En un entorno con más ataques cibernéticos, nuevas tecnologías y vectores de intrusión que se escapan a las defensas, ha llegado una actualización para la seguridad de los datos y el análisis de riesgos para el sector de la banca orientado a las redes que procesan, almacenan o trasmiten datos de tarjetas de crédito y débito.
Después de leer infinidad de artículos y explicaciones sobre cómo afecta esta nueva PCI DSS 4.0 (estándar mundial que proporciona una línea base de requisitos técnicos y operativos diseñados para proteger los datos del titular de tarjetas), mi conclusión es que los cambios en la propia banca cada vez son más rápidos. La COVID no ha traído consigo sólo una transformación explosiva en la forma de trabajar, sino que también ha modificado de manera exponencial los tiempos de ejecución de las mejoras en ciberseguridad.
En banca, esto es doblemente necesario, pues el objetivo de los ciberdelincuentes es hacer dinero, y, ante la rápida evolución de las amenazas que hemos comentado, las entidades financieras son el principal objetivo.
Estándares de seguridad más exigentes
A poco más de un año en el que la PCI DSS v3.2.1 sea retirada (31 de marzo de 2024), las empresas apuran los tiempos y buscan soluciones que cubran todas y cada una de las condiciones descritas en el nuevo estándar de seguridad: requisitos ampliados de la autenticación multifactorial, de contraseñas, para el comercio electrónico y evitar, por ejemplo, el phishing. Éstos son solo algunos de los principales puntos que demuestran cómo el mundo está evolucionando, y el sector bancario en particular, en la forma de abordar medidas según sean las amenazas.
Por estos y otros muchos motivos es tan importante en los tiempos actuales buscar socios tecnológicos que puedan adaptarse a este entorno tan hostil y tengan la capacidad, conocimiento y recursos suficientes para adaptar sistemas críticos a normas tan estrictas.
La seguridad gestionada, ayuda a los clientes apoyándose en la innovación desarrollada desde su centro de ciberseguridad, en acuerdos de investigación y en inversiones en ciberseguridad. Del mismo modo, lleva a cabo alianzas estratégicas con actores clave del sector, pero, sobre todo, a parte de la calidad del servicio, la reducción de costes y la eficiencia, un valor claro es tener profesionales altamente cualificados sin necesidad de invertir en su contratación, formación y gestión continua.
Muchos son los años en los que desarrollé mi carrera profesional defendiendo auditorías. Tener todo el entorno preparado para afrontar estos procesos no era tarea sencilla. Seguridad perimetral, protección de los puntos finales, escaneo de vulnerabilidades, pruebas de penetración o recolección de registros de eventos para una posterior evaluación de riesgos eran puntos calientes que hoy en día se han elevado a la décima potencia. Ya no hay espacio para el error, lo que obliga al sector bancario auditado a cambiar la mentalidad e invertir más en ciberseguridad. Es necesario ser proactivos, prevenir y adelantarse gracias a las nuevas tecnologías, en lugar de reactivos.
Podría ser un artículo con palabras vanas sobre temas más que comentados y requisitos y procesos muy conocidos por profesionales especializados en la materia, pero nada más allá de la realidad. Las fechas son ajustadas y los que hemos estado defendiendo sistemas de esta índole sabemos que el recorrido es largo y la tarea muy compleja.
Si la COVID fue capaz de darle la vuelta al mundo laboral en un tiempo récord e hizo que el teletrabajo se fuese instaurando como requisito y no como opción en muchos de los nuevos puestos de trabajo, esta nueva norma ha llegado al sector bancario para forzar la adaptación a las nuevas amenazas cibernéticas e intentar ser más ágiles.
Autenticación, gestión de riesgos y concienciación, desarrollo seguro, monitorización y gestión de vulnerabilidades y encriptación. Éstos son sólo algunos de los principales motivos del cambio hacia la nueva versión, hacia una nueva etapa de la ciberseguridad. Conceptos en auge que no pueden, ni deben, pasar desapercibidos.
Javier Martín-Moreno, Líder Técnico Ciberseguridad Sopra Steria España
