo a adquirentes, procesadores e instalaciones de inyección de claves, no a la mayoría de los comercios.
- Preparamos, un QSA evalúa
- Rangos de precio publicados
- Estimación por escrito, todo por correo
Qué cubren los requisitos de seguridad de PIN PCI
La norma cubre el manejo seguro del PIN en transacciones de pago en línea y fuera de línea, y fija reglas estrictas para gestionar claves criptográficas.
- Protección del PIN durante el procesamiento
- Generación, carga y almacenamiento de claves
- Dispositivos seguros para manejar claves
- Controles físicos y de procedimiento
Quién debe cumplir los requisitos de seguridad de PIN PCI
Depende de su papel en el procesamiento de PIN. Los comercios que solo aceptan PIN en terminales aprobadas normalmente no se evalúan directamente.
| Entidad | ¿Suele estar en el alcance? |
|---|---|
| Adquirente o procesador | Sí |
| Instalación de inyección de claves | Sí |
| Comercio con terminales aprobadas | Normalmente no |
Revisión de requisitos de seguridad de PIN PCI
Marque lo que describe su papel.
Su resultado aparece aquí a medida que marca las casillas, para que vea lo que sigue pendiente.
Los requisitos de seguridad de PIN PCI frente a PCI DSS
PCI DSS cubre los datos de cuenta en general. En cambio, los requisitos de PIN se centran en PIN y claves, así que una entidad puede estar en el alcance de ambos, con evaluaciones separadas.
Cómo funciona la evaluación
Las marcas de tarjetas fijan las reglas de validación de PIN, y las evaluaciones las hacen evaluadores PIN calificados. Las evidencias giran en torno a ceremonias de claves, registros y controles de dispositivos.
Dónde ayudamos
No somos evaluadores. Pero ayudamos a ordenar procedimientos y documentación antes de la evaluación. El análisis de brechas cuesta $8,000–$40,000. Los requisitos están en la biblioteca de documentos del PCI SSC.
Planee también las ceremonias de claves con anticipación: requieren varios custodios nombrados en un mismo lugar, y agendarlas suele tomar más que el trabajo. Resérvelas pronto y registre cada paso. Lleve además un registro de los dispositivos con claves, porque los evaluadores rastrean cada clave en todo su ciclo. Así, las brechas de custodia aparecen antes de la evaluación.
Preguntas sobre los requisitos de seguridad de PIN PCI
¿Los comercios deben cumplir los requisitos de seguridad de PIN PCI?
Normalmente no, si usan terminales aprobadas y un procesador.
¿Quién evalúa los requisitos de seguridad de PIN PCI?
Un evaluador PIN calificado, aprobado por el PCI SSC.
¿Los requisitos de seguridad de PIN PCI son parte de PCI DSS?
No. Son una norma aparte.
¿Por qué es tan central la gestión de claves?
Porque una clave comprometida expone cada PIN que protege.
Guías relacionadas
Prepárese para los requisitos de PIN
Describa su papel en el procesamiento de PIN y qué marcas le pidieron validar, porque sus reglas fijan el plazo. Le enviamos una estimación por escrito, normalmente en un día hábil.
Quiero mi estimación por escrito