El estándar PCI-DSS

Las empresas que manejan las principales marcas de tarjetas de crédito tales como VISA, MASTERCARD entre otras, para proteger la información de los usuarios y luchar contra la suplantación, clonación, falsificación y otros tipos fraudes que se producen en los diferentes comercios (reales y virtuales) que aceptan las tarjetas de débito y crédito como medio de pago, decidieron crear las normas de seguridad PCI-DSS (Payment Card Industry - Data Security Standard).

La idea es de que todas las empresas que tengan relación con este medio de pago se sometan a los procesos adecuados para validar su cumplimiento y así evitar comprometer la información contenida en las tarjetas y lógicamente la imagen de la organización.

La utilización de las tarjetas de crédito y débito ha crecido tremendamente, especialmente debido al auge del comercio electrónico y es muy importante mantener esta comodidad siempre y cuando se mantenga la confianza y seguridad en este medio.

Realmente las normas que se dictan a través de este estándar son teóricamente conocidas pero realmente no están implementadas en la práctica, tampoco quiere decir que por más que una empresa se encuentre certificada como tal ya se encuentre exenta de fraudes.

Los requisitos que dicta el estándar son los siguientes:

1. Construir y mantener una infraestructura segura.
Requisito 1: Instalar y mantener una configuración de firewall para proteger los datos de titulares de tarjetas.
Requisito 2: No emplear configuraciones por defecto en los elementos de protección.

2. Proteger los datos de los titulares
Requisito 3: Proteger los datos de los titulares de tarjetas almacenados.
Requisito 4: Cifrar las transmisiones de datos de titulares de tarjeta en redes abiertas y públicas.

3. Mantener un programa de gestión de las vulnerabilidades
Requisito 5: Emplear y actualizar periódicamente el software antivirus.
Requisito 6: Desarrollar y mantener sistemas y aplicaciones seguras.

4. Implementar medidas fuertes de control de acceso
Requisito 7: Restringir el acceso a los datos de titulares al ámbito de lo estrictamente necesario para ofrecer el servicio.
Requisito 8: Asignar un identificador único a cada persona con acceso a equipos de proceso.
Requisito 9: Restringir la seguridad física para acceder a los datos de titulares.

5. Monitorizar y someter a pruebas regulares las redes
Requisito 10: Monitorizar y hacer seguimiento a todos los recursos de red y a los datos de titulares.
Requisito 11: Probar regularmente la seguridad de los sistemas y procesos.

6. Mantener una Política de Seguridad de la Información
Requisito 12: Mantener una política que cubra la seguridad de la información.

Finalmente considero de los más importante no está en certificarse solo por certificarse y cumplir la norma, más bien lo más importante es, que en la alta dirección realmente exista un verdadero compromiso y una constante preocupación por mantener en forma segura y confiable el prestigio de su organización y la confianza de los clientes.

El futuro está en las nubes

Así es y no precisamente me refiero a las nubes relacionadas con los informes meteorológicos, me estoy refiriendo a las nubes informáticas cuya traducción al español realmente no es la mejor y por lo tanto la llamaré como se la conoce en inglés cloud cumputing.

Este revolucionario sistema de prestación de servicios para el procesamiento de datos está cada día tomando más fuerza y con el paso del tiempo según la credibilidad y confianza que vayan demostrando a sus clientes será determinante para posicionarse en el mercado.

La tendencia del cloud computing apunta a que en el futuro las pequeñas, medianas y grandes empresas ya no tengan que hacer grandes inversiones en crear y mantener sus propios centros de computo (data centers), ya no será necesario comprar hardware ni software, simplemente compro el servicio a un proveedor (algo similar a los que actualmente se conoce como hosting) y voy creciendo de acuerdo a mis necesidades, esto generará un considerable ahorro de dinero.

Las grandes infraestructuras que contendrán estos poderosos centros de procesamiento de datos se encontrarán en algún lugar del mundo, lógicamente deberán ser lo suficientemente seguros y confiables para así ganarse la confianza de quienes depositen en ellos su activo más importante.

Con respecto al software por un lado esto generará considerables ahorros de licencias, y por otro con las facilidades que actualmente ya existen en la nube tales como las herramientas de oficina de google, enormes cantidades de espacio gratis y de pago para almacenar documentos, fotografías, etc., en fin todo lo que actualmente lo mantenemos en nuestros computadores personales muy pronto ya lo tendremos en la nube.

Así como vamos, los sistemas operativos tales como windows y demás, solamente nos servirán para encender nuestra maquina o cualquier otro dispositivo que tenga una pantalla y un teclado y para luego conectarnos a internet, el resto será cosa del pasado.

Qué es EMV ?

Para estandarizar las aplicaciones de débito y crédito de distintas plataformas, Europay, Mastercard y Visa han elaborado un estándar llamado EMV y se ha establecido un periodo dentro del cual ya estamos, para llevar a cabo una migración a tarjetas que incorporan circuitos integrados, las comúnmente llamadas tarjetas chip o tarjetas inteligentes (smart or chip cards).

Las tarjetas que incorporan circuitos integrados ofrecen una mayor seguridad y protección anticopia y evitaran gran parte del fraude al que se están viendo sometidas las actuales tarjetas con banda magnética, además estas tarjetas brindan la posibilidad de añadir aplicaciones como entre otras las de fidelización, transporte, universidad, comercio electrónico, Home-Banking o el monedero electrónico.

Las tarjetas EMV usan algoritmos de encripción tales como DES, 3DES, RSA y SHA para proveer autenticación de la tarjeta tanto en donde se origina la transacción como los ATMs o POS asi como tambien en el procesador central.

Sobre el desarrollo de software, en broma y en serio

“Si no lo logras a la primera, llámalo versión 1.0″

“La auténtica diferencia entre el hardware y el software es que el hardware se vuelve mas rápido, pequeño y barato con el tiempo, mientras que el software se hace mas grande, lento y caro.”

“Hardware: Lo que golpeas. Software: La causa.”

“La programación es una carrera entre ingenieros tratando de hacer mejores y más grandes programas resistentes a idiotas, y el universo haciendo mejores y grandes idiotas. Por ahora gana el universo”

Direccción IT: Recortando hacia arriba

Hoy en día, cuando el mundo en general se encuentra atravesando una etapa de crisis y por lo tanto es necesario realizar ajustes en el lugar correcto, estaba leyendo el artículo de Robert Cringely , Fire Your Boss: The best place to cut IT organizations is generally at the top, en donde expresa que el mejor lugar para hacer recortes en los departamentos de tecnología está en los mandos superiores.

Expresa que muchos responsables de los departamentos tecnología están en el lugar equivocado e indica que actualmente cualquier Vicepresidente ó Director de tecnología al menos debería ser capaz de escribir código que imprima “Hello Word” en un lenguaje de programación tal como C, PHP, HTML y asimismo saber extraer las mismas palabras de una base de datos usando un script MySQL. Además indica que esta tarea no implica una habilidad técnica brillante sino más bien quien no sepa cómo hacerlo al menos debería saber como buscar en internet los componentes necesarios para hacerlo, nadie puede gestionar lo que no sabe hacer.

Yo no solamente añadiría eso, sino que realmente hay verdaderos departamentos de tecnología manejados por directivos “fósiles” que para disfrazar su miedo a enfrentar el cambio de acuerdo al acelerado avance de la tecnología dicen que mientras algo este “ funcionando” no tienen porque buscar nuevas y creativas formas de mejorar.

Conozco directivos que aún se alegran de que su departamento de tecnología siga utilizando los terminales tontos o computadores con procesadores 386 para emular sesiones tipo IBM 3270 en donde tanto usuarios como programadores deben realizar sus tareas, para ellos aún es prohibitivo que su máquina tenga una unidad de CD y peor aún acceso a internet, claro está que finalmente aquí solo permanecerán aquellos que se adaptaron a ese punto de comodidad ó por necesidad mientras que los más innovadores seguramente ya salieron corriendo despavoridos.

Como está tu departamento de tecnología?, ¿ fosilizado? ó ¿ innovado?

Cuando el jefe sólo esta para la foto

No hace mucho tiempo estuve trabajando en un proyecto de cajeros automáticos en un país de centro América, el proyecto trataba sobre la implementación de un nuevo y novedoso servicio a través de la red de cajeros, habíamos completado el desarrollo y la posterior certificación del mismo, teníamos todo listo para el lanzamiento de este producto, incluso nos esforzamos en llevar uno de los mejores y más modernos cajeros automáticos a la oficina en donde tendría lugar el lanzamiento.

La fecha, hora y lugar del evento estaba listo, incluso estaba decidido de que la persona que realizará la prueba en vivo sería el gerente de Banca Electrónica, bueno llegó el día, los invitados llegaron, los medios de publicidad tanto vídeo como fotografía estaban listos, llego el momento de verdad, le pasaron una tarjeta al gerente para que la utilice en la prueba y de pronto sucedió lo inesperado, el gerente se acerca al cajero y al momento de insertar la tarjeta no sabía porque ranura insertarla, a tal punto que estaba metiendo la tarjeta por la ranura que sirve para dispensar el recibo, entonces de pronto su asistente que si estuvo en las pruebas, al ver semejante barbaridad le grita a su jefe... NOoooo por ese hueco NOooo.

Imagínense ustedes como todo el mundo estalló en carcajadas al escuchar la sugerente frase de su asistente desesperada.

Bueno y tú qué dices, tu jefe esta sólo para la foto ?

NCR APTRA™ Advance NDC

A continuación adjunto un artículo de NCR sobre APTRA advance NDC. Realmente lo que no me gusta del software de NCR para los cajeros automáticos ,es porque es un software propietario extremadamente cerrado, bueno a estos alturas no se si a la final ya se dieron cuenta del problema y actualmente ya tengan un sw más accesible y amigable.

APTRA Advance NDC is the world's most popular self-service software for NDC host environments. Based on Microsoft® Windows®, it enables you to drive a single application across multiple vendors' hardware, providing many transactions 'out-of-the-box' and a platform for the rapid deployment of new functionality.

Around the world, more financial self-service networks operate in an NDC host environment than in any other.

This in itself is testimony to NCR's long and continuing leadership in self-service, for it was NCR that created the NDC (NCR Direct Connect) standard for ATMs more than 20 years ago.

As self-service networks have migrated from OS/2 to the Windows operating system, APTRA Advance NDC builds on that unbroken leadership, taking over where OS/2-based products like NDC and NDC+ left off

It has since become far-and-away the most popular, trusted (and hence proven) self-service application the world over.

It drives transactions on more than 70,000 ATMs operated by more than 350 deployers in over 60 countries. And it's easy to see why.

It is a true multi-vendor XFS solution, so it will drive a fully functional single application across Windows-based ATMs from any number of third party manufacturers.

Most of the self-service transactions you'll ever need are built in to APTRA Advance NDC, so you can start delivering the services and functionality your customers expect immediately.

Beyond delivering host-driven transactions, APTRA Advance NDC can also be tailored to 'step outside' of the NDC-format transaction flow and connect to and use external web services. More and more financial institutions are using web servers to provide customers with non-cash services, for example, sports results, news updates, airline reservations and cinema tickets.

If you're not yet in the aviation or movie business, APTRA Advance NDC gives even 'standard' transactions impact by taking advantage of Windows' multimedia support.

Add redeemable or branded coupons to the mix and you can provide a more memorable consumer experience and build loyalty too.

The popularity of APTRA Advance NDC is a clear sign of the trust that financial institutions place in it to securely handle millions of transactions every day. The application has unrivalled protection.

APTRA Security and Solidcore for APTRA provides unmatched, next generation security for the platform, protecting against the intrusion of any unauthorized code and leaving a precise audit trail of all attempted updates.