Por qué el PCI SSC creó los requisitos 6.4.3 y 11.6.1

El problema que abordan los requisitos

Las versiones anteriores de PCI DSS se centraban en los sistemas que almacenan, procesan o transmiten datos de tarjetas: redes, servidores, bases de datos, control de acceso y cifrado. Los análisis de vulnerabilidades y las pruebas de penetración examinaban esos sistemas desde fuera o desde dentro. Mientras tanto, los atacantes se trasladaron a un lugar que esas revisiones no miran: el navegador del cliente. Un script malicioso en una página de pago copia los datos de la tarjeta a medida que se escriben, antes de que lleguen a ningún sistema protegido. Es el skimming web.

El Consejo de Normas de Seguridad PCI (PCI SSC) describe el 6.4.3 y el 11.6.1 como requisitos de comercio electrónico que buscan reducir el e-skimming, en el que los atacantes usan scripts en el navegador del comprador para robar datos de tarjetas. En resumen, piden a las organizaciones conocer y autorizar los scripts de sus páginas de pago (6.4.3), y recibir un aviso cuando las páginas o las cabeceras HTTP relacionadas con la seguridad cambian sin autorización (11.6.1).

Cronología: de la v4.0 a la obligatoriedad

Los requisitos están en PCI DSS v4.0.1, que es la versión vigente del estándar en el momento de escribir esto. Compruebe siempre la biblioteca de documentos del PCI SSC para ver la última versión.

Qué hace cada requisito

6.4.3: gestionar los scripts

El requisito 6.4.3 trata del control. Para los scripts de las páginas de pago que se ejecutan en el navegador del consumidor, una organización debe tener una forma de confirmar que cada script está autorizado, una forma de asegurar su integridad y un inventario de todos los scripts con una justificación comercial o técnica escrita para cada uno. Vea PCI DSS 6.4.3 explicado.

11.6.1: detectar cambios y manipulación

El requisito 11.6.1 trata de la detección. Un mecanismo de detección de cambios y de manipulación debe avisar al personal de toda modificación no autorizada de las cabeceras HTTP y del contenido de las páginas de pago tal como las recibe el navegador del consumidor, y debe ejecutarse al menos cada siete días o con la frecuencia que fije un análisis de riesgos específico. Vea PCI DSS 11.6.1 explicado.

Los dos funcionan como pareja: uno define qué puede haber en la página y el otro advierte cuando la realidad deja de coincidir.

A quién se aplican

Los requisitos conciernen a las entidades con páginas de pago de comercio electrónico. PCI DSS v4.0.1 añadió notas de aplicabilidad que aclaran que también alcanzan a la página web de un comercio que incluye el formulario de pago incrustado de un proveedor de pagos, por ejemplo en un iframe. Al mismo tiempo, la forma de validarlos varía según cómo acepte pagos el comercio. Los comercios que cumplen los requisitos del SAQ A ya no incluyen el 6.4.3 y el 11.6.1 como elementos de la lista, pero deben cumplir un criterio de elegibilidad relacionado; los detalles, y por qué debe confirmarlos con su adquirente o evaluador, están en 6.4.3 y 11.6.1 para SAQ A, SAQ A-EP y SAQ D.

El PCI SSC no hace cumplir la normativa. Las marcas de tarjetas y los adquirentes fijan las obligaciones de validación y de reporte, de modo que su adquirente es quien debe indicarle qué se le aplica.