PCI Shield
Pasa PCI 4.0.1 Mientras Proteges a tus Usuarios
Las CSP, agentes JS y rastreadores pueden marcar la casilla de cumplimiento pero no protegen verdaderamente a los usuarios. Ve cómo VikingCloud validó nuestra solución PCI DSS.
Las CSP, agentes JS y rastreadores pueden marcar la casilla de cumplimiento pero no protegen verdaderamente a los usuarios. Ve cómo VikingCloud validó nuestra solución PCI DSS.
Los ataques de skimming y formjacking están creciendo rápidamente. Atacan los scripts en los navegadores de tus clientes, no tus servidores
6.4.3 y 11.6.1 ahora exigen un inventario de scripts, monitoreo en tiempo real y alertas para cambios no autorizados.
Las CSP, rastreadores y agentes pueden marcar la casilla de cumplimiento, pero los atacantes pasan fácilmente junto a ellos.
cside ya no es solo un Gatekeeper. Selecciona el modo que mejor se adapte a tus necesidades de seguridad y requisitos técnicos.
Me importa la seguridad del lado del cliente y necesito algo que sea fácil de explicar al resto del equipo.
Verificamos comportamientos de scripts en el navegador y obtenemos los scripts de nuestro lado. No nos colocamos en el camino de un script a menos que nos lo pidas explícitamente.
Operating Model: Permitir que el script se sirva directamente para scripts en los que confío, los scripts en los que no confío obtienen el tratamiento de seguridad completo.
Soy un objetivo de alto valor y necesito control de seguridad completo.
Verificamos comportamientos de scripts y cside se coloca en el medio entre el tercero no controlado y el usuario final - solo scripts que no nos dijiste que no nos coloquemos en el medio.
Operating Model: Todos los scripts pasan por cside excepto algunos.
No tengo la capacidad de agregar un script al sitio web.
Inteligencia de amenazas de cside recopilada por miles de otros sitios web con miles de millones de visitantes combinados.
Operating Model: Escaneo estático impulsado por inteligencia de amenazas de nuestra red.
A diferencia de los sistemas operativos modernos, los navegadores no tienen soporte nativo para proveedores de seguridad de terceros. CSP y SRI solo cubren parte del problema, así que tuvimos que ser creativos. La mayoría de las detecciones del lado del cliente usando JavaScript en el navegador son fáciles de hacer ingeniería inversa y eludir. Desafortunadamente, las detecciones del lado del cliente demasiado estrictas podrían romper algunas bibliotecas del lado del cliente. Lo que esencialmente hace un script de seguridad del lado del cliente es envolver APIs que pueden ser utilizadas por malos actores y monitorear qué scripts las usan. El problema es que no todos los scripts funcionan bien con eso. Por esa razón, hemos tomado un enfoque mucho más elaborado para los usuarios más conscientes de la seguridad. Al combinar las detecciones en el navegador con detecciones en nuestro propio motor usando nuestro motor de control de acceso propietario, creamos un escenario equilibrado del mejor de todos los mundos. Equilibrando capacidad de detección con facilidad de uso con resistencia y, en última instancia, dando al cliente la capacidad de elegir el enfoque.
protege cada checkout y mantiene excelentes relaciones con adquirentes.
ofrece seguridad compatible y de valor agregado a miles de comerciantes.
Los flujos de reserva complejos y los boletos de alto valor aumentan el riesgo de ataque.
Las tarjetas de crédito usadas para viajes son objetivos principales debido a límites más altos.
Watch the complete discussion between cside and VikingCloud experts covering the latest PCI DSS 4.0.1 requirements, e-skimming prevention strategies, and practical implementation guidance for requirements 6.4.3 and 11.6.1.
Nuestro Gatekeeper ofrece ventajas que las herramientas tradicionales no pueden igualar.
| vs. Soluciones Basadas en Rastreadores | vs. Content-Security Policy (CSP) | vs. Agentes del Lado del Cliente |
|---|---|---|
| Ve comportamiento real de usuarios, no vistas de rastreadores sanitizadas | Monitorea cargas útiles de scripts, no solo fuentes | Monitoreo indetectable que los atacantes no pueden eludir |
| Captura ataques dirigidos a segmentos específicos | Detecta violaciones en proveedores de terceros confiables | Seguimiento completo del comportamiento histórico de scripts |
| Detecta amenazas entre escaneos periódicos | Maneja scripts dinámicos que las CSPs no pueden controlar | A prueba de futuro contra técnicas en evolución |
Como tu socio en seguridad web, queremos que puedas contactarnos fácilmente. Cada cliente obtiene acceso 1:1 a nuestro equipo a través de Slack y Microsoft Teams. Respondemos en minutos, ya sea que tengas una solicitud de funcionalidad, preguntas o ideas.
FAQ
Preguntas Frecuentes
El requisito 6.4.3 se centra en la gestión de scripts de páginas de pago, requiriendo que autorices cada script, asegures la integridad de scripts y mantengas un inventario completo con justificación escrita de la necesidad de cada script. El requisito 11.6.1 exige monitoreo continuo para detectar cambios no autorizados en encabezados HTTP y contenido de páginas de pago, con alertas enviadas al personal y evaluaciones realizadas al menos semanalmente.
PCI DSS 4.0.1 es la última versión del Estándar de Seguridad de Datos de la Industria de Tarjetas de Pago que protege los datos del titular de la tarjeta a través de estrictos requisitos de monitoreo de seguridad. Si tu negocio procesa, almacena o transmite información de tarjetas de crédito, debes cumplir con estas regulaciones para evitar multas cuantiosas, tasas de seguro más altas y posible interrupción del negocio. El estándar se aplica a todos los comerciantes, procesadores, adquirentes y proveedores de servicios que manejan datos de tarjetas de pago. El incumplimiento puede resultar en multas que van desde miles hasta millones de dólares, dependiendo de tu volumen de transacciones y la gravedad de cualquier violación.
El requisito PCI DSS 6.4.3 requiere monitoreo activo y constante, mientras que 11.6.1 requiere que el monitoreo ocurra al menos una vez cada siete días, o con la frecuencia definida en el análisis de riesgos dirigido de tu organización. Sin embargo, dado que los ciberataques ocurren en tiempo real y los scripts maliciosos pueden inyectarse en cualquier momento, el monitoreo continuo (en tiempo real) proporciona la mejor protección.
Las penalizaciones por incumplimiento varían según tu procesador de pagos y volumen de transacciones, pero las multas generalmente van desde $5,000 hasta $500,000 por incidente. Más allá de las multas, puedes enfrentar tarifas de transacción aumentadas, primas de seguro más altas, pérdida de privilegios de procesamiento de pagos y costos significativos por remediación de violación de datos y demandas. El costo promedio de una violación de datos de tarjetas de pago supera los $4 millones al tener en cuenta investigaciones forenses, honorarios legales, notificación al cliente e interrupción del negocio.
Durante una auditoría PCI DSS, los evaluadores de seguridad calificados revisarán tu documentación de cumplimiento, probarán tus controles de seguridad y verificarán que estés cumpliendo con todos los requisitos aplicables. Para los requisitos 6.4.3 y 11.6.1, los auditores examinarán tu inventario de scripts, revisarán la documentación de autorización, probarán tus sistemas de monitoreo y verificarán que estés detectando cambios no autorizados. Tener monitoreo automatizado con cside significa que tu documentación de cumplimiento está siempre actualizada y lista para auditoría, con registros detallados, informes semanales y evidencia clara de monitoreo continuo que los auditores pueden revisar y validar fácilmente.
Las soluciones basadas en proxy proporcionan la protección más completa porque interceptan y analizan cada solicitud de script en tiempo real, en lugar de solo escanear periódicamente o depender de detección basada en navegador que los atacantes pueden eludir. El enfoque proxy de cside asegura visibilidad completa del comportamiento del script, capacidades de bloqueo de amenazas inmediatas e informes de cumplimiento precisos que capturan todas las variaciones de scripts. Este método ha sido auditado y aprobado de forma independiente por Viking Cloud, dándote confianza de que tu estrategia de cumplimiento cumple con los más altos estándares de la industria mientras proporciona protección de seguridad superior.