Implementación y Cumplimiento del Estándar PCI DSS

En esta clase iremos paso a paso por cada detalle de uno de los casos más renombrados de compromiso de datos de tarjetas, el caso del retail Target. Entenderemos cuáles fueron las falencias en la gestión de la seguridad de los datos de este retail las cuales lo llevaron al robo de los datos. Asimismo y como aspecto más importante, el estudiante conocerá cuáles fueron los impactos que hubieron en el negocio, causados por este compromiso de datos. El hecho de empezar el curso revisando este caso es para que el estudiante tenga claridad de la importancia de hacer una buena implementación del estándar PCI DSS, buscando no solamente el cumplimiento sino lograr un nivel de seguridad adecuado para el negocio.

En esta clase los estudiante conocerán las acciones que deben realizarse antes de iniciar un proyecto de implementación y cumplimiento del estándar PCI DSS, a fin de eliminar los obstáculos que puedan presentarse en el camino y contar con el apoyo de la organización, principalmente de la Alta Dirección.

Al final de esta clase el estudiante conocerá la estructura completa y detallada de una tarjeta de pago y cuáles son los datos que la conforman.

En esta clase el estudiante aprenderá cómo identificar los lugares y las formas en los que se encuentran los datos de tarjetas dentro de la organización. El principal objetivo es empezar a determinar el ámbito de aplicación del estándar PCI DSS.

Al final de esta clase el estudiante sabrá como definir y diagramar los flujos de datos de tarjetas, lo cual es necesario para la determinación del alcance y como documentación requerida por el auditor de PCI.

El entorno PCI DSS no sólo está conformado por los datos de tarjetas sino también por los componentes tecnológicos que son necesarios para su almacenamiento, procesamiento y transmisión. Al final de esta clase el estudiante sabrá cómo identificar estos componentes tecnológicos.

El entorno de datos de tarjetas puede resultar muy amplio debido al uso descontrolado de estos datos, esto hará que el proyecto de certificación sea muy complejo y costoso. En esta clase el alumno aprenderá algunas técnicas a aplicar al entorno a fin de reducirlo a lo mínimo necesario para el negocio, antes de iniciar la planificación para el cumplimiento del estándar PCI DSS.

En esta clase el alumno comprenderá lo que requiere el estándar en relación a lo siguiente:

• configuración de FW y routers

• aprobación de los cambios en FW y routers

• diagramas de red

• diagramas de flujos de datos de tarjetas

• uso de FW para la conexión a Internet y DMZ

• responsabilidades de administración de los componentes de la red

• inventario de protocolos y servicios en uso con su justificación

• revisión periódica de las reglas de los FW

En esta clase el alumno comprenderá cuáles son los requisitos de uso de los firewalls para el control de acceso hacia y desde la red de datos de tarjetas con redes no confiables.

Al final de esta clase el alumno comprenderá cómo se debe controlar la conexión del entorno de datos de tarjetas hacia Internet, haciendo uso de una DMZ y otras características de seguridad.

En esta clase se definen los requisitos de seguridad a tener en cuenta para los dispositivos móviles que se conectan al entorno de datos de tarjetas y que también tienen posibilidad de conectarse a Internet estando fuera de la red empresarial.

Esta clase nos habla de la documentación de las políticas y procedimientos de configuración y administración de los firewalls.

Al final de esta clase el alumno comprenderá los requisitos de PCI en cuanto a la eliminación de contraseñas y parámetros por defecto antes de poner un sistema en producción.

En esta clase el alumno conocerá las normas de configuración segura de los sistemas y el uso adecuado de los servicios bajo criterios de seguridad

En esta clase el alumno aprenderá los requisitos de cifrado de acceso administrativo para los accesos que no son de consola.

Al final de esta clase el alumno comprenderá por qué debe mantenerse un inventario detallado de los componentes tecnológicos que conforman el entorno de datos de tarjetas.

En esta clase se definen los requisitos de documentación de políticas y procedimientos de configuración de los sistemas del entorno de datos de tarjetas.

En esta clase el alumno comprenderá los requisitos que establece el PCI para los proveedores de hosting compartido en cuanto a la configuración segura de sistemas.

Al final de esta clase el alumno podrá definir y documentar una tabla de retención de datos de tarjetas.

Al final de esta clase el alumno comprenderá el requisito de no almacenamiento de datos sensitivos de autenticación después de la autorización.

En esta clase el alumno aprenderá las técnicas de enmascaramiento del PAN y cuándo deben ser usadas para la protección de los datos de tarjetas.

En esta clase el alumno comprenderá los requisitos de seguridad que deben ser aplicados para proteger los datos de tarjetas que se encuentran almacenados.

Al final de esta clase el alumno conocerá los requisitos para la protección de las llaves criptográficas que son usadas para el cifrado de los datos de tarjetas.

Al final de esta clase el alumno conocerá los requisitos para la administración de las llaves criptográficas que son usadas para el cifrado de los datos de tarjetas.

En esta clase el alumno conocerá el requisito de documentación de políticas y procedimientos para la protección de los datos de tarjetas almacenados.

Al final de esta clase el estudiante comprenderá las técnicas de seguridad a usar tales como criptografía o protocolos seguros, para la transmisión de datos de tarjetas a través de redes abiertas.

En esta clase el estudiante comprenderá los requisitos para la transmisión del PAN de manera segura a través de sistemas de mensajería.

En esta clase se definen los requisitos para la documentación de políticas y procedimientos de seguridad de datos en transmisión.

En esta clase el estudiante comprenderá lo que PCI requiere en cuanto al uso de software antimalware y cuáles son las técnicas y tecnologías que hoy en día ofrece el mercado y que son necesarias para tener una postura de seguridad adecuada contra el código malicioso.

En esta clase se definirán los requisitos de PCI para mantener un óptimo funcionamiento permanente del software antimalware.

En esta clase el estudiante comprenderá los requisitos que asegurarán la disponibilidad continua de la protección contra código malicioso.

En esta clase se definen los requisitos de documentación de políticas y procedimientos relacionados a la protección contra código malicioso.

En esta clase el estudiante comprenderá la terminología usada en la gestión de vulnerabilidades en sistemas y cuáles son los organismos oficiales relacionados así como el rol de cada uno.

En esta clase el estudiante comprenderá la importancia de la gestión de parches de seguridad para mantener seguros los sistemas. Asimismo, se introducirán algunos tips para una gestión adecuada y se revisará lo que hoy en día ofrece el mercado de tecnologías para la gestión de parches.

Al final de esta clase el estudiante conocerá cuáles son las tareas de seguridad que deben incorporarse al ciclo de vida de desarrollo de software a fin de obtener aplicaciones libres de vulnerabilidades relevantes antes de ponerlas en producción. Asimismo, se revisarán las herramientas tecnológicas que deben usarse en la seguridad de las aplicaciones.

En esta clase el alumno entenderá como realizar el proceso de gestión de cambios, desde el punto de vista organizacional, tecnológico y de procesos. Asimismo comprenderá cuáles son los requisitos específicos para proteger los datos de tarjetas durante la realización de cambios en los sistemas y aplicaciones.

Al final de esta clase el alumno conocerá las mejores prácticas en el desarrollo de aplicaciones seguras.

En esta clase el alumno aprenderá sobre los métodos y tecnologías que se debe utilizar para proteger las aplicaciones en producción ante las amenazas en el ciberespacio.

En esta clase se define el requisito de documentación de políticas y procedimientos de seguridad para el desarrollo de aplicaciones seguras.