Preparate para cumplir PCI DSS y proteger cada pago.
Si tu empresa acepta pagos con tarjeta o procesa datos de tarjetas para otros, PCI DSS te aplica. Certenza convierte sus requisitos en controles con responsable, mantiene la evidencia al día y te muestra qué falta antes de la evaluación.
- PCI DSS v4.0.1 preconfigurado en 260 controles
- Evidencia que se recolecta automáticamente desde las herramientas que conectás
- Evidencias, políticas y procedimientos reutilizables en otros estándares
Hablemos de tu cumplimiento PCI DSS
Contanos cómo cobrás y te mostramos qué te pide el estándar.
¿Preferís verlo en vivo? Agendá una demo
Empresas que confían en Certenza
¿Qué es PCI DSS?
PCI DSS (Payment Card Industry Data Security Standard) es el estándar de seguridad de datos de la industria de tarjetas de pago. Lo publica el PCI Security Standards Council (PCI SSC), el consejo que crearon las principales marcas de tarjetas, y la versión vigente es la 4.0.1, de junio de 2024.
Aplica a toda organización que almacena, procesa o transmite datos de tarjetas, o que puede afectar su seguridad: comercios, procesadores, adquirentes, emisores y proveedores de servicios. Sus 12 requisitos se agrupan en seis objetivos, de las redes seguras a las políticas de seguridad.
No es una certificación como las normas ISO: el cumplimiento se valida, en general cada año, con un Informe de Cumplimiento (ROC) de un evaluador calificado (QSA) o con un Cuestionario de Autoevaluación (SAQ), según lo que definan las marcas de pago y tu adquirente. En los dos casos, el resultado se resume en una Atestación de Cumplimiento (AOC).
¿Por qué cumplir PCI DSS?
Además de una exigencia de las marcas de pago y los adquirentes, ordena cómo tu empresa protege los datos más sensibles de cada transacción.
Requisito para cobrar con tarjeta
Las marcas de pago y los adquirentes lo exigen a quienes aceptan pagos con tarjeta o manejan sus datos.
Datos de tarjetas protegidos
Guardar menos datos, volver ilegible el número de tarjeta y controlar los accesos reduce la probabilidad y el impacto de una filtración.
Menor exposición a sanciones
Un cumplimiento ordenado y documentado reduce el riesgo de multas de tus socios de pago y de los costos que deja una brecha.
Ventas con menos fricción
Si procesás pagos para otras empresas, tu Atestación de Cumplimiento responde una de las primeras preguntas de sus evaluaciones.
Confianza de quienes te pagan
Mostrar que protegés sus datos de pago refuerza la relación con tus clientes en cada compra.
Base para otros estándares
Accesos, vulnerabilidades, registros e incidentes se superponen con ISO/IEC 27001 y SOC 2.
Qué pide PCI DSS: sus 12 requisitos
Los requisitos principales del estándar, agrupados en sus seis objetivos y explicados sin tecnicismos.
Redes y sistemas seguros
Los requisitos 1 y 2 piden controlar el tráfico hacia y desde el entorno de datos del titular de la tarjeta (CDE) y aplicar configuraciones seguras a cada componente del sistema.
- Controles de seguridad de la red
- Diagramas de red y de flujos de datos
- Configuraciones seguras, sin contraseñas por defecto
Protección de los datos de cuenta
Los requisitos 3 y 4 piden guardar solo los datos necesarios y proteger el número de tarjeta (PAN): ilegible donde se guarda y con criptografía sólida cuando viaja por redes públicas.
- Datos guardados solo el tiempo necesario
- Nada de códigos de seguridad ni PIN después de la autorización
- PAN ilegible y cifrado en la transmisión
Gestión de vulnerabilidades
Los requisitos 5 y 6 piden protegerse del software malicioso y del phishing, desarrollar software seguro y aplicar los parches críticos dentro del mes de su publicación.
- Antimalware y protección contra el phishing
- Desarrollo seguro del software propio
- Scripts de las páginas de pago bajo control
Control de acceso
Los requisitos 7, 8 y 9 piden dar acceso solo a quien lo necesita, identificar a cada usuario con autenticación robusta y restringir el acceso físico a los datos de tarjetas.
- Accesos según la necesidad de conocer
- MFA para acceder al CDE
- Acceso físico y medios controlados
Monitoreo y pruebas
Los requisitos 10 y 11 piden registrar y revisar los accesos a sistemas y datos, escanear vulnerabilidades cada tres meses y hacer pruebas de penetración al menos una vez al año.
- Registros de auditoría conservados 12 meses
- Escaneos trimestrales, los externos por un ASV
- Pruebas de penetración internas y externas
Políticas y programa de seguridad
El requisito 12 pide políticas aprobadas, análisis de riesgos, capacitación, control de los proveedores y un plan de respuesta a incidentes, con el alcance confirmado cada 12 meses (cada 6 para proveedores de servicios).
- Políticas y análisis de riesgos específicos
- Capacitación en seguridad cada 12 meses
- Proveedores y respuesta a incidentes
Tu camino al cumplimiento de PCI DSS
Cuatro etapas en una sola plataforma, del alcance a la evaluación.
- Etapa 1
Alcance y flujos de datos
Identificamos por dónde pasan los datos de tarjetas, definimos qué sistemas entran en el alcance y medimos tu punto de partida contra los 12 requisitos.
Sabés desde el día uno qué te aplica y qué falta.
- Etapa 2
Controles y políticas
Los 260 controles quedan con responsable, y Leo, el asistente de IA de Certenza, redacta los borradores de las políticas para que tu equipo los revise y apruebe.
Políticas adaptadas a tu empresa, sin empezar de cero.
- Etapa 3
Evidencia automática
Conectás las herramientas que ya usás y la evidencia se recolecta automáticamente desde ellas, vinculada a cada control y con su fecha de vigencia.
Nada de capturas sueltas ni carpetas desordenadas.
- Etapa 4
Evaluación y validación
Llegás a la evaluación del QSA, o completás tu cuestionario de autoevaluación, con todo documentado y la evidencia lista para compartir.
El ROC lo elabora un evaluador calificado (QSA); el SAQ, tu propia empresa.
Prepará tu evaluación PCI DSS con Certenza
Del alcance a la evaluación: los requisitos convertidos en controles, con evidencia al día y el avance siempre a la vista.
Lo que ofrece Certenza
- Marco PCI DSS preconfigurado
- Módulo de gestión de riesgos
- Módulo de KPIs
- Recopilación automatizada de evidencias
- Plantillas de políticas
- Panel de control de monitoreo continuo
- Documentación lista para auditoría
¿Por qué elegir Certenza?
- Cada requisito, convertido en controles con responsable
- Evidencia vinculada a cada control, con fecha y vigencia
- Avance actualizado por estándar y por control
- Lo pendiente y lo vencido, a la vista con tiempo
- Políticas y evidencia que se reutilizan entre estándares
- Soporte personalizado con expertos reales
- Trust Center en vivo
Validar el cumplimiento es el comienzo. También te ayudamos a sostenerlo.
Las marcas de pago y los adquirentes piden validar el cumplimiento cada año, y el estándar suma tareas cada tres meses, como los escaneos de vulnerabilidades. Con Certenza, la evidencia se sostiene de un año al siguiente y cada evaluación deja de ser un proyecto nuevo.
- Año 0
Primera validación
Un QSA elabora el ROC, o tu empresa responde el SAQ, y se firma la Atestación de Cumplimiento (AOC).
- Año 1
Segunda validación
Nueva evaluación anual, con los escaneos trimestrales y la prueba de penetración del año.
- Año 2
Tercera validación
El alcance se vuelve a confirmar y los cambios del año entran en la evaluación.
- Año 3
Cuarta validación
Cada año, una Atestación de Cumplimiento vigente para tu adquirente y tus clientes.
Monitoreo continuo
Los controles conectados a tus herramientas se revisan de forma permanente y te avisamos cuando alguno deja de cumplirse, antes de que lo encuentre un auditor.
Tareas periódicas a tiempo
Escaneos trimestrales, pruebas de penetración y la confirmación del alcance, con su fecha, su responsable y alertas antes de que venzan.
Cada validación, preparada
La evidencia de cada control se acumula durante el año, lista para el QSA o para tu cuestionario de autoevaluación.
Un mismo trabajo, más de un estándar.
Cada evidencia, política y procedimiento se vincula con todos los controles que lo usan, de cualquier estándar. Lo que construís para PCI DSS es la base para sumar los siguientes.
Personalizá tu marco
Sumá tus propios requisitos sobre la misma base de controles y evidencias.
- Marcos propios
- Requisitos de clientes
- Políticas internas
- Sistemas integrados
- Leyes nacionales
Preguntas frecuentes sobre PCI DSS
Sí, aunque con un alcance mucho menor. Usar un proveedor que cumple PCI DSS no te hace cumplir ni te quita la responsabilidad: tenés que validar tu propio cumplimiento y supervisar el de tu proveedor. Si los datos de tarjeta nunca pasan por tus sistemas, por ejemplo porque el formulario de pago lo aloja el proveedor, muchos requisitos no te aplican y la validación suele ser un cuestionario de autoevaluación más corto.
El Informe de Cumplimiento (ROC) lo elabora un evaluador calificado (QSA) o, en algunos casos, un evaluador interno certificado por el PCI SSC (ISA), que revisa los requisitos en tu entorno. El Cuestionario de Autoevaluación (SAQ) lo completa tu empresa, y hay distintos tipos según cómo aceptás los pagos. Las marcas de pago y tu adquirente definen cuál te corresponde, en general según tu volumen anual de transacciones; en los dos casos se completa una Atestación de Cumplimiento (AOC).
El precio lo cotiza el equipo comercial según tu tamaño, tu alcance y los estándares que necesitás. Todos los planes incluyen múltiples estándares y Trust Center.
El acompañamiento de consultores especializados y las funcionalidades de preparación para auditorías se cotizan por separado, según el tamaño y las necesidades de cada empresa. Si te corresponde un ROC, la evaluación se contrata directamente con el QSA que elijas, y los escaneos externos trimestrales, con un proveedor aprobado (ASV).
Pedir una cotizaciónNo. El ROC lo elabora un evaluador calificado (QSA) o, en algunos casos, un evaluador interno certificado por el PCI SSC (ISA), y el SAQ lo completa tu empresa. Certenza te prepara: controles implementados, políticas aprobadas y evidencia vigente y trazable para la evaluación.
En gran parte. Los accesos, la gestión de vulnerabilidades, los registros, los proveedores y la respuesta a incidentes se superponen con ISO 27001 y SOC 2; la protección de los datos de tarjetas y los escaneos de un ASV son propios de PCI DSS. En Certenza, cada evidencia, política y procedimiento se vincula con todos los controles que lo usan, así que lo común se documenta una sola vez.
La versión 4.0.1, publicada en junio de 2024, es una revisión limitada de la 4.0: aclara textos y no agrega ni elimina requisitos. Los cambios de fondo llegaron con la 4.0, como la autenticación multifactor para acceder al entorno de datos de tarjetas, las contraseñas de al menos 12 caracteres, el control de los scripts de las páginas de pago y la protección contra el phishing. Los requisitos que eran buenas prácticas son obligatorios desde el 31 de marzo de 2025.
Protegé cada pago y demostralo.
Te mostramos qué te pide PCI DSS según cómo cobrás y cómo llegar a la evaluación con la evidencia al día. Sin compromiso.