PCI SSF · Software Security Framework

Adecuación y Certificación
PCI SSF

El Marco de Seguridad de Software PCI (SSF) es una colección de normas y programas para la seguridad del diseño y desarrollo de software de pago. La seguridad del software de pago es una parte crucial del flujo de las transacciones de pago y es esencial para facilitar un flujo preciso y fiable de las transacciones de pago.

Fase 1, Análisis del Entorno
Evaluación del entorno de cumplimiento
Fase 2, Informe y Plan de Acción
Estado actual y hoja de ruta
Fase 3, Auditoría de Certificación
Report on Validation (ROV)
Fase 4, Análisis Gap v2.0
Transición de SSS v1.2.1 a v2.0
El marco

¿Qué es PCI SSF?

El Marco de Seguridad de Software PCI (SSF) es una colección de normas y programas para la seguridad del diseño y desarrollo de software de pago. La seguridad del software de pago es una parte crucial del flujo de las transacciones de pago y es esencial para facilitar un flujo preciso y fiable de las transacciones de pago.

El Marco SSF sustituye al estándar de seguridad de los datos para aplicaciones de pago (PCI SSS) con requisitos modernos que apoyan una gama más amplia de tipos, tecnologías y metodologías de desarrollo de software de pago. Con el enfoque en el resultado de sus requisitos, el SSF proporciona más agilidad a los desarrolladores para que incorporen la seguridad en la aplicación de pago con prácticas de desarrollo ágiles y ciclos de actualización frecuentes.

El SSF permite acelerar el suministro de personalización y características para las aplicaciones de pago para los comerciantes sin comprometer la seguridad. También mejora la consistencia y la transparencia en la prueba de aplicaciones de pago, lo que eleva la garantía de validación para los comerciantes, proveedores de servicios y adquirentes que implementan y gestionan el uso de soluciones de pago.

Se compone de los siguientes estándares:

Secure Software Standard (SSS): El Estándar de Software Seguro proporciona requisitos de seguridad para la creación de software de pago seguro para proteger la integridad y la confidencialidad de los datos sensibles que se almacenan, procesan o transmiten en asociación con las transacciones de pago. Está destinado a fabricantes que desarrollan software de pago que soporta o facilita las transacciones de pago.

Secure Software Lifecycle Standard (SSLCS): El estándar del Ciclo de Vida de Software Seguro proporciona requisitos de seguridad para que los fabricantes de software de pago integren la seguridad durante todo el ciclo de vida del software, lo que da como resultado un software que es seguro por diseño y capaz de resistir ataques. Está destinado a fabricantes que están desarrollando software de pago que soporta o facilita las transacciones de pago.

Alcance

¿A quién afecta PCI SSF?

Cualquier organización que participe en el procesamiento, transmisión o almacenamiento de información de tarjetas de pago queda afectada por el cumplimiento de los requerimientos que establece PCI DSS, y puede ser elegible para certificar sus aplicaciones y/o procesos a través del Marco PCI SSF.

Nuestros servicios

Cómo trabajamos

01Análisis del Entorno de Cumplimiento
El objetivo de esta fase es la de comprender las características de la aplicación/nes que serán proceso objeto del alcance, en relación con la transmisión, procesamiento o almacenamiento de datos de tarjetas y definir el entorno que debe ser protegido. Por lo tanto, será necesario identificar el entorno de impacto del Marco de seguridad, definir limites, y obtener la información necesaria de los procesos a alto nivel, adquiriendo en la medida de lo posible una fotografía del entorno real.

Esta fase también permitirá la identificación de las relaciones con terceras partes (proveedores de servicios) y cómo influyen en el cumplimiento de PCI SSS.

Posterior a conocer el entorno de cumplimiento se validará la información obtenida contra los requisitos establecidos por el Marco PCI SSS de cara a comprobar el estado de cumplimiento de la/s aplicación/nes.
02Elaboración del Informe de Estado de Cumplimiento y Plan de Acción
Se redactará el informe final que muestre la situación actual y se hará el planteamiento de un Plan de Acción recomendado por Internet Security Auditors para la completa adecuación al Marco de Seguridad definido por SSS.

Esta fase se alimenta de toda la información obtenida previamente, donde se definirán los flujos de transmisión de datos, procesos principales, así como de los repositorios y dispositivos en los que se almacena, maneja o procesa la información de las tarjetas de pago.

Este informe final contendrá los siguientes puntos principales:
  • Resumen ejecutivo
  • Metodología utilizada
  • Definición del Entorno de Cumplimiento
  • Diagramas de red y flujos de datos de tarjetas a alto nivel
  • Estado actual de cumplimiento
  • Plan de Acción para alcanzar el alineamiento en la/s aplicación/nes.
También podrían incluirse recomendaciones que podrán ser abordadas en los proyectos correspondientes.
03Auditoría de Certificación del Cumplimiento de PCI SSS
Es crucial para cumplir correctamente con los requerimientos de PCI SSS que el entorno de auditoría esté correctamente identificado y cumpla con todos los requerimientos definidos en el apéndice B del ROV Reporting template.

Se ejecutará el plan de auditoría, llevando a cabo la evaluación de los controles implementados para cumplir los requerimientos PCI SSS.

Como resultado final de la auditoría se elaborará el denominado Informe de Validación (Report on Validation – ROV) en el que se incluirá:
1. Descripción del ámbito de revisión
2. Resumen Ejecutivo
3. Hallazgos y Observaciones
4. Información de Contacto y Fecha de Informe
04Análisis Gap PCI Secure Software Standard v2.0
Este servicio de consultoría está orientado a organizaciones que cuentan con aplicaciones certificadas bajo PCI Secure Software Standard v1.2.1 y requieren evaluar su nivel de alineación frente a los nuevos y actualizados requisitos de la versión 2.0 del estándar con miras a prepararse para la certificación bajo la nueva versión.

El objetivo principal del servicio es identificar las brechas (gaps) existentes entre los controles actualmente implementados y las exigencias del PCI Secure Software Standard v2.0, considerando especialmente los cambios estructurales del estándar, la introducción del concepto de activos sensibles y las nuevas expectativas en materia de seguridad a lo largo del ciclo de vida del software.

La consultoría incluye la revisión documental y técnica de la aplicación, procesos de desarrollo y controles de seguridad asociados, tomando como línea base la certificación existente en la versión 1.2.1. A partir de este análisis, se mapean los requisitos de la versión 2.0 contra los controles actuales, identificando cumplimientos parciales, brechas y oportunidades de mejora.

Como resultado, se entrega un informe que detalla:
  • El nivel de cumplimiento actual frente a cada requisito relevante de PCI Secure Software Standard v2.0.
  • Recomendaciones prácticas y priorizadas para cerrar las brechas y facilitar la transición hacia la certificación en v2.0.
Este servicio permite a las organizaciones planificar de forma estructurada y eficiente su adaptación al nuevo estándar, reduciendo riesgos, optimizando esfuerzos y asegurando la continuidad de sus aplicaciones certificadas bajo el marco PCI.
Servicios Relacionados
Adecuación y Certificación PCI DSS Adecuación y Certificación PCI PIN Auditoría PCI 3DS Sistemas de Gestión ISO Regulación Europea Estrategia & CISOaaS Continuidad & Resiliencia

Alcance del servicio

Qué engloba este servicio

Análisis del entorno de cumplimiento

Evaluación de las aplicaciones en alcance respecto a transmisión, procesamiento y almacenamiento de datos de tarjetas.

Relaciones con terceras partes

Identificación y evaluación de relaciones con terceras partes y su impacto en el entorno de cumplimiento.

Diagramas de red y flujos de datos

Revisión de diagramas de red y flujos de datos del entorno de cumplimiento.

Plan de acción y remediación

Informe de estado actual con plan de acción recomendado para la completa adecuación al estándar.

Report on Validation (ROV)

Auditoría de certificación con emisión del informe ROV que incluye hallazgos, observaciones y resumen ejecutivo.

Análisis Gap SSS v2.0

Evaluación de brechas entre controles actuales y exigencias de la versión 2.0 del PCI Secure Software Standard.

Revisión de controles de seguridad

Análisis de procesos de desarrollo y revisión de controles de seguridad implementados en las aplicaciones.

Testimonios

Lo que dicen nuestros clientes

Trabajar con Internet Security Auditors ha sido una experiencia altamente satisfactoria. Su acompañamiento en la migración a la norma ISO/IEC 27001:2022, la realización de auditorías internas y el proceso de certificación en PCI DSS ha sido fundamental para fortalecer nuestro sistema de gestión de seguridad de la información.

Ricardo Andrés Cárdenas Galvis
Of. Seguridad de la Información · Neurona

El apoyo estratégico de Internet Security Auditors como CISOaaS ha sido fundamental para reforzar nuestro equipo interno. Su experiencia complementa perfectamente el trabajo de nuestro CISO y nos ha permitido avanzar más rápido en la madurez de nuestra ciberseguridad.

CISO
RACC

En nombre de Outsourcing SAS BIC, queremos expresar nuestro agradecimiento por el compromiso y dedicación durante la implementación del cumplimiento PCI DSS en nuestro call center. Logramos establecer un entorno seguro conforme con los requisitos más exigentes de la industria de pagos.

Yulian Colmenares
Of. Seguridad de la Información · Outsourcing SAS BIC

Trabajar con Internet Security Auditors ha sido una experiencia positiva en todos los sentidos. Su equipo combina una sólida experiencia técnica con una gran disposición al trabajo colaborativo, lo que ha fortalecido nuestra postura de seguridad y el cumplimiento normativo.

Andrés Mejía
Head of GRC · Payválida

Como CFO de Saint Louis University – Madrid Campus, he tenido la oportunidad de trabajar con Internet Security Auditors. Han sido nuestro socio indispensable para la implementación de los requisitos marcados por la normativa de RGPD. Me gustaría destacar su disponibilidad para resolver dudas y su capacidad para elaborar un marco legal con acciones concretas y comprensibles…

Victoria Villarreal Palazón
Vice-Rector & Associate VP CFO · Saint Louis University

Como CFO de Fleurop - Interflora España trabajamos con Internet Security Auditors desde hace años en el ámbito de consultoría y cumplimiento de RGPD. Siendo Interflora una compañía 100% orientada al comercio online, los servicios profesionales de Internet Security Auditors nos dan soporte, seguridad y tranquilidad de que toda nuestra actividad está alineada con el cumplimiento de RGPD.

Francisco Tébar Prada
CFO Southern Europe · Fleurop - Interflora España

Como CISO en Intaremit S.A. la importancia que le damos a la seguridad lógica es muy alta. Ya no solo por el mero hecho de que la normativa PCI-CPP nos exija 4 escaneos de vulnerabilidad internos y externos y un pen-test interno y externo anual; si no también por la propia seguridad y tranquilidad que nuestra compañía quiere brindar a todos y cada uno de sus clientes. Llevamos más de 10 años trabajando y colaborando con Internet Security Auditors por su experiencia, compromiso y cercanía; por lo que lo recomiendo sin dudarlo.

Sergio Sainz de la Maza
CISO · Intaremit

En Grupo Arbulu, hemos colaborado estrechamente con Internet Security Auditors en la implementación de medidas de ciberseguridad avanzadas. Gracias a su experiencia, hemos mejorado significativamente nuestra capacidad para detectar y mitigar riesgos cibernéticos. Las auditorías exhaustivas y las soluciones personalizadas han fortalecido nuestra infraestructura de seguridad, asegurando la protección de nuestros datos y la continuidad de nuestras operaciones.

Marcos Montes de Oca
CIO · Grupo Arbulu

Como CEO de Beruby hemos trabajado con Internet Security Auditors cuando tuvimos que realizar de forma urgente un Attestation of Compliance de PCI DSS. Todo el proceso fue extremadamente rápido, eficiente y profesional. Su equipo nos brindó un soporte excelente, demostrando gran conocimiento técnico y compromiso. Sin duda, recomendamos sus servicios a cualquier empresa que necesite soluciones en ciberseguridad.

Miguel Acosta
Global CEO · Beruby

En Grupo AR, valoramos altamente el servicio de protección de marca de Internet Security Auditors por tener un enfoque integral y proactivo. Su equipo de trabajo, altamente calificado, nos permite identificar y mitigar aquellos riesgos que pueden afectar la marca de AR Construcciones y sus diferentes empresas.

Nestor Ivan Melo Ballen
Director de Ciberseguridad · Grupo AR

Preguntas frecuentes

Resolvemos tus dudas

¿Qué es PCI SSF y en qué se diferencia de PA-DSS?

PCI SSF (Software Security Framework) es el marco que sustituye a PA-DSS con requisitos modernos para la seguridad del software de pago. A diferencia de PA-DSS, el SSF soporta prácticas de desarrollo ágil, ciclos de actualización frecuentes y proporciona mayor flexibilidad a los desarrolladores para incorporar seguridad en sus aplicaciones.

¿Cuál es la diferencia entre SSS y SSLCS?

El Secure Software Standard (SSS) se centra en los requisitos de seguridad del software de pago en sí mismo, protegiendo la integridad y confidencialidad de datos sensibles. El Secure Software Lifecycle Standard (SSLCS) se enfoca en los procesos de desarrollo, asegurando que la seguridad se integre durante todo el ciclo de vida del software.

¿A quién aplica la certificación PCI SSF?

Aplica a fabricantes que desarrollan software de pago que soporta o facilita transacciones de pago, así como a cualquier organización que participe en el procesamiento, transmisión o almacenamiento de información de tarjetas de pago.

¿Qué es el Report on Validation (ROV)?

El ROV es el documento resultante de la auditoría de certificación PCI SSS. Incluye la descripción del ámbito de revisión, un resumen ejecutivo, hallazgos y observaciones detallados, e información de contacto y fecha. Es el informe oficial que acredita el cumplimiento.

¿Qué incluye el Análisis Gap para la versión 2.0?

El servicio de Análisis Gap está orientado a organizaciones con aplicaciones certificadas bajo PCI SSS v1.2.1 que necesitan evaluar su alineación con la versión 2.0. Incluye revisión documental y técnica, análisis de procesos de desarrollo, mapeo de requisitos, identificación de brechas y recomendaciones priorizadas para facilitar la transición.

Contacto

¿Necesitas certificar tu software de pago bajo PCI SSF?

Cuéntanos tu situación y nuestro equipo se pondrá en contacto contigo para orientarte o agendar una llamada técnica.

Oficinas
Barcelona · Madrid · Bogotá
R
Ricardo Andrés Cárdenas
Hace 2 meses

Trabajar con Internet Security Auditors ha sido una experiencia altamente satisfactoria. Su acompañamiento en la migración a ISO/IEC 27001:2022 y el proceso de certificación PCI DSS ha sido fundamental para fortalecer nuestro SGSI.

A
Andrés Mejía
Hace 3 meses

Su equipo combina una sólida experiencia técnica con una gran disposición al trabajo colaborativo, lo que ha fortalecido nuestra postura de seguridad y el cumplimiento normativo.

V
Victoria Villarreal Palazón
Hace 4 meses

Han sido nuestro socio indispensable para la implementación de los requisitos de RGPD. Destacaría su disponibilidad para resolver dudas y su capacidad para elaborar un marco legal con acciones concretas y comprensibles.

M
Miguel Acosta
Hace 5 meses

Todo el proceso de Attestation of Compliance de PCI DSS fue extremadamente rápido, eficiente y profesional. Sin duda, recomendamos sus servicios a cualquier empresa que necesite soluciones en ciberseguridad.

S
Sergio Sainz de la Maza
Hace 6 meses

Llevamos más de 10 años trabajando con Internet Security Auditors por su experiencia, compromiso y cercanía. Los recomiendo sin dudarlo.

Solicitar información

Nos pondremos en contacto contigo lo antes posible.
Presencia Global

Nuestras oficinas

Barcelona

C. Santander, 101. Edificio A-2
E-08030 Barcelona (España)

+34 93 305 13 18
Madrid

C. Arequipa, 1
E-28043 Madrid (España)

+34 91 763 40 47
Bogotá

Transversal 22 # 98-82, Ed. Porta 100 Of. 1003
110221 Bogotá (Colombia)

+57 601 638 68 88
25
años de experiencia en ciberseguridad
Contacta con nosotros