El estándar PCI 3DS v1.0 (2017), publicado por el PCI SSC, establece los requisitos de seguridad y los procedimientos de evaluación para los componentes principales del ecosistema EMV® 3‑D Secure: ACS, DS y 3DS Server. Este marco define tanto los controles físicos como los lógicos necesarios para proteger las funciones críticas de autenticación, así como los procesos y datos asociados. El estándar se estructura en dos bloques: los requerimientos de seguridad base del entorno 3DS y los requerimientos específicos destinados a salvaguardar los procesos y la información gestionada por las entidades participantes.
PCI 3DS · EMV® 3-D Secure
Auditoría PCI 3DS
PCI 3DS v1.0: el estándar que refuerza la seguridad del ecosistema EMV® 3‑D Secure. Protege procesos críticos, datos sensibles y la autenticación del usuario con controles sólidos diseñados para ACS, DS y 3DS Server. Una base imprescindible para garantizar transacciones digitales seguras y de confianza.
Fase 1, Preparación y Arranque
Planificación y reunión de lanzamiento
Fase 2, Auditoría
Revisión documental, procedimental y técnica
Fase 3, Documentos de Cumplimiento
Elaboración de RoC y AoC
Fase 4, Entrega de Resultados
Documentación final de cumplimiento
El estándar
¿Qué es PCI 3DS?
Aplicabilidad
¿A quién aplica PCI 3DS?
El estándar PCI 3DS aplica a todas las entidades que participan en el ecosistema EMV® 3-D Secure y gestionan componentes críticos de autenticación. Esto incluye a los operadores de Access Control Server (ACS), Directory Server (DS) y 3DS Server.
Las entidades afectadas deben cumplir con los requisitos de seguridad definidos para proteger las funciones de autenticación, los procesos críticos y los datos sensibles asociados a las transacciones 3-D Secure.
Nuestros servicios
Cómo trabajamos
01Preparación y arranque
Etapa I: Preparación de la Auditoría
El objetivo de esta fase es planificar de manera estructurada todas las actividades asociadas a la auditoría y elaborar un plan de auditoría inicial, el cual deberá ser posteriormente revisado y aprobado por las partes implicadas.
A continuación, se presentará un cronograma preliminar de la auditoría, así como un ejemplo de agenda de trabajo, que servirán como referencia para la organización y coordinación de las tareas previstas.
Una vez definido y validado este plan de auditoría inicial, se propondrá una fecha para la reunión de lanzamiento, en la que se formalizará el inicio del proceso y se alinearán los objetivos, expectativas y responsabilidades de todos los participantes.
Etapa II: Reunión de Lanzamiento
La fecha de celebración de esta reunión se considerará como el inicio oficial de la auditoría. Además, durante la sesión se abordarán tres objetivos fundamentales:
El objetivo de esta fase es planificar de manera estructurada todas las actividades asociadas a la auditoría y elaborar un plan de auditoría inicial, el cual deberá ser posteriormente revisado y aprobado por las partes implicadas.
A continuación, se presentará un cronograma preliminar de la auditoría, así como un ejemplo de agenda de trabajo, que servirán como referencia para la organización y coordinación de las tareas previstas.
Una vez definido y validado este plan de auditoría inicial, se propondrá una fecha para la reunión de lanzamiento, en la que se formalizará el inicio del proceso y se alinearán los objetivos, expectativas y responsabilidades de todos los participantes.
Etapa II: Reunión de Lanzamiento
La fecha de celebración de esta reunión se considerará como el inicio oficial de la auditoría. Además, durante la sesión se abordarán tres objetivos fundamentales:
- Confirmar el alcance definitivo de la auditoría, asegurando que coincide con lo establecido y esperado por todas las partes.
- Presentar y explicar las fases del proceso de auditoría a todos los participantes, garantizando una comprensión común del enfoque y de las actividades previstas.
- Cerrar el plan de auditoría e identificar a los interlocutores clave, definiendo responsabilidades y puntos de contacto para el correcto desarrollo del trabajo.
02Auditoría
Etapa I: Revisión Documental
Esta etapa comprende la revisión exhaustiva del cuerpo normativo aplicable al entorno 3DS, incluyendo políticas, procedimientos, guías operativas, informes y cualquier otra documentación relevante.
Para garantizar el correcto desarrollo de esta fase, será imprescindible disponer desde el inicio de la auditoría de toda la documentación normativa vigente.
Como resultado de esta fase, se procederá a identificar las posibles no conformidades relacionadas con el marco normativo PCI 3DS.
Etapa II: Revisión Procedimental
En esta etapa, el objetivo principal será validar, mediante reuniones de toma de datos, que los procedimientos descritos en la documentación desarrollada para el cumplimiento de los requisitos 3DS aplicables se están ejecutando de manera adecuada y conforme a lo establecido.
El resultado de esta etapa consistirá en la identificación de posibles no conformidades relacionadas con la ejecución de los procedimientos asociados a 3DS dentro del alcance de la auditoría.
Etapa III: Revisiones Técnicas
El objetivo de esta etapa es validar, mediante revisiones técnicas, que las configuraciones descritas en la documentación desarrollada para el cumplimiento de los requisitos 3DS, y que aplican a las organizaciones evaluadas, se encuentran correctamente implementadas.
Al igual que en la fase de revisión procedimental, la ejecución de las revisiones técnicas deberá realizarse conforme al plan de auditoría establecido.
Etapa IV: Seguimiento y Remediación de No Conformidades
A la finalización de cada una de las etapas de la auditoría, se enviará una hoja de seguimiento con todas las no conformidades identificadas. Una vez finalizada la auditoría, y en función de la recepción de evidencias de remediación, se irá enviando la hoja de seguimiento actualizada.
Esta etapa comprende la revisión exhaustiva del cuerpo normativo aplicable al entorno 3DS, incluyendo políticas, procedimientos, guías operativas, informes y cualquier otra documentación relevante.
Para garantizar el correcto desarrollo de esta fase, será imprescindible disponer desde el inicio de la auditoría de toda la documentación normativa vigente.
Como resultado de esta fase, se procederá a identificar las posibles no conformidades relacionadas con el marco normativo PCI 3DS.
Etapa II: Revisión Procedimental
En esta etapa, el objetivo principal será validar, mediante reuniones de toma de datos, que los procedimientos descritos en la documentación desarrollada para el cumplimiento de los requisitos 3DS aplicables se están ejecutando de manera adecuada y conforme a lo establecido.
El resultado de esta etapa consistirá en la identificación de posibles no conformidades relacionadas con la ejecución de los procedimientos asociados a 3DS dentro del alcance de la auditoría.
Etapa III: Revisiones Técnicas
El objetivo de esta etapa es validar, mediante revisiones técnicas, que las configuraciones descritas en la documentación desarrollada para el cumplimiento de los requisitos 3DS, y que aplican a las organizaciones evaluadas, se encuentran correctamente implementadas.
Al igual que en la fase de revisión procedimental, la ejecución de las revisiones técnicas deberá realizarse conforme al plan de auditoría establecido.
Etapa IV: Seguimiento y Remediación de No Conformidades
A la finalización de cada una de las etapas de la auditoría, se enviará una hoja de seguimiento con todas las no conformidades identificadas. Una vez finalizada la auditoría, y en función de la recepción de evidencias de remediación, se irá enviando la hoja de seguimiento actualizada.
03Elaboración de Documentos de Cumplimiento
Etapa I: Elaboración de Documentos de Cumplimiento
Esta etapa dará comienzo una vez se hayan cerrado todas las no conformidades identificadas durante el proceso de auditoría. Su finalidad es la cumplimentación de toda la documentación requerida para validar formalmente el cumplimiento, incluyendo:
Etapa II: QA de Documentos de Cumplimiento
Una vez finalizada la elaboración de los documentos relativos a la validación del cumplimiento. Se realizará una revisión independiente para verificar que dichos documentos cumplen los estándares de calidad establecidos.
Esta etapa dará comienzo una vez se hayan cerrado todas las no conformidades identificadas durante el proceso de auditoría. Su finalidad es la cumplimentación de toda la documentación requerida para validar formalmente el cumplimiento, incluyendo:
- Report on Compliance (RoC)
- Attestation of Compliance (AoC)
Etapa II: QA de Documentos de Cumplimiento
Una vez finalizada la elaboración de los documentos relativos a la validación del cumplimiento. Se realizará una revisión independiente para verificar que dichos documentos cumplen los estándares de calidad establecidos.
04Entrega de Resultados
Se procederá al envío de toda la documentación que acredita el cumplimiento de los requisitos 3DS dentro del alcance definido para la auditoría.
Alcance del servicio
Qué engloba este servicio
Plan de auditoría inicial
Elaboración de un plan de auditoría inicial que planifica todas las actividades, para su revisión y aprobación por las partes implicadas.
Cronograma preliminar
Presentación de un cronograma preliminar y de una agenda de trabajo como referencia para organizar y coordinar las tareas previstas.
Revisión documental
Análisis exhaustivo de políticas, procedimientos, guías operativas e informes del entorno 3DS.
Revisión procedimental
Validación de que los procedimientos de cumplimiento 3DS se ejecutan conforme a lo establecido.
Revisiones técnicas
Verificación de configuraciones técnicas implementadas para el cumplimiento de requisitos 3DS.
Remediación de no conformidades
Seguimiento y soporte en la remediación de todas las no conformidades identificadas durante la auditoría.
Report on Compliance (RoC)
Elaboración del informe oficial de cumplimiento con los requisitos del estándar PCI 3DS.
Attestation of Compliance (AoC)
Emisión de la declaración formal de cumplimiento validada y revisada con control de calidad independiente.
Testimonios
Lo que dicen nuestros clientes
Trabajar con Internet Security Auditors ha sido una experiencia altamente satisfactoria. Su acompañamiento en la migración a la norma ISO/IEC 27001:2022, la realización de auditorías internas y el proceso de certificación en PCI DSS ha sido fundamental para fortalecer nuestro sistema de gestión de seguridad de la información.
El apoyo estratégico de Internet Security Auditors como CISOaaS ha sido fundamental para reforzar nuestro equipo interno. Su experiencia complementa perfectamente el trabajo de nuestro CISO y nos ha permitido avanzar más rápido en la madurez de nuestra ciberseguridad.
En nombre de Outsourcing SAS BIC, queremos expresar nuestro agradecimiento por el compromiso y dedicación durante la implementación del cumplimiento PCI DSS en nuestro call center. Logramos establecer un entorno seguro conforme con los requisitos más exigentes de la industria de pagos.
Trabajar con Internet Security Auditors ha sido una experiencia positiva en todos los sentidos. Su equipo combina una sólida experiencia técnica con una gran disposición al trabajo colaborativo, lo que ha fortalecido nuestra postura de seguridad y el cumplimiento normativo.
Como CFO de Saint Louis University – Madrid Campus, he tenido la oportunidad de trabajar con Internet Security Auditors. Han sido nuestro socio indispensable para la implementación de los requisitos marcados por la normativa de RGPD. Me gustaría destacar su disponibilidad para resolver dudas y su capacidad para elaborar un marco legal con acciones concretas y comprensibles…
Como CFO de Fleurop - Interflora España trabajamos con Internet Security Auditors desde hace años en el ámbito de consultoría y cumplimiento de RGPD. Siendo Interflora una compañía 100% orientada al comercio online, los servicios profesionales de Internet Security Auditors nos dan soporte, seguridad y tranquilidad de que toda nuestra actividad está alineada con el cumplimiento de RGPD.
Como CISO en Intaremit S.A. la importancia que le damos a la seguridad lógica es muy alta. Ya no solo por el mero hecho de que la normativa PCI-CPP nos exija 4 escaneos de vulnerabilidad internos y externos y un pen-test interno y externo anual; si no también por la propia seguridad y tranquilidad que nuestra compañía quiere brindar a todos y cada uno de sus clientes. Llevamos más de 10 años trabajando y colaborando con Internet Security Auditors por su experiencia, compromiso y cercanía; por lo que lo recomiendo sin dudarlo.
En Grupo Arbulu, hemos colaborado estrechamente con Internet Security Auditors en la implementación de medidas de ciberseguridad avanzadas. Gracias a su experiencia, hemos mejorado significativamente nuestra capacidad para detectar y mitigar riesgos cibernéticos. Las auditorías exhaustivas y las soluciones personalizadas han fortalecido nuestra infraestructura de seguridad, asegurando la protección de nuestros datos y la continuidad de nuestras operaciones.
Como CEO de Beruby hemos trabajado con Internet Security Auditors cuando tuvimos que realizar de forma urgente un Attestation of Compliance de PCI DSS. Todo el proceso fue extremadamente rápido, eficiente y profesional. Su equipo nos brindó un soporte excelente, demostrando gran conocimiento técnico y compromiso. Sin duda, recomendamos sus servicios a cualquier empresa que necesite soluciones en ciberseguridad.
En Grupo AR, valoramos altamente el servicio de protección de marca de Internet Security Auditors por tener un enfoque integral y proactivo. Su equipo de trabajo, altamente calificado, nos permite identificar y mitigar aquellos riesgos que pueden afectar la marca de AR Construcciones y sus diferentes empresas.
Preguntas frecuentes
Resolvemos tus dudas
¿Qué es PCI 3DS y a quién aplica?
PCI 3DS es un estándar del PCI SSC que establece los requisitos de seguridad para los componentes principales del ecosistema EMV® 3-D Secure: Access Control Server (ACS), Directory Server (DS) y 3DS Server. Aplica a todas las entidades que operan estos componentes críticos de autenticación.
¿Qué diferencia hay entre PCI 3DS y PCI DSS?
PCI DSS protege los datos del titular de tarjeta en todo el ecosistema de pagos, mientras que PCI 3DS se enfoca específicamente en los componentes de autenticación del ecosistema EMV® 3-D Secure (ACS, DS y 3DS Server). Ambos estándares son complementarios y pueden coexistir en una misma organización.
¿Qué documentos se obtienen tras la auditoría?
Tras completar la auditoría PCI 3DS se elaboran dos documentos oficiales: el Report on Compliance (RoC), que detalla el cumplimiento de cada requisito, y el Attestation of Compliance (AoC), que es la declaración formal de cumplimiento. Ambos pasan por un proceso de revisión de calidad independiente (QA).
¿Cuánto tiempo dura el proceso de auditoría PCI 3DS?
La duración depende del alcance y la complejidad del entorno. El proceso incluye cuatro fases: preparación y arranque, auditoría (documental, procedimental y técnica), elaboración de documentos de cumplimiento y entrega de resultados. La fecha de la reunión de lanzamiento marca el inicio oficial de la auditoría.
¿Qué ocurre si se detectan no conformidades?
Al finalizar cada etapa de la auditoría se envía una hoja de seguimiento con las no conformidades identificadas. Internet Security Auditors acompaña en el proceso de remediación, actualizando la hoja de seguimiento conforme se reciben las evidencias de corrección, hasta el cierre completo de todas las no conformidades.
Contacto
¿Necesitas una auditoría PCI 3DS?
Cuéntanos tu situación y nuestro equipo se pondrá en contacto contigo para orientarte o agendar una llamada técnica.
Solicitar información
Presencia Global
Nuestras oficinas
25
años de experiencia en ciberseguridad
Contacta con nosotros