Cumplimiento PCI en 5 minutos al año
Nuestros sistemas ya están en cumplimiento con PCI. A usted le corresponde una encuesta corta una vez al año, que toma unos cinco minutos, además de algunos hábitos diarios. Estos ocho capítulos le muestran qué hacer y le explican qué hay detrás.
- CAP. 1Haga estoLa encuesta de 5 minutos y a quién llamar.
- CAP. 2–4EntiendaQué es PCI y qué cubre la encuesta.
- CAP. 5–6ProtejaSu Wi-Fi y sus dispositivos.
- CAP. 7ManejeDatos de tarjetas: lo que nunca debe guardar.
- CAP. 8MantengaRenueve cada año y siga cubierto.
Pase de un capítulo a otro con ← → o con los botones de arriba. ¿Tiene poco tiempo? El capítulo 1 es todo lo que necesita para estar en cumplimiento.
Complete la encuesta PCI de 5‑minutos
Usted debió haber recibido un correo electrónico sobre el cumplimiento PCI. Ese correo tiene un enlace a una encuesta corta que se completa una vez al año. Con esa encuesta usted queda en cumplimiento con PCI con nosotros.
Su bandeja de entrada › correo de cumplimiento PCI › encuesta- Busque el correo de cumplimiento PCI. Revise su carpeta de correo no deseado si no lo ve.
- Abra la encuesta y conteste las preguntas. Toma unos cinco minutos.
- Envíela. Ya terminó hasta el próximo año.
Por qué es tan corta
Nuestros sistemas están en cumplimiento con PCI, así que la encuesta no revisa el equipo que le entregamos. Sirve sobre todo para confirmar que usted no esté aceptando tarjetas también de alguna otra forma que no esté en cumplimiento.
Lo que usted recibe por completarla
Al completar la encuesta usted obtiene $100,000 de seguro en caso de que alguien llegue a entrar ilegalmente al sistema.
¿Necesita ayuda con la encuesta?
- Llame al844-204-0412
- Escriba apcicompliance@e-hps.com
De un vistazo
- Una vez al año
- Unos 5 minutos
- Plazo de 60 días
- $200 al mes si no la completa
- $100,000 de seguro incluidos
Qué es PCI, en palabras sencillas
PCI DSS son las siglas de Payment Card Industry Data Security Standard (Norma de Seguridad de Datos de la Industria de Tarjetas de Pago). Es un conjunto de reglas de seguridad, respaldado por las marcas de las tarjetas, para todo negocio que acepta pagos con tarjeta.
Se aplica a: todo negocio que acepta tarjetas- El tamaño no lo exime. El PCI Security Standards Council dice que la norma se aplica a todos los comercios, sin importar su tamaño ni su número de ventas.
- Los negocios pequeños tienen menos que hacer. El Council también señala que los comercios pequeños por lo general tienen instalaciones más sencillas, con menos datos de tarjetas y menos sistemas que proteger, lo que reduce el esfuerzo.
- Su procesador define el papeleo. Si usted debe demostrar su cumplimiento, y cómo hacerlo, lo deciden las marcas de las tarjetas y su adquirente, que es la empresa que procesa sus pagos con tarjeta.
La versión corta
- Conteste un cuestionario al año.
- Mantenga seguros su Wi-Fi y sus dispositivos.
- Nunca guarde datos de tarjetas.
- Pregunte a su procesador cuando tenga dudas.
Lo que usted hace cada año
La encuesta del capítulo 1 es su versión de lo que la industria llama Self-Assessment Questionnaire (cuestionario de autoevaluación), o SAQ. Usted mismo lo llena. No lo visita ningún auditor.
Cuestionario de autoevaluación (SAQ) + declaración de cumplimiento- Conteste las preguntas. El SAQ es una serie de preguntas de sí o no sobre cómo protege usted los datos de tarjetas.
- Corrija cualquier "no". Si contesta que no, pueden pedirle la fecha y la medida que tomará para corregirlo.
- Firme la declaración. La declaración de cumplimiento (Attestation of Compliance) viene junto con el cuestionario. Confirma que usted reunía los requisitos para usar ese SAQ y que lo completó.
- Envíelo. Con nosotros, todo esto se hace dentro de la encuesta en línea de su correo de PCI.
El ciclo anual
- CuestionarioRespuestas de sí o no
- DeclaraciónSu confirmación firmada
- EnvíoA su procesador
- RepeticiónEn la misma fecha el próximo año
Encuentre el cuestionario que le corresponde
Hay varios SAQ. Cuál usa usted depende de cómo acepta tarjetas, y mientras más sencilla sea su instalación, más corto es el formulario.
Se elige según: cómo acepta pagos con tarjeta- Un negocio que solo acepta tarjetas en terminales de pago contesta muchas menos preguntas que uno que guarda datos de tarjetas en sus propias computadoras.
- Agregar una nueva forma de aceptar tarjetas, como una tienda en línea o pedidos por teléfono ingresados a mano, puede cambiar el formulario que le corresponde.
- Usted no tiene que elegir uno. La encuesta le hace algunas preguntas sobre cómo acepta tarjetas y lo determina por usted.
La familia de SAQ
| SAQ | Uso típico |
|---|---|
| A | Solo pedidos en línea o por teléfono, con todo el manejo de tarjetas a cargo de un tercero |
| A-EP | Tiendas en línea cuyo propio sitio web influye en el pago |
| B | Terminales independientes con conexión por línea telefónica |
| B-IP | Terminales independientes conectadas por internet |
| C-VT | Ingresar tarjetas una por una en una terminal virtual |
| C | Software de pagos en sistemas conectados a internet |
| P2PE | Terminales dentro de una solución validada de cifrado de punto a punto |
| D | Todo lo demás |
Proteja su Wi-Fi
Los dispositivos Genius a menudo funcionan con Wi-Fi, y PCI espera que una red inalámbrica sea tan segura como una red por cable. Genius publica sus propias recomendaciones sobre este tema.
La configuración de su router- Active el cifrado. Use WPA2, o WPA como mínimo. WPA2 es el más seguro de los dos.
- Mantenga separada la red del POS. El Wi-Fi para clientes o invitados no debe compartir la red con sus dispositivos de pago. Para separarlos se necesita un firewall entre las dos redes.
- Esté atento a dispositivos desconocidos. Revise de vez en cuando que no se haya conectado a su red nada que usted no reconozca.
Use una contraseña de Wi-Fi segura
- De 12 a 14 caracteres o más
- Letras mayúsculas y minúsculas, números y símbolos
- Al azar, sin nombres, fechas de cumpleaños ni patrones del teclado
- Que no se use en ningún otro lugar
Lista de verificación del Wi-Fi
- El cifrado WPA2 está activado.
- La contraseña del router ya no es la que venía de fábrica.
- El Wi-Fi para invitados es una red aparte.
- La contraseña tiene 12 o más caracteres al azar.
- Solo están conectados los dispositivos del personal que usted reconoce.
Proteja sus dispositivos y sus accesos
Un lector de tarjetas que alguien puede manipular, o un usuario que todos comparten, es un riesgo. Estos hábitos vienen de las recomendaciones de seguridad de Genius y de las herramientas que ya tiene el POS.
Terminales de mostrador y terminales portátilesSeguridad física
- Permita que solo personas de confianza usen los dispositivos de pago.
- Guarde las terminales portátiles en un lugar seguro cuando no se estén usando.
- Mantenga los dispositivos donde el personal pueda verlos y los clientes no puedan alcanzar la parte de atrás.
Accesos
- Un usuario por persona. Dele a cada miembro del personal su propio usuario y su propio PIN en el Portal, para que cada acción quede ligada a un nombre.
- Bloquee cuando se aleje. Toque Lock en el POS. También se bloquea solo después de 15 minutos sin uso.
- Limite los permisos. Dé acceso a reembolsos, descuentos y funciones de administración solo a quienes lo necesitan.
- Dé de baja a quienes se van. Desactive al usuario el mismo día en que deja de trabajar para usted.
Lista de verificación de dispositivos
- Cada miembro del personal tiene su propio PIN.
- Nadie comparte una contraseña.
- Las terminales portátiles se guardan bajo llave por la noche.
- Se revisa que los lectores de tarjetas no tengan nada agregado ni suelto.
- El personal que ya no trabaja con usted está desactivado.
Nunca guarde datos de tarjetas
La forma más sencilla de mantenerse en cumplimiento es dejar que el lector de tarjetas haga el trabajo y no guardar nada usted mismo. Mientras menos datos de tarjetas tenga, menos tiene que proteger.
En la caja registradora y por teléfono- No anote números de tarjeta. Ni en libretas, formularios de pedido, hojas de cálculo, correos electrónicos ni mensajes de texto.
- Nunca guarde el código de seguridad. Nadie debe guardar el código de tres o cuatro dígitos de una tarjeta después del pago.
- Prefiera el lector. Pida al cliente que inserte, acerque o deslice la tarjeta. Ingrese una tarjeta a mano solo cuando sea necesario, y no guarde ningún registro del número.
- No tome fotos de las tarjetas ni pida a los clientes que le envíen una foto de la suya.
- Triture el papel que muestre un número de tarjeta completo.
Reglas para los datos de tarjetas
- Los números de tarjeta nunca se anotan.
- Los códigos de seguridad nunca se guardan.
- Nada de fotos de tarjetas ni datos de tarjetas por correo electrónico o mensaje de texto.
- Los papeles viejos con números de tarjeta se trituran.
Manténgase en cumplimiento todo el año
El cumplimiento no es tarea de un solo día. Dura mientras duren sus hábitos.
Cada año, y siempre que algo cambie- Renueve cada año. Esté atento al correo de PCI y complete la encuesta dentro de los 60 días, para que nunca se le cobre el cargo mensual de $200 y sus $100,000 de seguro sigan vigentes.
- Avísenos de los cambios. Un dispositivo nuevo, una tienda en línea o una nueva forma de aceptar tarjetas puede cambiar sus respuestas, así que llame al equipo de PCI antes de la siguiente encuesta.
- Capacite al personal nuevo en las reglas de dispositivos y de datos de tarjetas de los capítulos 6 y 7 antes de que empiece a cobrar.
- Mantenga el software al día. Deje que el POS se actualice y se sincronice, para que use la versión más reciente.
Si sospecha que hay un problema
Si un dispositivo parece haber sido manipulado, o usted cree que se expusieron datos de tarjetas, deje de usar ese dispositivo y llámenos de inmediato.
Ayuda gratuita del PCI Council
El Council publica una guía en lenguaje sencillo, Guide to Safe Payments, para comercios pequeños, y una herramienta de evaluación en línea para una primera revisión de su seguridad.
Fuente: PCI Security Standards Council, Merchant ResourcesA quién preguntar
- La encuesta PCI: 844-204-0412 o pcicompliance@e-hps.com.
- Preguntas sobre dispositivos o accesos de Genius: soporte de Genius.
- Configuración del Wi-Fi y del firewall: su proveedor de internet o su técnico de sistemas.
PCI en cuatro hábitos
Un resumen de los capítulos anteriores. La encuesta es la parte que lo pone en cumplimiento; lo demás lo mantiene protegido.
Siguiente: Vea si su marketing está funcionandoTodas las guías