Internet Security Auditors, acreditado como QSA desde el año 2007, ayuda a todas aquellas organizaciones que requieren implementar, certificar y mantener un programa de cumplimiento de los requerimientos exigidos por PCI DSS.
Análisis de Cumplimiento
Evaluación del estado actual y plan de acción
Implantación
Adecuación a los requerimientos PCI DSS
Auditoría QSA
Certificación de cumplimiento on-site
Oficina Técnica (OTP)
Mantenimiento continuo del cumplimiento
SAQ
Cuestionario de autoevaluación asistido
Escaneos ASV
Análisis trimestral de vulnerabilidades externas
El estándar
¿Qué es PCI DSS y a quién aplica?
PCI Data Security Standard (PCI DSS), es un estándar de seguridad que define el conjunto de requerimientos para gestionar la seguridad, definir políticas y procedimientos de seguridad, arquitectura de red, diseño de software y todo tipo de medidas de protección que intervienen en el tratamiento, procesado o almacenamiento de información de tarjetas de crédito. Su finalidad, la reducción del fraude relacionado con las tarjetas de pago e incrementar la seguridad de estos datos.
PCI DSS es fruto del esfuerzo del PCI Security Standards Council (PCI SSC) formado por las principales compañías emisoras de tarjetas de pago (Visa, Mastercard, American Express, JCB y Discover), para forzar y facilitar a comercios, proveedores de servicios y bancos a reducir el riesgo de fraude con tarjetas de crédito, mediante la protección de las infraestructuras que procesan, transmiten o almacenan datos relativos a tarjetas de crédito.
Comercios y e-commerce
Proveedores de servicios
Entidades financieras
Pasarelas de pago
Procesadores de transacciones
Fabricantes de tarjetas
Alcance
¿A quién afecta PCI DSS?
Cualquier organización que participe en el procesamiento, transmisión o almacenamiento de información de tarjetas de pago queda afectada por el cumplimiento de los requerimientos que establece PCI DSS.
PCI DSS cataloga a estas organizaciones en comercios o merchants (super/hipermercados, autopistas, e-commerce, agencias de viajes, etc), proveedores de servicios o service providers (ISP/ASP, pasarelas de pago, fabricantes de tarjetas, servicios de envío de tarjetas, procesadores de transacciones, etc.) y entidades financieras o acquirers (bancos, cajas de ahorro, entidades de crédito, etc.).
Análisis del Estado de Cumplimiento
Valoración de Riesgos y Priorización de acciones
Programa de Cumplimiento
Implantación de Requerimientos para la adecuación
Auditoría de Cumplimiento
Oficina Técnica de PCI DSS
Nuestros servicios
Cómo trabajamos
01Análisis de Cumplimiento y Plan de Acción
El primer paso para cumplir con los requerimientos de PCI DSS es realizar un análisis de la organización, identificar los puntos en la cadena de valor donde se transmite, procesa o almacena información de tarjetas de pago y definir el entorno que debe ser protegido para cumplir con PCI DSS.
Una vez identificado este entorno se deben evaluar los riesgos y definir el programa de cumplimiento que establece y mantiene las medidas de seguridad necesarias para poder cumplir con los 12 requerimientos definidos en el estándar.
Internet Security Auditors, con su servicio de consultoría de implantación tiene como objetivo proporcionar a las organizaciones todo el soporte necesario y guiarles en la definición y mantenimiento del programa de cumplimiento con PCI DSS.
La fase inicial para llevar a cabo un proyecto de implantación de PCI DSS empieza por un Análisis de Cumplimiento en el que se identifican cuáles son los aspectos de PCI DSS que falta implementar para acabar de cumplir con el estándar. Una vez valorados los riesgos vinculados con el ámbito de la organización al que afecta el estándar se definirá un Plan de Acción para implementar de una manera priorizada los requerimientos detectados.
02Implantación de Requerimientos
La Implantación de Requerimientos para la Adecuación ejecuta el programa de cumplimiento a las NO conformidades detectadas en fases anteriores llevando a cabo aquellas actividades consultoras y de asesoramiento en cualquier tarea que deba desarrollarse para la consecución del objetivo de cumplimiento con PCI DSS.
03Auditoría de Certificación del Cumplimiento de PCI DSS
Internet Security Auditors está acreditada por el PCI SSC, a través de su certificado QSA, para realizar las auditorías anuales on-site a todas aquellas empresas que por su volumen de transacciones anual (varía en función de la marca de tarjetas de crédito) lo requieran, habiéndose convertido en la primera empresa española en obtener esta certificación por parte del PCI SSC.
En el proceso de auditoría se verifica, mediante muestreo, que los requerimientos establecidos en PCI DSS se están cumpliendo. Y para todos aquellos puntos que no se cumplen se define el plan de acción para solventar las no conformidades.
04Oficina Técnica PCI DSS (OTP)
Tal como indica el PCI SCC en su versión actual "Mejores prácticas para implementar las PCI DSS en los procesos habituales" y partiendo de la premisa de que la Seguridad es algo que se degrada con el tiempo además de que cumplir con PCI DSS no acaba con su implantación sino que implica un trabajo continuo para gestionar su cumplimiento.
Internet Security Auditors, mediante su propuesta de Oficina Técnica PCI DSS (OTP) pone a disposición de sus clientes un servicio para dar continuidad al mantenimiento de la normativa de una forma práctica y efectiva e integrada dentro de sus operaciones tecnológicas y de seguridad.
05Cuestionario de Autoevaluación (SAQ)
Para aquellas organizaciones que no están obligadas a realizar una auditoría anual con QSA, Internet Security Auditors proporciona un servicio de soporte para la elaboración del cuestionario de autoevaluación, llevando a cabo previamente una revisión del estado actual de cumplimiento de los requerimientos que PCI DSS establece.
Este cuestionario aplica a todas aquellas organizaciones (comercios o proveedores de servicios) que deben validar su cumplimiento con PCI DSS, pero que no están obligadas a realizar una auditoría anual con QSA.
06Escaneos Trimestrales de Vulnerabilidades (ASV)
La ejecución de escaneos de vulnerabilidades externos trimestrales por parte de proveedores certificados como ASVs es uno de los requerimientos que establece PCI DSS en su apartado 11.2 con el objetivo de comprobar de forma regular la seguridad de los sistemas, procesos y aplicaciones de forma frecuente.
Internet Security Auditors gracias a su gran experiencia en la realización de test de intrusión, ha superado las pruebas necesarias y obteniendo el certificado de ASV por el PCI SSC pudiendo realizar estos análisis de vulnerabilidades a todas aquellas empresas que lo requieren dentro de su programa de cumplimiento con PCI DSS.
Evaluación del estado actual frente a los requerimientos PCI DSS y definición del entorno de cumplimiento.
Valoración de riesgos
Priorización de acciones siguiendo el PCI DSS Prioritized Approach en 6 etapas para minimizar el riesgo.
Programa de cumplimiento
Planificación de proyectos con priorización basada en riesgo y alineada con los objetivos de la organización.
Implantación de requerimientos
Actividades consultoras, técnicas y organizativas para cumplir todos los requerimientos PCI DSS.
Auditoría de certificación QSA
Auditoría on-site para comercios y proveedores de servicio de Nivel 1, con informe de cumplimiento oficial.
Oficina Técnica PCI DSS (OTP)
Mantenimiento continuo del cumplimiento ante nuevos sistemas, procesos, proveedores o cambios en la norma.
Cuestionario de autoevaluación (SAQ)
Soporte para la elaboración del SAQ en organizaciones no obligadas a pasar auditoría anual con QSA.
Escaneos trimestrales ASV
Análisis de vulnerabilidades externas conforme al Requisito 11.2, ejecutados como empresa homologada ASV.
Reporte y seguimiento
Elaboración de informes, reporte a marcas y entidades financieras, y seguimiento de terceras partes.
Testimonios
Lo que dicen nuestros clientes
Trabajar con Internet Security Auditors ha sido una experiencia altamente satisfactoria. Su acompañamiento en la migración a la norma ISO/IEC 27001:2022, la realización de auditorías internas y el proceso de certificación en PCI DSS ha sido fundamental para fortalecer nuestro sistema de gestión de seguridad de la información.
Ricardo Andrés Cárdenas Galvis
Of. Seguridad de la Información · Neurona
El apoyo estratégico de Internet Security Auditors como CISOaaS ha sido fundamental para reforzar nuestro equipo interno. Su experiencia complementa perfectamente el trabajo de nuestro CISO y nos ha permitido avanzar más rápido en la madurez de nuestra ciberseguridad.
CISO
RACC
En nombre de Outsourcing SAS BIC, queremos expresar nuestro agradecimiento por el compromiso y dedicación durante la implementación del cumplimiento PCI DSS en nuestro call center. Logramos establecer un entorno seguro conforme con los requisitos más exigentes de la industria de pagos.
Yulian Colmenares
Of. Seguridad de la Información · Outsourcing SAS BIC
Trabajar con Internet Security Auditors ha sido una experiencia positiva en todos los sentidos. Su equipo combina una sólida experiencia técnica con una gran disposición al trabajo colaborativo, lo que ha fortalecido nuestra postura de seguridad y el cumplimiento normativo.
Andrés Mejía
Head of GRC · Payválida
Como CFO de Saint Louis University – Madrid Campus, he tenido la oportunidad de trabajar con Internet Security Auditors. Han sido nuestro socio indispensable para la implementación de los requisitos marcados por la normativa de RGPD. Me gustaría destacar su disponibilidad para resolver dudas y su capacidad para elaborar un marco legal con acciones concretas y comprensibles…
Victoria Villarreal Palazón
Vice-Rector & Associate VP CFO · Saint Louis University
Como CFO de Fleurop - Interflora España trabajamos con Internet Security Auditors desde hace años en el ámbito de consultoría y cumplimiento de RGPD. Siendo Interflora una compañía 100% orientada al comercio online, los servicios profesionales de Internet Security Auditors nos dan soporte, seguridad y tranquilidad de que toda nuestra actividad está alineada con el cumplimiento de RGPD.
Francisco Tébar Prada
CFO Southern Europe · Fleurop - Interflora España
Como CISO en Intaremit S.A. la importancia que le damos a la seguridad lógica es muy alta. Ya no solo por el mero hecho de que la normativa PCI-CPP nos exija 4 escaneos de vulnerabilidad internos y externos y un pen-test interno y externo anual; si no también por la propia seguridad y tranquilidad que nuestra compañía quiere brindar a todos y cada uno de sus clientes. Llevamos más de 10 años trabajando y colaborando con Internet Security Auditors por su experiencia, compromiso y cercanía; por lo que lo recomiendo sin dudarlo.
Sergio Sainz de la Maza
CISO · Intaremit
En Grupo Arbulu, hemos colaborado estrechamente con Internet Security Auditors en la implementación de medidas de ciberseguridad avanzadas. Gracias a su experiencia, hemos mejorado significativamente nuestra capacidad para detectar y mitigar riesgos cibernéticos. Las auditorías exhaustivas y las soluciones personalizadas han fortalecido nuestra infraestructura de seguridad, asegurando la protección de nuestros datos y la continuidad de nuestras operaciones.
Marcos Montes de Oca
CIO · Grupo Arbulu
Como CEO de Beruby hemos trabajado con Internet Security Auditors cuando tuvimos que realizar de forma urgente un Attestation of Compliance de PCI DSS. Todo el proceso fue extremadamente rápido, eficiente y profesional. Su equipo nos brindó un soporte excelente, demostrando gran conocimiento técnico y compromiso. Sin duda, recomendamos sus servicios a cualquier empresa que necesite soluciones en ciberseguridad.
Miguel Acosta
Global CEO · Beruby
En Grupo AR, valoramos altamente el servicio de protección de marca de Internet Security Auditors por tener un enfoque integral y proactivo. Su equipo de trabajo, altamente calificado, nos permite identificar y mitigar aquellos riesgos que pueden afectar la marca de AR Construcciones y sus diferentes empresas.
Nestor Ivan Melo Ballen
Director de Ciberseguridad · Grupo AR
Preguntas frecuentes
Resolvemos tus dudas
¿Qué es PCI DSS y por qué es obligatorio?
PCI DSS (Payment Card Industry Data Security Standard) es un estándar de seguridad creado por las principales marcas de tarjetas de pago (Visa, Mastercard, American Express, JCB y Discover) a través del PCI SSC. Es obligatorio para cualquier organización que procese, transmita o almacene datos de tarjetas de pago, con el objetivo de reducir el fraude y proteger la información de los titulares.
¿Qué diferencia hay entre una auditoría QSA y un cuestionario SAQ?
La auditoría QSA es una evaluación anual on-site realizada por un auditor certificado, obligatoria para las organizaciones que por su volumen anual de transacciones (varía en función de la marca de tarjetas) lo requieran. El SAQ es un cuestionario de autoevaluación para las organizaciones que no están obligadas a realizar una auditoría anual con QSA.
¿Cuánto tiempo lleva obtener la certificación PCI DSS?
El tiempo varía según el tamaño de la organización, la complejidad del entorno y el nivel de cumplimiento inicial. El proceso cubre desde el análisis de cumplimiento y el plan de acción hasta la implantación de requerimientos y la auditoría de certificación.
¿Qué son los escaneos ASV y con qué frecuencia deben realizarse?
Los escaneos ASV (Approved Scanning Vendor) son análisis de vulnerabilidades externas que deben realizarse trimestralmente según el Requisito 11.2 de PCI DSS. Deben ser ejecutados por una empresa homologada por el PCI SSC, como Internet Security Auditors, y son obligatorios para todos los comercios y proveedores de servicios afectados.
¿Qué es la Oficina Técnica PCI DSS (OTP)?
Es el servicio de Internet Security Auditors para dar continuidad al mantenimiento del cumplimiento de PCI DSS de forma práctica y efectiva, integrada en las operaciones tecnológicas y de seguridad de la organización. La seguridad se degrada con el tiempo y cumplir con PCI DSS no acaba con su implantación.
Contacto
¿Necesitas adecuarte a PCI DSS?
Cuéntanos tu situación y te asesoramos sobre el camino más eficiente hacia el cumplimiento.
Trabajar con Internet Security Auditors ha sido una experiencia altamente satisfactoria. Su acompañamiento en la migración a ISO/IEC 27001:2022 y el proceso de certificación PCI DSS ha sido fundamental para fortalecer nuestro SGSI.
A
Andrés Mejía
Hace 3 meses
Su equipo combina una sólida experiencia técnica con una gran disposición al trabajo colaborativo, lo que ha fortalecido nuestra postura de seguridad y el cumplimiento normativo.
V
Victoria Villarreal Palazón
Hace 4 meses
Han sido nuestro socio indispensable para la implementación de los requisitos de RGPD. Destacaría su disponibilidad para resolver dudas y su capacidad para elaborar un marco legal con acciones concretas y comprensibles.
M
Miguel Acosta
Hace 5 meses
Todo el proceso de Attestation of Compliance de PCI DSS fue extremadamente rápido, eficiente y profesional. Sin duda, recomendamos sus servicios a cualquier empresa que necesite soluciones en ciberseguridad.
S
Sergio Sainz de la Maza
Hace 6 meses
Llevamos más de 10 años trabajando con Internet Security Auditors por su experiencia, compromiso y cercanía. Los recomiendo sin dudarlo.
Solicitar información
Presencia Global
Nuestras oficinas
Barcelona
C. Santander, 101. Edificio A-2 E-08030 Barcelona (España)
