PCI
La seguridad en el comercio electrónico es un objetivo primordial para TPL. Para garantizarlo, estamos orgullosos de declarar que cumplimos completamente con el PCI DSS. En un esfuerzo creciente por preservar la integridad de la información personal, el Consejo de Seguridad PCI ha establecido una serie de regulaciones que las empresas en línea deben seguir para garantizar la seguridad de las compras en línea. TPL cumple con todas las especificaciones descritas por el Consejo de Normas de Seguridad PCI con excelentes resultados; hemos demostrado que la gestión de la seguridad, las políticas de seguridad, la arquitectura de la red, así como el diseño del software están protegidos y libres de vulnerabilidades que puedan interferir en nuestras ventas en línea.
¿Qué son las especificaciones PCI?
El estándar de seguridad de datos de tarjetas de pago (Payment Card Industry Data Security Standard, PCI DSS) es un conjunto ampliamente aceptado de políticas y procedimientos destinados a optimizar la seguridad de las transacciones con tarjetas de débito, crédito o tarjetas de prepago y a proteger a los titulares de tarjetas contra el uso indebido de su información personal. El PCI DSS fue creado en 2004 de manera conjunta por cuatro grandes compañías de tarjetas de crédito: Visa, MasterCard, Discover y American Express.
El PCI DSS define y procesa seis objetivos principales.
En primer lugar, se debe mantener una red segura en la que puedan realizarse las transacciones. Este requisito incluye el uso de un firewall que sea lo suficientemente fuerte como para ser efectivo sin causar molestias injustificadas a los titulares de tarjetas o vendedores. Además, las identificaciones, como los números PIN y las contraseñas, no deben contener las configuraciones predeterminadas proporcionadas por los vendedores. Los clientes deben poder cambiar estos datos fácilmente y con frecuencia.
En segundo lugar, la información del titular de la tarjeta debe ser protegida dondequiera que se almacene. Los repositorios con datos vitales, como fechas de nacimiento, el nombre de soltera de la madre, números de seguridad social, números de teléfono y direcciones de correo electrónico, deben ser seguros contra la piratería. Cuando los datos del titular de la tarjeta se transmiten a través de redes públicas, deben ser cifrados de manera efectiva. El cifrado digital es fundamental en todas las formas de transacciones con tarjetas de crédito, pero especialmente en el comercio electrónico realizado a través de Internet.
En tercer lugar, los sistemas deben estar protegidos contra ataques de hackers utilizando software antivirus actualizado, programas antiespía y otras soluciones antimalware. Todas las aplicaciones deben estar libres de errores y vulnerabilidades que podrían ayudar al robo o modificación de los datos del titular de la tarjeta. Las actualizaciones de código proporcionadas por el software y el sistema operativo (OS) deben instalarse regularmente para garantizar el más alto nivel posible de gestión de vulnerabilidades.
En cuarto lugar, el acceso a la información y las funciones del sistema debe estar restringido y controlado. Los titulares de tarjetas no deben proporcionar información a las empresas, salvo que estas empresas necesiten conocer esa información para su protección y para realizar una transacción de manera eficaz. A cada persona que utilice una computadora en el sistema debe asignársele un nombre de usuario o número de identificación confidencial único.
En quinto lugar, las redes deben ser monitoreadas constantemente y controladas regularmente para garantizar que todas las medidas y procedimientos de seguridad estén en vigor, funcionen correctamente y estén actualizados. Por ejemplo, los programas antivirus y antiespía deben ser proporcionados con sus últimas versiones. Estos programas deben escanear todos los datos intercambiados, todas las aplicaciones, toda la memoria RAM y todos los medios de almacenamiento con frecuencia, si no continuamente.
En sexto lugar, debe definirse, mantenerse y cumplirse la política oficial de seguridad de la información en cada caso y por todos los actores involucrados. Las medidas de cumplimiento, como auditorías y sanciones por no cumplir, pueden ser necesarias.