-
Payment Services Directive (PDS2): Entró en vigor el 12 de enero de 2016 y se dio a los Estados miembros de la UE hasta el 13 de enero de 2018 para transponerla a la legislación nacional. Establece estrictos requisitos de seguridad para los pagos electrónicos y la protección de los datos financieros de los consumidores. Los proveedores de servicios de pago deben garantizar una autenticación sólida del cliente para el inicio y procesamiento de pagos electrónicos.
La autenticación del cliente es un proceso mediante el cual se valida la identidad del usuario de un servicio de pago. Se considera que la autenticación del cliente es sólida si se basa en el uso de dos o más de los siguientes elementos:
- Conocimiento: Algo que solo el usuario sabe, por ejemplo, una contraseña o un PIN
- Posesión: Algo que solo el usuario posee, por ejemplo, la tarjeta o un dispositivo generador de código de autenticación
- Inherencia: Algo que el usuario es, por ejemplo, el uso de una huella digital o reconocimiento de voz
Estos elementos son independientes (la violación de un elemento no compromete la confiabilidad de los demás) y están diseñados de tal manera que protegen la confidencialidad de los datos de autenticación.
Para transacciones remotas (por ejemplo, pagos en línea), los requisitos de seguridad van aún más allá, requiriendo un enlace dinámico al monto de la transacción y la cuenta del beneficiario, para proteger aún más al usuario minimizando los riesgos en caso de errores o ataques fraudulentos.
Sin embargo, existen exenciones del requisito de tener una autenticación de cliente sólida. Por ejemplo, este puede ser el caso de pagos de bajo valor en el punto de venta o de transacciones a distancia, de acuerdo con ciertas condiciones.
Las Directrices de European Banking Authority (EBA) mantienen "silencio” sobre la cuestión de la certificación y no la imponen. Sin embargo, de los 114 controles dentro de ISO 27001, existen obvios paralelismos:
Las directrices 2 y 3 se centran en la gobernanza y, en particular, en el establecimiento de un "marco de gestión de riesgos operativos y de seguridad eficaz". El propio SGSI supone una forma de gobiernos, específicamente en la cláusula 6 de ISO 27001 indica el requisito de un proceso de gestión de los riesgos (alineado con ISO 31000) como base para la aplicación de controles de seguridad eficaces.
En la directriz 4 sobre la protección se puede utilizar, entre otras, las siguientes áreas de ISO 27001:
- A9 Control de acceso
- A10 Controles criptográficos
- A11 Seguridad física
- A12 Seguridad operativa
- A14 Adquisición, desarrollo y mantenimiento de sistemas
- A18 Cumplimiento
La directriz 5 sobre detección, puede ser respaldada por:
- Cláusula 9 del seguimiento y medición (incluida la auditoría interna)
- A9 Control de acceso
- A12 Seguridad operativa
- A16 Gestión de incidentes
La directriz 6 sobre la continuidad de negocio:
- A17 de continuidad del negocio
- Marcos como ISO 22301 integrados con ISO 27001
La directriz 7 sobre el test de las medidas de seguridad pueden respaldarse por:
- A12 Seguridad operativa (p.ej. Auditorías de intrusión/vulnerabilidades)
- A14 Adquisición, desarrollo y mantenimiento de sistemas (marcos de desarrollo seguros)
La directriz 8 sobre concientización y aprendizaje está directamente relacionado con:
- 5.3 Roles y responsabilidades
- 7.2 Concienciación
- 7.3 Competencias
- A7 Recursos humanos
Finalmente, las relaciones con los usuarios de los servicios de pago de la directriz 9 son la principal consideración de la relación con las partes interesadas de la cláusula 4 de ISO 27001 y de cualquier sistema de gestión de forma más amplia.
