Cuando una empresa decide correr sus propios servidores en lugar de migrar a la nube, la seguridad deja de ser un servicio contratado y se convierte en una responsabilidad directa. Casos como el de Nissan, que opera servidores locales con datos financieros y de ingeniería automotriz, o el de bancos y hospitales que no pueden tercerizar el manejo de información sensible, demuestran que existen escenarios donde la nube simplemente no es una opción [0:15]. Conocer las certificaciones que regulan estos entornos es fundamental para cualquier profesional que trabaje con infraestructura tecnológica.
¿Qué es PCI compliance y por qué la necesitas para manejar pagos?
PCI significa Payment Card Industry Security Standards, es decir, los estándares de seguridad de la industria de tarjetas de pago [2:27]. Si tu organización cobra con tarjeta de crédito o débito y almacena esos datos, necesita ser PCI compliant.
Este estándar contempla tres tipos de stakeholders dentro del ecosistema de pagos [2:50]:
- PCI PTS: los fabricantes de terminales físicas donde se aceptan tarjetas.
- PCI PA-DSS: los desarrolladores de software que crean aplicaciones y pasarelas de pago.
- PCI DSS: los comerciantes y proveedores de servicios financieros.
¿Cuáles son los requisitos concretos de PCI?
Los requisitos cubren desde la infraestructura hasta las personas que acceden a los datos [3:18]:
- Instalar y mantener un firewall que proteja la información de los titulares de tarjetas.
- Evitar configuraciones por defecto en sistemas como Apache o servidores de correo.
- Guardar los datos de tarjetas de forma cifrada y encriptar la transmisión, especialmente en redes públicas, tal como funciona HTTPS.
- Actualizar regularmente software de antivirus y sistemas de seguridad.
- Restringir el acceso a datos de tarjetas solo a personas autorizadas dentro de la organización.
- Asignar un identificador único a cada usuario con acceso a los computadores del data center.
- Restringir el acceso físico a los discos duros, lo que incluye contratar guardias de seguridad [4:40].
- Realizar tracking y monitoreo de todo el acceso a la red.
- Probar la seguridad de los sistemas de forma regular.
¿Qué protege HIPAA y qué datos cubre?
HIPAA es el estándar de manejo de datos privados de salud y de información en sistemas médicos [5:15]. A diferencia de PCI, aquí la regulación tiene fuerza de ley, no es una sugerencia.
Sus seis elementos clave incluyen [5:25]:
- Mapear todos los datos e identificar cuáles están protegidos por HIPAA, incluyendo datos en la nube.
- Determinar quién tiene acceso y crear un modelo de privilegios diferenciados: un médico accede solo a sus pacientes, una enfermera a datos limitados, y una aseguradora a otro subconjunto.
- Monitorear el acceso a archivos y preparar alertas.
- Proteger los datos con medidas de software y hardware, como las YubiKeys [6:20].
¿Qué tipo de información personal protege HIPAA?
Los datos protegidos van mucho más allá de diagnósticos médicos [6:35]:
- Nombres, fechas de nacimiento, muerte y tratamientos.
- Información de contacto y números de seguridad social o identificaciones nacionales.
- Números de registros médicos y fotografías.
- Datos biométricos como voz y huellas digitales.
- Cualquier identificador único que vincule datos de salud con la identidad de una persona.
Estas leyes existen porque los datos de salud son utilizados por gobiernos autoritarios y por hackers para cometer robo de identidad o discriminación [7:10].
¿Cómo funciona el proceso de certificación ISO 27001?
ISO 27001 es la certificación internacional estándar de seguridad informática [7:20]. Tanto PCI como HIPAA suelen exigirla como requisito base, y si trabajas con bancos o gobiernos, casi siempre te la van a solicitar.
El proceso de certificación sigue seis pasos [7:45]:
- Prepararte y documentar todo lo necesario.
- Elegir una empresa externa que realice la auditoría, similar a una auditoría contable pero enfocada en sistemas de información.
- Implementar los controles de seguridad informática.
- Realizar una segunda iteración de auditoría revisando los indicadores clave de rendimiento definidos inicialmente.
- Mantener y mejorar de forma constante el sistema de seguridad.
- Repetir las auditorías cada seis a doce meses.
Al completar este ciclo, obtienes un sello internacional que valida tu manejo de seguridad de la información. Es importante recordar que los estándares varían según la industria y la región: Europa, Estados Unidos, Latinoamérica y Asia tienen regulaciones diferentes. China, por ejemplo, restringe ciertos niveles de cifrado para que el gobierno pueda acceder a la información [8:50].
Cuando usas servicios en la nube, estos proveedores ya cumplen con estos estándares por ti. Pero si corres tus propios servidores, la recomendación es asesorarte con un abogado especializado en tecnología y con expertos en seguridad informática que te guíen en la preparación de tus datos [9:30]. Muchas empresas han desaparecido por no tratar sus data centers con la seriedad que requieren. ¿Tu organización ya cumple con alguna de estas certificaciones?
