|
Validación del Cumplimiento
Independientemente al mandato de cumplimiento con las Normas de Seguridad PCI existe además la validación de cumplimiento mediante la cual las entidades verifican y demuestran su cumplimiento. Esta importante tarea permite identificar y corregir vulnerabilidades, y proteger a los clientes asegurando que se mantengan niveles apropiados de seguridad.
Visa ha establecido prioridades y ha definido niveles de validación de cumplimiento basados en el volumen de transacciones, el riesgo potencial y la exposición que introducen al sistema de pago comercios y proveedores de servicios.
Criterios de Validación de Cumplimiento para Comercios
Los Adquirentes son responsables de que todos sus comercios cumplan con los requerimientos de las Normas de Seguridad PCI, sin embargo para la validación de cumplimiento se han establecido prioridades basadas en el volumen de transacciones y otros factores de riesgo.
Todos los comercios se identificarán en uno de cuatro niveles globales basado en el volumen de transacciones Visa durante un periodo de 12 meses. El volumen de transacciones es el resultado del total de transacciones (incluyendo crédito, débito y prepago) de un comercio que opera bajo el mismo nombre comercial (DBA). Los niveles para los comercios son:
| Nivel / Tier¹ |
Criterio para Comercios |
Requerimientos de ValidaciÓn |
| 1 |
- Comercios que procesan más de 6 millones de transacciones Visa al año (todos los canales) ó
- Comercios Globales identificados como Nivel 1 en cualquier región Visa²
|
- Informe Anual de Cumplimiento (ROC) por Evaluador de Seguridad Calificado (QSA)
- Prueba de vulnerabilidad de red trimestral por proveedor aprobado (ASV)
- Formulario de Certificación del Cumplimiento
|
| |
| 2 |
- Comercios que procesan entre 1 a 6 millones de transacciones Visa al año (todos los canales)
|
- Cuestionario de Auto-evaluación anual (SAQ)
- Prueba de vulnerabilidad de red trimestral por proveedor aprobado (ASV)
- Formulario de Certificación del Cumplimiento
|
| |
| 3 |
- Comercios de Internet que procesan entre 20,000 a 1 millones de transacciones Visa al año
|
- Cuestionario de Auto-evaluación anual (SAQ)
- Prueba de vulnerabilidad de red trimestral por proveedor aprobado (ASV)
- Formulario de Certificación del Cumplimiento
|
| |
| 4 |
- Comercios de Internet que procesan menos de 20,000 transacciones Visa al año y/o todos los otros comercios que procesan menos de 1 millón de transacciones Visa al año
|
- Validación de cumplimiento establecida por Adquirente, recomendación: SAQ anual y prueba de vulnerabilidad de red trimestral
|
| |
¹Cualquier comercio que sufra un ataque que resulte en compromiso de cuentas puede ser escalado a un nivel más alto de validación
² Un comercio que cumpla con el criterio de Nivel 1 en cualquier región/país Visa que opere en más de un país/región Visa es considerado un comercio global de Nivel 1, exceptuando los casos en los cuales no existen infraestructuras comunes y los datos no son centralizados; en estos casos el comercio se valida de acuerdo del volumen del país/región.
Criterios de Validación para Proveedores de Servicios
Un proveedor de servicios es cualquier organización que almacena, procesa o transmite información en nombre de un banco, comercio u otro proveedor de servicios.
Tanto los bancos Emisores como los Adquirentes deben usar proveedores de servicios certificados bajo las Normas de Seguridad PCI y además son responsables de que sus comercios también utilicen proveedores de servicios certificados. Para identificar Proveedores de Servicios certificados PCI, refiérase a la lista Global de Proveedores de Servicio PCI DSS
Todos los proveedores de servicios se identificarán en uno de dos niveles globales para la validación del cumplimiento:
| Nivel |
Criterio |
Requerimientos de ValidaciÓn |
Resultado |
| 1 |
Procesador, ó
cualquier proveedor de servicios que almacena, procesa y/o transmite más de 300,000 transacciones Visa por año. |
- Informe Anual de Cumplimiento (ROC) por QSA
- Prueba de vulnerabilidad de red trimestral por proveedor aprobado (ASV)
- Formulario de Certificación de Cumplimiento
|
Se incluye en la lista global de Visa para proveedores de servicio en cumplimiento |
| |
| 2 |
Cualquier proveedor de servicios que almacena, procesa y/o transmite menos de 300,000 transacciones Visa por año |
- Cuestionario de Auto-evaluación anual (SAQ)
- Prueba de vulnerabilidad de red trimestral por proveedor aprobado (ASV)
- Formulario de Certificación de Cumplimiento
|
No se incluye en la lista global de Visa ¹ |
| |
¹ Puede elegir validar cumplimiento como proveedor de servicio de Nivel 1 para ser incluido en la lista Visa de proveedores de servicios en cumplimiento
Fechas Límites para Cumplimiento
La siguiente tabla muestra los requerimientos y las fechas de cumplimiento relacionados a las Normas de Seguridad PCI para las entidades que participan del sistema Visa:
| Entidad |
Requerimiento |
Fecha LÍmite |
Comercios de Nivel 1 y 2 |
- Proveer confirmación que no se almacena información sensitiva de autenticación (ej.: contenido de banda magnética, CVV2 o datos del PIN)
|
30 de Septiembre 2009 |
| |
Comercios de Nivel 1 |
- Confirmación de cumplimiento total con las Normas de Seguridad PCI
|
30 de Septiembre 2010 |
| |
Procesadores |
- Confirmación de cumplimiento total con las Normas de Seguridad PCI
|
30 de Septiembre 2010 |
| |
< Volver a Seguridad de la Información
|
