La seguridad de los datos es muy importante independientemente de su sector. Según IBM Security, la coste medio de una violación de datos es de 4,35 millones de dólares.
Los impactos a menor escala del fraude, como el costo de una violación de datos para una cadena hotelera pequeña, podrían ser desastrosos. Por eso, el cumplimiento del PCI DSS por parte de su hotel es un pequeño precio a pagar para protegerse y proteger a sus huéspedes.
En este blog analizaremos el cumplimiento de la PCI, qué es, por qué es importante y cómo puedes cumplir con las pautas.
¿Qué es el cumplimiento de PCI?
Antes de pasar a la definición exacta de cumplimiento de PCI, hay algo que debes tener en cuenta: Cuando nos lo pregunte Skift si los viajeros estaban preocupados por la privacidad y la seguridad de los datos personales que proporcionaban a los hoteles, el 55,6% dijo estar algo preocupado. El veinte por ciento dijo estar muy preocupado.
Por este motivo, el cumplimiento del estándar de seguridad de datos de la industria de tarjetas de pago (PCI DSS) existe para proteger la información de los titulares de tarjetas de pago. Comprende un conjunto detallado de normas para las empresas que gestionan los datos de las tarjetas de pago.
Fue establecido por el Consejo de Normas de Seguridad de la Industria de Tarjetas de Pago (PCI SSC), una alianza de las cinco principales compañías de tarjetas de crédito: Visa, MasterCard, American Express, Discover y JCB.
Todas las empresas que gestionan datos de pago, incluidos los hoteles, deben cumplir con la norma PCI DSS. Si no lo haces, las penalizaciones asociadas a no cumplir con los requisitos podrían ser enormes.
¿Cuál es la diferencia entre el cumplimiento de PCI y la certificación PCI?
Cumplimiento de PCI
El cumplimiento de la PCI, creado por la PCI SSC, es un conjunto de pautas que las empresas deben seguir al aceptar, almacenar, procesar y transmitir tarjetas de pago.
Es importante tener en cuenta que no es ilegal no cumplir con la norma PCI. Sin embargo, si se produce una infracción y usted no cumple con las normas, entonces usted es responsable y puede incurrir en sanciones cuantiosas.
Cumplir con la normativa PCI es fundamental para proteger a sus huéspedes y a usted mismo.
Certificación PCI
La certificación PCI se refiere a una auditoría a gran escala de una empresa para garantizar que sigue los procedimientos y directrices correctos para proteger los datos. La auditoría debe realizarla un evaluador de seguridad (QSA) externo cualificado para que se considere que usted cumple con los requisitos.
Este es un proceso largo, que a menudo dura hasta seis meses. Durante este tiempo, el evaluador analizará cómo se desarrolló el software de su hotel, cómo se capacita a los desarrolladores y sus controles técnicos y procedimentales.
¿Por qué es importante para los hoteles cumplir con la normativa PCI?
Las filtraciones de datos pueden ser perjudiciales para las finanzas y la reputación de una empresa. Si tu hotel sufre una violación de seguridad, podrías ser responsable de que los huéspedes entablaran demandas legales, perder la lealtad y tener que pagar grandes multas que oscilan entre 5000 y 100 000 dólares al mes.
El cumplimiento de la PCI te ayuda a prevenir las filtraciones de datos y a fomentar la confianza de tus huéspedes en ti y en tu capacidad para procesar sus datos confidenciales. Por eso es importante que los huéspedes sepan que cumples con la normativa PCI.
Como hotel, eres más vulnerable en las siguientes áreas:
Comercio electrónico
Punto de venta
Red corporativa/interna
Sistemas interconectados
Ataques físicos
Motivos por los que un hotel puede no cumplir con la norma PCI
Lo crea o no, podría no cumplir con PCI sin siquiera saberlo. Esto hace que sea aún más importante convertirse en un experto en el cumplimiento de las normas PCI DSS y en lo que esto significa para su empresa.
Como mencionamos anteriormente, si se da cuenta de que no cumple con las normas, no se asuste (demasiado). No es ilegal, solo arriesgado. Lo bueno es que usted reconoce el incumplimiento y puede solucionarlo. Estas son algunas de las razones por las que puede no cumplir con las normas:
Sigues usando papel y Formularios de autorización de tarjetas de crédito en PDF: Esta es una razón muy común para el incumplimiento de la PCI y sorprende la cantidad de hoteles que no saben que los formularios de autorización en papel o PDF no cumplen con los requisitos.
Su seguridad física es laxa: Tu seguridad física desempeña un papel importante a la hora de proteger los datos de las tarjetas de crédito de tus huéspedes. Ya sea que tengas un equipo de seguridad o no, asegúrate de que los miembros del personal estén siempre presentes y capacitados sobre lo que hay que tener en cuenta cuando se trata de ladrones o comportamientos cuestionables.
Tienes una política de contraseñas débil: Las contraseñas demasiado comunes o compartidas representan un riesgo enorme para sus redes. Asegúrese de que su empresa aplique una política de contraseñas estricta para evitar que los estafadores adivinen o pirateen las cuentas. Algunas empresas exigen que los empleados cambien sus contraseñas con regularidad, por ejemplo.
Le faltan evaluaciones de seguridad periódicas: En lo que respecta al cumplimiento de la normativa PCI, la falta de evaluaciones de seguridad periódicas puede provocar una infracción. Es cierto que surgen vulnerabilidades en la red o en el software y, cuanto más tiempo permanezcan desatendidas, más probabilidades hay de que sufra un fraude.
La formación de sus empleados es insuficiente: Hablando de vulnerabilidades, los estafadores pueden atacar a sus empleados. Sin la formación adecuada, los miembros del personal podrían pasar por alto las señales de juego sucio.
El software o el hardware están desactualizados: Es posible que el software o el hardware más antiguos no cumplan con los estándares PCI DSS actuales y, por lo tanto, se consideren no conformes.
5 maneras de cumplir con la normativa PCI
Afortunadamente, hay varias maneras de cumplir con las normas PCI DSS y la mayoría se reduce a ser proactivo, invertir en tecnología segura y adoptar un enfoque que priorice la seguridad. Estas son siete maneras de prevenir las filtraciones de datos (ahorrando así mucho dinero):
Deshágase de los formularios de autorización en papel o PDF
Los formularios de autorización en papel y PDF no cumplen con los requisitos. No hay dos maneras de hacerlo. Cambiar a soluciones digitales seguras, como Autorizaciones digitales de Canary y Registro sin contacto ayudará a prevenir el fraude y a mejorar la experiencia de los huéspedes. No solo eso, sino que estas soluciones te ayudan a ganar los casos de contracargos en caso de que se produzcan.
Así es como funcionan las autorizaciones digitales: se envía un enlace único a un formulario seguro a cada huésped. Tu equipo recibirá un correo electrónico una vez que el huésped haya introducido la información de su tarjeta de crédito. Luego, puedes hacer un seguimiento de cada autorización en el panel web de Canary.
Canary utiliza su propio conjunto de herramientas (verificación de importes, verificación de identidad, marcado de IP y algoritmo de detección de fraudes) para detectar el fraude y detenerlo.
Una política interna de seguridad de datos es un conjunto de directrices y procedimientos para sus empleados. Deben describir cómo gestionar la información confidencial. Disponer de una buena política interna de seguridad de datos le ayuda de varias maneras clave:
Define las funciones y responsabilidades: una política bien elaborada debe describir todas las funciones y responsabilidades de pago y procesamiento asignadas a los miembros del personal. Esto hace que sea más fácil garantizar que cada empleado comprenda lo que se espera de él.
Establece protocolos de seguridad: cuando se trata del cumplimiento de la normativa PCI, la norma debe ser la norma. Disponer de un conjunto de protocolos de seguridad, como los estándares de cifrado, garantiza que los datos confidenciales estén siempre protegidos.
Brinda la oportunidad de capacitar a los empleados: una política de seguridad ayuda a capacitar al personal y, en consecuencia, a evitar contratiempos. Su política podría establecer que todos los nuevos miembros del personal deben recibir formación sobre las normas de seguridad de datos durante su primer mes. También es una buena idea informar anualmente a los miembros actuales del personal sobre cómo gestionar adecuadamente la información confidencial.
Crea una cultura de seguridad: una política actualizada puede ayudarlo a crear una cultura en la que se priorice la seguridad de los datos de los clientes. Esto ayudará a garantizar que los miembros del personal permanezcan vigilantes en todo momento.
La clave que hay que recordar es que las medidas de seguridad deben revisarse y actualizarse periódicamente. Esto le ayudará a cumplir con la normativa PCI.
Cree un plan de respuesta a ciberincidentes
No importa qué tan seguro crea que es su hotel, contar con un plan de respuesta a ciberincidentes es importante y un requisito de PCI. También demuestra la diligencia debida ante sus reguladores y clientes.
Disponer de un plan le ayudará a actuar con rapidez en caso de una violación de datos, a identificar la causa de la violación y a minimizar su impacto en su hotel y su reputación. Este es un ejemplo de un plan de respuesta:
Establezca un equipo de respuesta a incidentes: reúna a un grupo de personas con diferentes áreas de experiencia, como la seguridad de TI, la legal y las comunicaciones, para que tomen la iniciativa en caso de que se produzca una violación.
Evalúe el incidente: lleve a cabo una evaluación preliminar del incidente para determinar el alcance y la gravedad de la infracción, incluidos los datos afectados, cómo se accedió a ellos y cuánto tiempo pasó desapercibida la infracción.
Contenga la infracción: tome medidas inmediatas para contener la infracción. Desconecte los sistemas afectados de la red, deshabilite las cuentas de usuario y cambie las contraseñas, por ejemplo.
Notifique a las partes: informe a sus clientes, a las compañías de tarjetas de crédito y a las autoridades reguladoras de la infracción.
Preserve las pruebas: conserve todas las pruebas relevantes relacionadas con el incidente, incluidos los registros y las imágenes del sistema, por ejemplo.
Realizar una investigación: lleve a cabo una investigación para averiguar la causa de la infracción. Esta fase le ayudará a prevenir futuras infracciones.
Implemente acciones correctivas: restaure los sistemas a partir de copias de seguridad, instale parches de seguridad y mejore los controles de seguridad.
Revise y actualice su plan de respuesta a incidentes: incorpore las lecciones aprendidas de esta violación en su plan de respuesta y en su política interna de seguridad de datos.
Realizar evaluaciones de riesgos
Una evaluación de riesgos simplemente significa evaluar los posibles riesgos para la seguridad de los datos de las tarjetas de pago y establecer medidas en función de los resultados. Este es un ejemplo de una evaluación de riesgos que puedes implementar en tu hotel:
Identifique los activos: identifique todos los activos relacionados con los datos de las tarjetas de pago de su hotel, como terminales de tarjetas de pago, servidores y bases de datos.
Identifique las amenazas: identifique todas las amenazas potenciales, como las filtraciones de datos, las infecciones de malware, las amenazas internas, etc.
Evalúe las vulnerabilidades: evalúe cada activo y determine sus vulnerabilidades. Podrían ser contraseñas débiles o software desactualizado, por ejemplo.
Determine la probabilidad y el impacto: evalúe la probabilidad y el impacto de cada amenaza, teniendo en cuenta el valor de los datos de la tarjeta de pago y los posibles daños a su hotel y a sus clientes.
Priorice los riesgos: clasifique los riesgos según la probabilidad y el impacto que haya determinado y resuelva primero los más graves.
Desarrolle estrategias de gestión de riesgos: añada nuevos controles de seguridad, capacite a los empleados o contrate a expertos externos para realizar pruebas de penetración.
Implemente y supervise los controles: Implemente, luego supervise y pruebe continuamente la eficacia de los controles que tiene implementados.
Implemente un programa de concientización sobre seguridad
Una de las mejores maneras de prevenir las infracciones en su hotel es educar a su personal. Cuando los miembros del personal sean conscientes de los posibles riesgos, detectarán los problemas con mayor rapidez y evitarán ser víctimas de fraudes. Estas son algunas maneras de crear su programa de concienciación en materia de seguridad:
Desarrolle su política interna de seguridad de datos: debe describir las expectativas de sus empleados y las consecuencias del incumplimiento de la PCI. Esta política debe revisarse y actualizarse periódicamente.
Realice capacitaciones con regularidad: eduque a su personal sobre las amenazas de seguridad, como los correos electrónicos de suplantación de identidad, la ingeniería social y los riesgos de seguridad física. Los estafadores son cada vez más inteligentes, por lo que siempre es útil mostrar las amenazas de seguridad más específicas ante la posibilidad de que se produzcan.
Proporcione recursos y herramientas: brinde a sus empleados la capacidad de proteger el hotel con administradores de contraseñas, software antivirus y aplicaciones de mensajería segura. Regálales también libros electrónicos y avisos descargables en la parte trasera de la casa.
Fomente la denuncia: proporcione un proceso de denuncia claro y fácil de usar en caso de que un empleado detecte una actividad sospechosa. Los empleados deben saber a quién informar o dónde hacerlo.
Realice simulaciones de suplantación de identidad: una excelente manera de probar la capacidad de sus empleados para detectar estafas es enviar regularmente correos electrónicos falsos de suplantación de identidad. Saber quién es la víctima y quién lo denuncia te dará una buena idea de quién podría necesitar formación adicional.
Evalúe y mejore: reciba los comentarios de los empleados con regularidad sobre la eficacia de su programa de concienciación en materia de seguridad y mejórelo continuamente.
Reflexiones finales
El cumplimiento de la PCI es extremadamente importante para todos los hoteles. No solo ayuda a prevenir el fraude y las filtraciones de datos en tu propiedad, sino que también te ayuda a recuperarte más rápido, a evitar sanciones por incumplimiento de la normativa PCI y a dar tranquilidad a tus huéspedes.
Siga cumpliendo con la normativa PCI pasando de las autorizaciones en papel o PDF a las digitales, creando una política interna de seguridad de datos, creando un plan de respuesta a ciberincidentes, realizando evaluaciones de riesgos e implementando un programa de concienciación sobre seguridad.
.webp)
.avif)
