Industria de Tarjetas de Pago (PCI)

Normas de Seguridad de Datos (DSS)

y Normas de seguridad de datos
para las Aplicaciones de Pago (PA-DSS)

Glosario de trminos, abreviaturas y acrnimos

Versin 2.0
Octubre de 2010

Trmino

Definicin

AAA

Acrnimo de authentication, authorization, and accounting (autenticacin,

autorizacin y contabilizacin). Protocolo para autenticar a un usuario
basndose en la identidad verificable del usuario, autorizar a un usuario
basndose en sus derechos de usuario y contabilizar el consumo de
recursos de una red de un usuario.

Control de acceso

Mecanismo que limita la disponibilidad de informacin o de los recursos

necesarios para su procesamiento slo a personas o aplicaciones
autorizadas.

Datos de cuentas

Los datos de cuentas constan de los datos de titulares de tarjetas ms los

datos confidenciales de autenticacin. Consulte Datos de titulares de
tarjetas y Datos confidenciales de autenticacin

Nmero de cuenta

Consulte Nmero de cuenta principal (PAN).

Adquirente

Tambin se conoce como banco adquirente o institucin financiera

adquirente. Se refiere a la entidad que inicia y mantiene relaciones con los
comerciantes para la aceptacin de las tarjetas de pago.

Adware

Tipo de software malicioso cuya instalacin hace que la computadora

muestre o descargue publicidad de manera automtica.

AES

Abreviatura de Advanced Encryption Standard (norma de cifrado

avanzado). Cifrado por bloques utilizado en la criptografa de clave
simtrica que adopt el NIST en noviembre de 2001 como U.S. FIPS PUB
197 (o FIPS 197). Consulte Criptografa slida.

ANSI

Acrnimo de American National Standards Institute (Instituto

Estadounidense de Normas). Organizacin privada y sin fines de lucro que
administra y coordina el sistema de evaluacin de conformidad y
normalizacin voluntaria de los Estados Unidos.

Antivirus

Programa o software capaz de detectar y eliminar los diferentes tipos de

programas maliciosos (tambin conocidos como "malware"), incluidos
virus, gusanos, troyanos o caballos troyanos, spyware, adware y rootkits, y
de proteger su computadora contra estos.

Aplicacin

Incluye todos los programas o grupos de programas de software

adquiridos y personalizados, as como tambin las aplicaciones internas y
externas (por ejemplo, aplicaciones web).

Registro de auditora

Tambin denominado pista de auditora, corresponde al registro

cronolgico de las actividades del sistema. Esta herramienta proporciona
una pista independientemente verificable que permite la reconstruccin,
revisin y evaluacin de la secuencia de entornos y actividades que
rodean o conducen a las operaciones, los procedimientos o eventos
relacionados a una transaccin desde el inicio hasta los resultados finales.

Pista de auditora

Consulte Registro de auditora.

ASV

Acrnimo de Approved Scanning Vendor (proveedor aprobado de

anlisis). Empresa aprobada por el SSC de la PCI para prestar servicios
de anlisis de vulnerabilidades externas.

Normas de Seguridad de la PCI y Normas de Seguridad de Datos para las Aplicaciones de Pago Octubre de 2010
Glosario de trminos, abreviaturas y acrnimosPgina 1

Trmino

Definicin

Autenticacin

Proceso para verificar la identidad de un individuo, dispositivo o proceso.

Por lo general, la autenticacin ocurre a travs del uso de uno o ms
factores de autenticacin, tales como:

Algo que el usuario sepa, como una contrasea o frase de seguridad

Algo que el usuario tenga, como un dispositivo token o una tarjeta
inteligente

Algo que el usuario sea, como un rasgo biomtrico

Credenciales de
autenticacin

Combinacin del ID de usuario o ID de la cuenta ms el (los) factor(es)

utilizado(s) para autenticar a un individuo, dispositivo o proceso.

Autorizacin

Otorgamiento de derechos de acceso u otros derechos similares a un

usuario, programa o proceso. En cuanto a las redes, la autorizacin define
lo que un individuo o programa puede hacer despus de un proceso de
autenticacin satisfactorio.
En lo que se refiere a la autorizacin de una transaccin con tarjeta de
pago, sta ocurre cuando un comerciante recibe la aprobacin de la
transaccin despus de que el adquirente valide la transaccin con el
emisor/procesador.

Copia de seguridad

Copia duplicada de datos que se realiza con el fin de archivarla o

protegerla de daos o prdidas.

Bluetooth

Protocolo inalmbrico que utiliza tecnologa de comunicacin de corto

alcance y permite la transmisin de datos entre dos dispositivos ubicados a
poca distancia.

Titular de tarjeta

Cliente consumidor o no consumidor para el que se emite la tarjeta de

pago, o cualquier individuo autorizado para utilizar una tarjeta de pago.

Datos del titular de la

tarjeta

Los datos del titular de la tarjeta contienen, como mnimo, el PAN

completo. Es posible que los datos del titular de la tarjeta tambin incluyan
el PAN completo ms alguno de los siguientes datos: nombre del titular de
la tarjeta, fecha de vencimiento y/o cdigo de servicio
Consulte Datos confidenciales de autenticacin para obtener ms
informacin sobre elementos de datos que pueden transmitirse o
procesarse, pero no procesarse, como parte de una transaccin de pago.

Entorno de datos de
titulares de tarjetas

Las personas, los procesos y la tecnologa que almacenan, procesan o

transmiten datos de titulares de tarjetas o datos confidenciales de
autenticacin, incluidos todos los componentes del sistema conectados.

Normas de Seguridad de la PCI y Normas de Seguridad de Datos para las Aplicaciones de Pago Octubre de 2010
Glosario de trminos, abreviaturas y acrnimosPgina 2

Trmino

Definicin

Cdigo o valor de
verificacin de la tarjeta

Tambin denominado Cdigo o valor de validacin de la tarjeta o Cdigo

de seguridad de la tarjeta.
Se refiere a: (1) datos de banda magntica o (2) funciones de seguridad
impresas.
(1) Elementos de datos en la banda magntica de una tarjeta que utilizan
procesos criptogrficos seguros para proteger la integridad de los
datos de la banda y evidencia cualquier alteracin o falsificacin.
Conocida como CAV, CVC, CVV o CSC, segn la marca de la tarjeta
de pago. La siguiente lista especifica los trminos segn la marca de
tarjeta:

CAV Card Authentication Value (valor de autenticacin de la
tarjeta) (tarjetas de pago JCB)

CVC Card Validation Code (cdigo de validacin de la tarjeta)
(tarjetas de pago MasterCard)

CVV Card Verification Value (valor de verificacin de la tarjeta)
(tarjetas de pago Visa y Discover)

CSC Card Security Code (cdigo de seguridad de la tarjeta)
(tarjetas de pago American Express
(2) En el caso de las tarjetas de pago Discover, JCB, MasterCard y Visa,
el segundo tipo de valor o cdigo de validacin de la tarjeta es el valor
de tres dgitos impreso que se encuentra ms a la derecha de la zona
del panel de firma, en el reverso de la tarjeta En el caso de las tarjetas
American Express, el cdigo es un nmero de cuatro dgitos no
grabado en relieve, sino impreso encima del PAN, en el anverso de
todas las tarjetas de pago. El cdigo se asocia de manera exclusiva a
cada plstico individual y vincula el PAN al plstico. La siguiente lista
especifica los trminos segn la marca de la tarjeta:

CID Card Identification Number (nmero de identificacin de la
tarjeta) (tarjetas de pago American Express y Discover)

CAV2 Card Authentication Value 2 (valor de autenticacin de la
tarjeta 2) (tarjetas de pago JCB)

CVC2 Card Validation Code 2 (cdigo de validacin de la tarjeta
2) (tarjetas de pago MasterCard)

CVV2 Card Verification Value 2 (valor de verificacin de la
tarjeta 2) (tarjetas de pago Visa)

CERT

Acrnimo de Computer Emergency Response Team (Equipo de

Respuesta ante Emergencias Informticas) de la Universidad Carnegie
Mellon. El programa del CERT desarrolla y promueve el uso de prcticas
de administracin de tecnologa y sistemas apropiadas para resistir
ataques a sistemas conectados en red, limitar daos y asegurar la
continuidad de los servicios crticos.

CIS

Acrnimo de Center for Internet Security (centro de seguridad en

Internet). Empresa sin fines de lucro cuya misin es ayudar a las
organizaciones a reducir el riesgo de interrupciones en su negocio y en el
comercio electrnico provocados por controles de seguridad tcnicos
inadecuados.

Normas de Seguridad de la PCI y Normas de Seguridad de Datos para las Aplicaciones de Pago Octubre de 2010
Glosario de trminos, abreviaturas y acrnimosPgina 3

Trmino

Definicin

Cifrado de bases de
datos a nivel de columna

Tcnica o tecnologa (ya sea software o hardware) para cifrar el contenido

de una columna especfica de una base de datos y no todo el contenido de
toda la base de datos. Consulte tambin Cifrado de disco o Cifrado a nivel
de archivo.

Controles de
compensacin

Es posible que los controles de compensacin se consideren cuando una

entidad no puede cumplir un requisito de manera explcita segn lo
establecido, debido a limitaciones tcnicas legtimas o comerciales
documentadas, pero ha mitigado de manera suficiente el riesgo asociado
con el requisito a travs de la implementacin de controles. Los controles
de compensacin deben:
(1) Cumplir con el propsito y el rigor del requisito original de las PCI
DSS;
(2) Proporcionar un nivel similar de defensa, como el requisito original de
las PCI DSS;
(3) Superar ampliamente otros requisitos de las PCI DSS (no
simplemente en cumplimiento de otros requisitos de las PCI DSS); y
(4) Ser cuidadoso con el riesgo adicional que impone la no adhesin al
requisito de las PCI DSS.
Para obtener informacin acerca del uso de los controles de
compensacin, consulte los Anexos B y C de los Controles de
compensacin que se encuentran en los Requisitos de las PCI DSS y
procedimientos para la evaluacin de la seguridad.

Riesgo

Tambin denominado riesgo de datos o violacin de datos. Intrusin en

un sistema de computadoras en la cual se sospecha una divulgacin, un
robo, una modificacin o la destruccin no autorizada de datos del titular
de la tarjeta.

Consola

Pantalla o teclado que permite obtener acceso al servidor, equipo

mainframe u otro tipo de sistema y controlarlo dentro de un entorno de red.

Consumidor

Persona que compra bienes, servicios o ambos.

Criptografa

Disciplina matemtica e informtica relacionada con la seguridad de la

informacin, particularmente con el cifrado y la autenticacin. En cuanto a
la seguridad de aplicaciones y redes, es una herramienta para el control de
acceso, la confidencialidad de la informacin y la integridad.

Perodo de cifrado

Lapso de tiempo durante el cual se puede utilizar una clave criptogrfica

para su propsito definido basndose en, por ejemplo, un perodo de
tiempo definido y/o la cantidad de texto cifrado producido, y segn las
mejores prcticas y directrices de la industria (por ejemplo, la Publicacin
especial 800-57 del NIST).

Base de datos

Formato estructurado que permite organizar y mantener informacin de

fcil recuperacin. Algunos ejemplos simples de base de datos son las
tablas y las hojas de clculo.

Administrador de bases
de datos

Denominado tambin DBA, se refiere al responsable de administrar

bases de datos.

Normas de Seguridad de la PCI y Normas de Seguridad de Datos para las Aplicaciones de Pago Octubre de 2010
Glosario de trminos, abreviaturas y acrnimosPgina 4

Trmino

Definicin

Cuentas predeterminadas

Cuenta de inicio de sesin que se encuentra predefinida en un sistema,

aplicacin o dispositivo que permite obtener acceso por primera vez al
momento en que el sistema comienza a funcionar. El sistema tambin
puede generar cuentas predeterminadas adicionales como parte del
proceso de instalacin.

Contrasea
predeterminada

Contrasea de las cuentas de usuario, servicio o administracin de

sistemas predefinidas en un sistema, aplicacin o dispositivo asociado con
la cuenta predeterminada. Las contraseas y cuentas predeterminadas
son de dominio pblico y, en consecuencia, es fcil averiguarlas.

Destruccin magntica

Tambin denominada destruccin magntica de disco. Proceso o tcnica

que desmagnetiza un disco para destruir permanentemente toda la
informacin almacenada en ste.

Cifrado de disco

Tcnica o tecnologa (ya sea de software o hardware) que se utiliza para

cifrar todos los datos almacenados en un dispositivo (por ejemplo, un disco
duro o una unidad flash). Tambin se utiliza el cifrado a nivel de archivo y
el cifrado de bases de datos a nivel de columna para cifrar el contenido de
archivos o columnas especficas.

DMZ

Abreviatura de demilitarized zone (zona desmilitarizada). Subred fsica o

lgica que proporciona una capa de seguridad adicional a la red privada
interna de una organizacin. La DMZ agrega una capa de seguridad de red
adicional entre Internet y la red interna de una organizacin, de modo que
las partes externas slo tengan conexiones directas a los dispositivos de la
DMZ y no a toda la red interna.

DNS

Acrnimo de Domain Name System (sistema de nombre de dominio) o

domain name server (servidor de nombre de dominio). Sistema que
almacena informacin relacionada con nombres de dominio en una base
de datos distribuida en redes, como Internet.

DSS

Acrnimo de Data Security Standard (norma de seguridad de datos),

tambin denominada PCI DSS.

Control dual

Proceso que consiste en utilizar dos o ms entidades distintas (por lo

general, personas) de manera coordinada para proteger funciones o
informacin confidenciales. Ambas entidades son igualmente responsables
de la proteccin fsica de los materiales que intervienen en transacciones
vulnerables. Ninguna persona tiene permitido obtener acceso a o utilizar
estos materiales (por ejemplo, la clave criptogrfica). Para generar,
transferir, cargar, almacenar y recuperar manualmente una clave, el
proceso de control dual requiere que se divida el conocimiento de la clave
entre las entidades. (Consulte tambin Conocimiento parcial).

Filtrado dinmico de
paquetes

Consulte Inspeccin completa.

ECC

Acrnimo de Elliptic Curve Cryptography (criptografa de curva elptica).

Mtodo de criptografa de clave pblica basado en curvas elpticas sobre
campos finitos. Consulte Criptografa slida.

Filtrado de egreso

Mtodo que permite filtrar el trfico saliente de una red, de modo que slo
el trfico explcitamente autorizado pueda salir de la red.

Normas de Seguridad de la PCI y Normas de Seguridad de Datos para las Aplicaciones de Pago Octubre de 2010
Glosario de trminos, abreviaturas y acrnimosPgina 5

Trmino

Definicin

Cifrado

Proceso para convertir informacin en un formato ilegible, a excepcin de

los titulares de una clave criptogrfica especfica. El cifrado se utiliza para
proteger la informacin entre el proceso de cifrado y el proceso de
descifrado (lo contrario del cifrado) de la divulgacin no autorizada.
Consulte Criptografa slida.

Algoritmo de cifrado

Secuencia de instrucciones matemticas usadas para transformar textos o

datos no cifrados en textos o datos cifrados y viceversa. Consulte
Criptografa slida.

Entidad

Trmino utilizado para representar a la corporacin, organizacin o

negocio bajo una revisin de las PCI DSS.

Supervisin de la
integridad de archivos

Tcnica o tecnologa utilizada para supervisar archivos o registros a fin de

detectar si se modificaron. Si se modifican archivos o registros crticos, se
debera enviar mensajes de alerta al personal de seguridad apropiado.

Cifrado a nivel de archivo

Tcnica o tecnologa (ya sea software o hardware) para cifrar todo el

contenido de archivos especficos. Consulte tambin Cifrado de disco o
Cifrado de bases de datos a nivel de columna.

FIPS

Acrnimo de Federal Information Processing Standards (normas de

procesamiento de informacin federal de los EE. UU). Normas aceptadas
pblicamente por el gobierno federal de los EE. UU., a disposicin tambin
de agencias no gubernamentales y contratistas.

Firewall

Tecnologa de hardware y/o software que protege los recursos de red

contra el acceso no autorizado. Un firewall autoriza o bloquea el trfico de
computadoras entre redes con diferentes niveles de seguridad basndose
en un conjunto de reglas y otros criterios.

Herramientas forenses

Tambin se denomina informtica forense. Cuando se trata de la

seguridad de la informacin, se refiere a la aplicacin de herramientas de
investigacin y tcnicas de anlisis para recolectar evidencia a partir de
recursos informticos a fin de determinar la causa del riesgo de los datos.

FTP

Acrnimo de File Transfer Protocol (protocolo de transferencia de

archivos). Protocolo de red que se utiliza para transferir datos de una
computadora a otra mediante un red pblica, como Internet. En general, se
considera que FTP es un protocolo inseguro, porque permite enviar
contraseas y contenido de archivos sin proteccin y en texto simple. El
protocolo FTP puede implementarse con seguridad mediante SSH u otra
tecnologa.

GPRS

Acrnimo de General Packet Radio Service (servicio de radio paquete

general). Servicio de datos porttil disponible para los usuarios de
telfonos mviles GSM. Reconocido por el uso eficaz de un ancho de
banda limitado. Ideales para enviar y recibir pequeos paquetes de datos,
como correos electrnicos y para navegar en Internet.

GSM

Acrnimo de Global System for Mobile Communications (sistema global

de comunicaciones mviles). Norma ampliamente difundida para telfonos
mviles y redes. La ubicuidad de la norma GSM convierte el acceso de
llamada itinerante o roaming a nivel internacional en algo muy comn
entre los operadores de telefona inalmbrica, lo que permite a los
suscriptores utilizar sus telfonos en distintos lugares del mundo.

Normas de Seguridad de la PCI y Normas de Seguridad de Datos para las Aplicaciones de Pago Octubre de 2010
Glosario de trminos, abreviaturas y acrnimosPgina 6

Trmino

Definicin

Hashing

Proceso que vuelve ilegibles los datos de titulares de tarjetas convirtiendo

los datos en un resumen de mensaje de longitud fija mediante la
Criptografa slida. El hashing es una funcin (matemtica) en la cual un
algoritmo conocido toma un mensaje de longitud arbitraria como entrada y
produce un resultado de longitud fija (generalmente denominado cdigo
hash o resumen de mensaje). Una funcin hash debe tener las
siguientes propiedades:
(1) Que no se pueda determinar informticamente la entrada original si
slo se tiene el cdigo hash,
(2) Que no se puedan hallar informticamente dos entradas que generen
el mismo cdigo hash.
En el contexto de las PCI DSS, la funcin hash se debe aplicar a todo el
PAN para que se considere que el cdigo hash es ilegible. Se recomienda
que los datos de titulares de tarjetas en valores hash incluyan un valor de
sal como entrada a la funcin de hashing (consulte Sal).

Host

Computadora principal donde reside el software informtico.

Proveedor de hosting

Ofrece diferentes servicios a comerciantes y otros proveedores de

servicios. Los servicios van de simples a complejos: desde un espacio
compartido en un servidor hasta una completa gama de opciones para el
carrito de compras; desde aplicaciones de pago hasta conexiones con
pasarelas y procesadores de pago; y para proveer servicio de hosting
dedicado slo a un cliente por servidor. Es posible que el proveedor de
hosting sea un proveedor de hosting compartido, encargado de prestar
servicio a diferentes entidades en un solo servidor.

HTTP

Acrnimo de hypertext transfer protocol (protocolo de transferencia de

hipertexto). Protocolo abierto de Internet que permite transferir o transmitir
informacin en la World Wide Web.

HTTPS

Acrnimo de hypertext transfer protocol over secure socket layer

(protocolo de transferencia de hipertexto a travs de una capa de conexin
segura). HTTP seguro que proporciona autenticacin y comunicacin
cifrada en la World Wide Web diseado para comunicaciones que
dependen de la seguridad, tales como los inicios de sesin basados en la
web.

Hipervisor

Software o firmware responsable de prestar servicios de hosting a

mquinas virtuales y administrarlas. En cuanto a las PCI DSS, el
componente del sistema hipervisor tambin incluye el VMM, virtual
machine monitor (supervisor de mquinas virtuales).

ID

Identificador correspondiente a un usuario o una aplicacin particular.

IDS

Acrnimo de intrusion detection system (sistema de deteccin de

intrusiones). Software o hardware utilizado para identificar o alertar acerca
de intentos de intrusin en redes o sistemas. Conformado por sensores
que generan eventos de seguridad; una consola que supervisa eventos y
alertas y controla los sensores; y un motor central que registra en una base
de datos los eventos denotados por los sensores. Utiliza un sistema de
reglas que generan alertas en respuesta a cualquier evento de seguridad
detectado.

Normas de Seguridad de la PCI y Normas de Seguridad de Datos para las Aplicaciones de Pago Octubre de 2010
Glosario de trminos, abreviaturas y acrnimosPgina 7

Trmino

Definicin

IETF

Acrnimo de Internet Engineering Task Force (grupo de trabajo de

ingeniera en Internet). Comunidad internacional abierta y extensa de
diseadores de redes, operadores, proveedores e investigadores que
trabajan en el desarrollo de la arquitectura de Internet y se ocupan de su
correcto funcionamiento. El IETF no exige la acreditacin de membresas y
est abierto a cualquier persona interesada.

Token de ndice

Token criptogrfico que, basado en un ndice dado para un valor

imprevisible, reemplaza el PAN.

Seguridad de la
informacin

Proteccin de la informacin que garantiza la confidencialidad, integridad y

disponibilidad.

Sistema de informacin

Conjunto especfico de recursos de datos estructurados organizados para

recolectar, procesar, mantener, usar, compartir, diseminar o disponer de la
informacin.

Filtrado de ingreso

Mtodo que permite filtrar el trfico entrante de una red, de modo que slo
el trfico explcitamente autorizado pueda ingresar a la red.

Protocolo/Servicio/Puerto
no seguros

Un protocolo, servicio o puerto que produce preocupacin en cuanto a la

seguridad debido a la falta de controles de confidencialidad y/o integridad.
Estas preocupaciones relacionadas con la seguridad afectan a los
servicios, protocolos o puertos que transmiten datos y credenciales de
autenticacin (como contraseas o frases de seguridad de texto simple en
Internet), o son fciles de explotar si se configuran incorrectamente o de
forma predeterminada. Entre los servicios, protocolos o puertos no
seguros se incluyen, a modo de ejemplo, FTP, Telnet, POP3, IMAP y
SNMP.

IP

Acrnimo de internet protocol (protocolo de Internet). Protocolo de capas

de red que contiene informacin sobre direcciones y algunos datos de
control, y permite el ruteo de paquetes. IP es el protocolo primario de
capas de red en la suite de protocolos de Internet.

Direccin IP

Tambin denominada direccin de protocolo de Internet. Cdigo

numrico que identifica exclusivamente una computadora en Internet.

Falsificacin de direccin
IP

Tcnica de ataque que utiliza una persona malintencionada para obtener

acceso no autorizado a computadoras. La persona malintencionada enva
mensajes engaosos a una computadora. Los mensajes tienen una
direccin IP que indica que el mensaje proviene de un host de confianza.

IPS

Acrnimo de intrusion prevention system (sistema de prevencin de

intrusiones). El IPS va un paso ms all que el IDS y bloquea el intento de
intrusin.

IPSEC

Abreviatura de Internet Protocol Security (protocolo de seguridad de

Internet). Norma para asegurar las comunicaciones IP mediante el cifrado
y/o la autenticacin de todos los paquetes IP. IPSEC brinda seguridad en
la capa de red.

ISO

Acrnimo de International Organization for Standardization (Organizacin

Internacional de Normalizacin). Organizacin no gubernamental formada
por una red de institutos nacionales de normalizacin pertenecientes a
ms de 150 pases, con un miembro representante por pas y una
secretara central, en Ginebra, Suiza, que se encarga de coordinar el
sistema.

Normas de Seguridad de la PCI y Normas de Seguridad de Datos para las Aplicaciones de Pago Octubre de 2010
Glosario de trminos, abreviaturas y acrnimosPgina 8

Trmino

Definicin

Emisor

Entidad que emite tarjetas de pago o realiza, facilita o respalda servicios

de emisin incluidos, a modo de ejemplo, bancos y procesadores
emisores. Tambin denominado banco emisor o instituciones financieras
emisoras.

Servicios de emisin

Entre los ejemplos de servicios de emisin se pueden incluir, a modo de

ejemplo, la autorizacin y la personalizacin de tarjetas.

Clave

En criptografa, una clave es un valor que determina el resultado de un

algoritmo de cifrado al transformar texto simple en texto cifrado. En
general, la extensin de una clave determina la dificultad para descifrar el
texto de un determinado mensaje. Consulte Criptografa slida.

Administracin de claves

En criptografa, se refiere al conjunto de procesos y mecanismos que

respaldan el establecimiento y mantenimiento de las claves, as como el
reemplazo de claves anteriores por nuevas claves, segn sea necesario.

LAN

Acrnimo de local area network (red de rea local). Grupo de

computadoras y/u otros dispositivos que comparten una lnea de
comunicaciones comn, generalmente, en un edificio o grupo de edificios.

LDAP

Acrnimo de Lightweight Directory Access Protocol (protocolo ligero de

acceso directo). Repositorio de datos para la autenticacin y autorizacin
destinado a las consultas y modificaciones relativas a permisos de usuario
y al otorgamiento de derechos de acceso a recursos protegidos.

Registro

Consulte Registro de auditora.

LPAR

Abreviatura de logical partition (particin lgica). Sistema de subdivisin o

particin de todos los recursos de una computadora (procesadores,
memoria y almacenamiento) en unidades ms pequeas, capaces de
ejecutarse con una copia propia distinta del sistema operativo y de las
aplicaciones. En general, la particin lgica se utiliza para facilitar el uso de
varios sistemas operativos y aplicaciones en un mismo dispositivo. Es
posible, aunque no obligatorio, configurar las particiones para que se
comuniquen entre s o compartan algunos recursos del servidor, como las
interfaces de red.

MAC

Acrnimo de message authentication code (cdigo de autenticacin de

mensajes). En criptografa, se refiere a la informacin breve que se utiliza
para autenticar un mensaje. Consulte Criptografa slida.

Direccin MAC

Abreviatura de media access control address (direccin de control de

acceso a medios). Valor nico de identificacin que el fabricante asigna a
los adaptadores de red y a las tarjetas de interfaz de red.

Datos de la banda
magntica

Tambin denominados datos de pistas. Datos codificados en la banda

magntica o el chip que se utilizan para la autenticacin y/o autorizacin
durante las transacciones de pago. Puede ser la imagen de la banda
magntica de un chip o los datos de la pista 1 y/o pista 2 de la banda
magntica.

Mainframe

Computadoras diseadas para trabajar con grandes volmenes de entrada

y salida de datos y para enfatizar el rendimiento informtico. Los sistemas
mainframe pueden ejecutar varios sistemas operativos, por lo que parece
que estuvieran operando como mltiples computadoras. Muchos sistemas
heredados presentan un diseo de mainframe.

Normas de Seguridad de la PCI y Normas de Seguridad de Datos para las Aplicaciones de Pago Octubre de 2010
Glosario de trminos, abreviaturas y acrnimosPgina 9

Trmino

Definicin

Software malicioso o
malware

Software desarrollado para infiltrarse en una computadora o daarla sin

conocimiento ni consentimiento del propietario. Por lo general, esta clase
de software se infiltra en una red durante diversas actividades aprobadas
por el negocio, lo que permite explotar las vulnerabilidades del sistema.
Algunos ejemplos son los virus, gusanos, troyanos (o caballos de Troya),
spyware, adware y rootkits.

Ocultamiento

En el contexto de las PCI DSS, se refiere al mtodo para ocultar un

segmento de los datos cuando se muestran o imprimen. El ocultamiento
se utiliza cuando no existe un requisito por parte del negocio de ver el PAN
completo. El ocultamiento se relaciona con la proteccin del PAN cuando
se muestra o imprime. Consulte Truncamiento para obtener informacin
sobre la proteccin del PAN cuando se almacena en archivos, bases de
datos, etc.

Comerciante

En lo que concierne a las PCI DSS, comerciante se define como toda

entidad que acepta tarjetas de pago con el logotipo de cualquiera de los
cinco miembros del PCI SSC (American Express, Discover, JCB,
MasterCard o Visa) como forma de pago por bienes y servicios. Tenga en
cuenta que un comerciante que acepta tarjetas de pago por bienes y
servicios puede ser tambin un proveedor de servicios, si los servicios
comerciados tienen como resultado almacenamiento, procesamiento o
transmisin de datos de titulares de tarjetas a nombre de otros
comerciantes o proveedores de servicios. Por ejemplo, puede que un ISP
sea un comerciante que acepte tarjetas pago por facturaciones mensuales,
pero que, si los clientes para los que acta como host son comerciantes,
sea al mismo tiempo proveedor de servicios.

Supervisin

Uso de sistemas o procesos que constantemente vigilan los recursos de

computadoras o redes a efectos de alertar al personal en caso de
interrupciones, alarmas u otros eventos predefinidos.

MPLS

Acrnimo de multi protocol label switching (conmutacin multi-protocolo

mediante etiquetas). Mecanismo de red o telecomunicaciones diseado
para conectar un grupo de redes basadas en la conmutacin de paquetes.

NAT

Acrnimo de network address translation (traduccin de direcciones de

red). Llamada simulacin de red o simulacin IP. Cambio de la direccin IP
utilizada dentro de una red por una direccin IP distinta conocida dentro de
otra red.

Red

Dos o ms computadoras interconectadas a travs de un medio fsico o

inalmbrico.

Administrador de red

Personal responsable de administrar la red dentro de una entidad. Entre

las responsabilidades generalmente se incluyen, a modo de ejemplo, la
seguridad, las instalaciones, las actualizaciones, el mantenimiento y la
supervisin de la actividad de la red.

Componentes de red

Los componentes de la red incluyen, a modo de ejemplo, firewalls,

conmutadores, routers, puntos de acceso inalmbrico, aplicaciones de red
y otras aplicaciones de seguridad.

Normas de Seguridad de la PCI y Normas de Seguridad de Datos para las Aplicaciones de Pago Octubre de 2010
Glosario de trminos, abreviaturas y acrnimosPgina 10

Trmino

Definicin

Anlisis de seguridad de
la red

Proceso mediante el cual se buscan vulnerabilidades en los sistemas de

una entidad de manera remota a travs del uso de herramientas manuales
o automatizadas. Anlisis de seguridad que incluyen la exploracin de
sistemas internos y externos, as como la generacin de informes sobre los
servicios expuestos a la red. Los anlisis pueden identificar
vulnerabilidades en sistemas operativos, servicios y dispositivos que
pudieran utilizar personas malintencionadas.

Segmentacin de red

La segmentacin de red separa componentes del sistema que almacenan,

procesan o transmiten datos del titular de la tarjeta de sistemas que no lo
hacen. Una segmentacin de red adecuada puede reducir el alcance del
entorno de los datos del titular de la tarjeta y, por lo tanto, reducir el
alcance de la evaluacin de las PCI DSS. Consulte la seccin
Segmentacin de red en Requisitos de las DSS PCI y procedimientos de
evaluacin de seguridad para obtener informacin acerca del uso de
segmentacin de red. La segmentacin de red no es un requisito de las
PCI DSS. Consulte Componentes del sistema.

NIST

Acrnimo de National Institute of Standards and Technology (Instituto

Nacional de Normas y Tecnologa). Agencia federal no regulatoria
dependiente de la Administracin Tecnolgica del Departamento de
Comercio de los Estados Unidos. Su misin es promover la innovacin
estadounidense y la competitividad industrial mediante la promocin de
medidas de ciencia, normas y tecnologas que mejoren la estabilidad
econmica y la calidad de vida.

NMAP

Software para el anlisis de riesgos de seguridad encargado de delinear

redes e identificar puertos abiertos en los recursos de red.

Usuarios no
consumidores

Todas las personas, con excepcin de los titulares de tarjetas, que tengan
acceso a los componentes de sistema, entre los cuales se incluyen
empleados, administradores y terceros.

NTP

Acrnimo de network time protocol (Protocolo de tiempo de red).

Protocolo usado para sincronizar los relojes de sistemas informticos,
dispositivos de red y otros componentes del sistema.

Productos estndar

Descripcin de productos listos para usar comercializados como bienes no

personalizadas o especficamente diseadas para un cliente o usuario.

Sistema operativo / OS

Software de un sistema de computadoras a cargo de compartir recursos

informticos y administrar y coordinar todas las actividades informticas.
Algunos ejemplos de sistemas operativos incluyen Microsoft Windows,
Mac OS, Linux y Unix.

OWASP

Acrnimo de Open Web Application Security Project (Gua para

proyectos de seguridad de aplicaciones web abiertas). Es una
organizacin sin fines de lucro especializada en mejorar la seguridad del
software de aplicacin. OWASP mantiene una lista con las
vulnerabilidades ms crticas de las aplicaciones web. (Consulte
http://www.owasp.org).

PA-QSA

Acrnimo de Payment Application Qualified Security Assessor (Asesor de

seguridad certificado para las aplicaciones de pago), una empresa
calificada por las PCI SSC para realizar evaluaciones de aplicaciones de
pago de acuerdo con las PA-DSS.

Normas de Seguridad de la PCI y Normas de Seguridad de Datos para las Aplicaciones de Pago Octubre de 2010
Glosario de trminos, abreviaturas y acrnimosPgina 11

Trmino

Definicin

PAN

Acrnimo de primary account number (nmero de cuenta principal),

tambin denominado nmero de cuenta. Nmero exclusivo de una tarjeta
de pago (en general, de tarjetas de crdito o dbito) que identifica al
emisor y la cuenta especfica del titular de la tarjeta.

Contrasea / frase de
seguridad

Una serie de caracteres que autentican la identidad del usuario.

Ensambladores

En la criptografa, el ensamblador de un solo uso es un algoritmo de

cifrado con texto que se combina con una clave aleatoria o "ensamblador".
Presenta una extensin igual a la del texto simple y puede utilizarse solo
una vez. Asimismo, si la clave es en verdad aleatoria, secreta y de un solo
uso, no ser posible descifrar el ensamblador

Consultas basadas en
parmetros

Un medio de estructuracin de consultas SQL para limitar un escape y, por

lo tanto, impedir ataques de inyeccin.

PAT

Acrnimo de port address translation (traduccin de direccin de puertos)

o traduccin de direccin de puertos de red. Tipo de NAT que adems
traduce nmeros de puertos.

Parche

Actualizacin de un software existente para agregarle funcionalidad o

corregir un defecto.

Aplicacin de pago

Cualquier aplicacin que almacena, procesa o transmite datos de titulares

de tarjetas como parte de autorizacin o liquidacin

Tarjetas de pago

En lo que concierne a las PCI DSS, toda tarjeta de pago o dispositivo que
lleve el logotipo de los miembros fundadores de las PCI SSC: American
Express, Discover Financial Services, JCB International, MasterCard
Worldwide o Visa Inc.

PCI

Acrnimo de Payment Card Industry (Industria de tarjetas de pago).

PDA

Acrnimo de personal data assistant (asistente de datos personal) o

personal digital assistant (asistente digital personal). Dispositivo porttiles
manuales que funcionan como telfonos mviles, redactores de correos
electrnicos y navegadores web.

PED

Acrnimo de "PIN entry device" (dispositivo de entrada de PIN).

Prueba de penetracin

Las pruebas de penetracin tienen como objetivo explotar vulnerabilidades

a fin de determinar la posibilidad de accesos no autorizados u otras
actividades malintencionadas. Las pruebas de penetracin incluyen
pruebas de aplicaciones y redes y controles y procesos de redes y
aplicaciones. Se realizan tanto desde el exterior de la red hacia el interior
(pruebas externas) como en el sentido contrario.

Personal

Empleados de tiempo completo y parcial, empleados temporales, y

contratistas y consultores que residan en las instalaciones de la entidad o
que de alguna otra forma tengan acceso al entorno de datos de titulares de
tarjetas.

Informacin de
identificacin personal

Informacin que se puede utilizar para identificar a una persona

incluyendo, pero sin limitarse a, nombre, direccin, nmero del seguro
social, nmero de telfono, etc.

Normas de Seguridad de la PCI y Normas de Seguridad de Datos para las Aplicaciones de Pago Octubre de 2010
Glosario de trminos, abreviaturas y acrnimosPgina 12

Trmino

Definicin

PIN

Acrnimo de personal identification number (nmero de identificacin

personal). Contrasea numrica secreta que conocen solo el usuario y un
sistema para para autenticar al usuario en el sistema. El usuario tan solo
obtiene acceso si su PIN coincide con el PIN del sistema. Los PIN ms
comunes se utilizan en las transacciones de adelanto de efectivo y las
ATM. Otro tipo de PIN es el que utilizan las tarjetas con chip de tipo EMV,
en las que el PIN reemplaza la firma del titular de la tarjeta.

Bloqueo de PIN

Un bloqueo de datos utilizado para encapsular un PIN durante el

procesamiento. El formato del bloqueo de PIN define el contenido de dicho
bloqueo y cmo se procesa para recuperar el PIN. El bloqueo de PIN
consta del PIN, la longitud de PIN y puede contener un subconjunto del
PAN.

POI

Acrnimo de Point of Interaction (Punto de interaccin), el punto inicial en

que se leen los datos de una tarjeta. Un POI, un producto de transaccinaceptacin electrnica, consta de hardware y software y se hospeda en el
equipo de aceptacin para permitir al titular realizar una transaccin con la
tarjeta. El POI puede estar supervisado o no supervisado. Las
transacciones de POI suelen ser transacciones de pago basadas en tarjeta
con circuito integrado (chip) y/o banda magntica.

Poltica

Normas vigentes para toda la organizacin que reglamentan el uso

aceptable de los recursos informticos, las prcticas de seguridad y el
desarrollo guiado de procedimientos operacionales.

POS

Acrnimo de point of sale (punto de venta). Hardware y/o software que se

utiliza para procesar transacciones con tarjetas de pago en la ubicacin del
comerciante.

Red privada

Red establecida por una organizacin que utiliza un espacio de direccin

IP privado. Generalmente, a las redes privadas se las denomina redes de
rea local. El acceso a redes privadas desde redes pblicas debe estar
protegido adecuadamente mediante firewalls y routers.

Procedimiento

Narracin descriptiva de una poltica. El procedimiento equivale a los

pasos de una poltica y describe cmo debe implementarse una
determinada poltica.

Protocolo

Mtodo acordado de comunicacin utilizado en las redes. Son las

especificaciones que describen las reglas y los procedimientos que deben
seguir los diferentes productos informticos para realizar actividades en
una red.

PTS

Acrnimo de PIN Transaction Security (Seguridad de la transaccin con

PIN), PTS es un conjunto de requisitos de evaluacin modular
administrados por el PCI Security Standards Council, para terminales POI
con aceptacin de PIN. Por favor, consulte www.pcisecuritystandards.org.

Red pblica

Red especficamente implementada y operada por un proveedor de

telecomunicaciones con el propsito de ofrecer al pblico servicios de
transmisin de datos. Los datos que se transfieren por medio de redes
pblicas pueden ser interceptados, modificados y/o redirigidos mientras
estn en trnsito. Algunos de los ejemplos de redes pblicas para las que
rigen las PCI DSS son Internet y las tecnologas mviles e inalmbricas.

PVV

Acrnimo de PIN verification value (valor de verificacin de PIN). Valor

discrecional codificado en la banda magntica de una tarjeta de pago.

Normas de Seguridad de la PCI y Normas de Seguridad de Datos para las Aplicaciones de Pago Octubre de 2010
Glosario de trminos, abreviaturas y acrnimosPgina 13

Trmino

Definicin

QSA

Acrnimo de Qualified Security Assessor (evaluador de seguridad

certificado), empresa autorizada por las PCI SSC para realizar
evaluaciones in situ del cumplimiento de las normas PCI DSS.

RADIUS

Abreviatura de remote authentication and dial-in user service

(autenticacin remota y servicio dial-in del usuario). Sistema de
autenticacin y cuentas. Comprueba que la informacin transferida al
servidor RADIUS, como el nombre de usuario y la contrasea, sea
correcta, para autorizar luego el acceso al sistema. Este mtodo de
autenticacin se puede utilizar con un token, tarjeta inteligente, etc., para
proporcionar autenticacin de dos factores.

RBAC

Acrnimo de role-based access control (control del acceso basado en

funciones). Controles que usuarios especficos autorizados utilizan para
restringir el acceso segn el grado de responsabilidad del cargo.

Acceso remoto

Acceso a redes informticas desde una ubicacin remota, en general

localizada fuera de la red. Las redes VPN constituyen un ejemplo de
tecnologas de acceso remoto.

Medios electrnicos
extrables

Medios capaces de almacenar datos digitalizados fciles de extraer y

transportar de un sistema informtico a otro. Algunos ejemplos incluyen
CD-ROM, DVD-ROM, unidades flash USB y discos locales extrables.

Informe de cumplimiento

Tambin denominado ROC. Informe que describe detalles relacionados

al estado de cumplimiento de las normas PCI DSS por parte de una
entidad.

Informe de validacin

Tambin denominado ROV. Informe que describe detalles relacionados

al cumplimiento de una aplicacin de pago de las normas PCI PA-DSS.

Redigitacin de clave

Proceso que consiste en el cambio de las claves criptogrficas. La

redigitacin peridica de clave limita la cantidad de datos que pueden
cifrarse con una misma clave.

Entorno de laboratorio
remoto

Laboratorio que no es mantenido por el PA-QSA.

Revendedor / integrador

Una entidad que vende y/o integra aplicaciones de pago, pero no las
desarrolla.

RFC 1918

La norma identificada por el grupo de trabajo de ingeniera en Internet

(IETF) que define el uso y la serie de direcciones apropiada para redes
privadas (no ruteables en Internet).

Anlisis de riesgos /
Evaluacin de riesgos

Proceso que identifica los recursos valiosos de un sistema y sus

amenazas; cuantifica la exposicin a prdida (es decir, el potencial de
prdida) segn frecuencias estimadas y costos derivados por siniestros; y,
opcionalmente, recomienda el modo de asignar recursos como medidas
preventivas que minimicen el ndice total de exposicin.

Rootkit

Tipo de software malicioso que, al instalarse sin autorizacin, es capaz de

pasar desapercibido y tomar el control administrativo de un sistema
informtico.

Router

Hardware o software que conecta el trfico entre dos o ms redes Clasifica

e interpreta la informacin mediante la comprobacin de direcciones y
transmisin de bits de datos a los destinos correctos. Algunas veces se
denomina puerta de enlace al software de un router.

Normas de Seguridad de la PCI y Normas de Seguridad de Datos para las Aplicaciones de Pago Octubre de 2010
Glosario de trminos, abreviaturas y acrnimosPgina 14

Trmino

Definicin

RSA

Algoritmo para criptografa asimtrica descripto en 1977 por Ron Rivest,

Adi Shamir y Len Adleman en el MIT (Massachusetts Institute of
Technology). Las letras RSA corresponden a las iniciales de sus nombres.

Sal

Cadena aleatoria que se concatena con otros datos antes de que una
funcin hash la afecte. Consulte tambin Hash.

Muestreo

El proceso de seleccionar una seccin transversal de un grupo que es

representativa de todo el grupo. El muestreo puede ser utilizado por
asesores para reducir esfuerzos de pruebas generales, cuando se ha
validado que en una entidad se han implementado procesos y controles de
seguridad y operativos de las PCI DSS regulares y centralizados. El
muestreo no es un requisito de las PCI DSS.

SANS

Acrnimo de SysAdmin, Audit, Networking and Security (Administracin

de sistemas, auditorias, redes y seguridad), un instituto especialista en
capacitacin en seguridad informtica y certificacin profesional. (Consulte
www.sans.org.)

Alcance

Proceso de identificacin de todos los componentes del sistema, las

personas y los procesos que se incluirn en una evaluacin de las PCI
DSS. El primer paso de una evaluacin de las PCI DSS es determinar con
exactitud el alcance de la revisin.

SDLC

Acrnimo de system development life cycle (ciclo de vida de desarrollo

del sistema). Etapas del desarrollo de un software o sistema informtico
que incluye el planificacin, anlisis, diseo, pruebas e implementacin.

Codificacin segura

El proceso de creacin e implementacin de aplicaciones resistentes a

alteracin y/o exposicin a riesgos.

Limpieza segura

Tambin denominada eliminacin segura, es una utilidad de programa

utilizada para eliminar archivos especficos de un sistema informtico de
manera permanente.

Jefe de seguridad

Primer responsable de asuntos relacionados con la seguridad de una

entidad.

Poltica de seguridad

Conjunto de leyes, reglamentos y prcticas que regulan el modo en una

organizacin administra, protege y distribuye informacin confidencial.

Protocolos de seguridad

Protocolos de comunicaciones de red diseados para asegurar la

transmisin de datos. Algunos protocolos de seguridad son, sin limitarse
a, SSL/TLS, IPSEC, SSH, etc.

SAQ

Acrnimo de Self-Assessment Questionnaire (Cuestionario de

autoevaluacin). Herramienta utilizada por una entidad para validad su
cumplimiento con las PCI DSS.

rea confidencial

Todo centro de datos, sala de servidores o cualquier rea que aloje

sistemas que almacenan, procesen o transmiten datos de titulares de
tarjetas. No se incluyen las reas en las que se encuentran presentes
terminales de punto de venta, tales como el rea de cajas en un comercio.

Datos confidenciales de
autenticacin

Informacin de seguridad (incluyendo, sin limitarse a, cdigos o valores de

validacin de tarjetas, datos completos de banda magntica, PIN y
bloqueos de PIN) utilizada en la autenticacin de titulares de tarjetas que
aparezcan en texto simple u otra forma desprotegida.

Normas de Seguridad de la PCI y Normas de Seguridad de Datos para las Aplicaciones de Pago Octubre de 2010
Glosario de trminos, abreviaturas y acrnimosPgina 15

Trmino

Definicin

Separacin de funciones

Prctica que consiste en dividir los pasos de una funcin entre varias
personas para evitar que un solo individuo pueda arruinar todo el proceso.

Servidor

Computadora que presta servicios a otras computadoras, como el

procesamiento de comunicaciones, almacenamiento de archivos y acceso
a impresoras. Los servidores incluyen entre otros: web, base de datos,
aplicaciones, autenticacin, DNS, correo, proxy y protocolos NTP.

Cdigo de servicio

Cdigo de valor de tres o cuatro dgitos en la banda magntica junto a la

fecha de vencimiento de la tarjeta de pago presente en la pista de datos.
Se utiliza, entre otras cosas, para definir atributos del servicio, diferenciar
entre intercambios nacionales e internacionales e identificar restricciones
de uso.

Proveedor de servicios

Entidad comercial diferente de una marca de pago que est directamente

relacionada al procesamiento, almacenamiento o a la transmisin de los
datos del titular de la tarjeta. Se incluyen tambin empresas que proveen
servicios que controlan o pueden tener injerencia en la seguridad de los
datos del titular de la tarjeta. Algunos ejemplos incluyen proveedores de
servicios administrados que proveen firewalls gestionados, IDS y otros
servicios; proveedores de hosting y otras entidades. Quedan excluidas las
empresas de telecomunicaciones que solo proveen enlaces de
comunicaciones sin acceso a la capa de aplicaciones de este enlace.

SHA-1/SHA-2

Acrnimo de Secure Hash Algorithm (Algoritmo de hashing seguro). Una

familia o conjunto de funciones criptogrficas de ordenamiento
relacionadas, que incluye SHA-1 y SHA-2. Consulte Criptografa slida.

Tarjeta inteligente

Tambin denominada tarjeta con chip o tarjeta IC (tarjeta de circuito

integrado). Un tipo de tarjeta de pago que tiene circuitos integrados
insertos en su interior. Estos circuitos, tambin llamados el chip,
contienen datos de la tarjeta de pago entre los cuales se cuentan los datos
equivalentes a los datos de banda magntica.

SNMP

Acrnimo de Simple Network Management Protocol (Protocolo simple de

administracin de red). Admite la supervisin de dispositivos conectados a
una red dada cualquier condicin que justifique atencin administrativa.

Conocimiento parcial

Condicin en la cual dos o ms entidades separadas poseen componentes

de una clave, pero que, de forma individual, no pueden descifrar la clave
criptogrfica resultante.

Spyware

Tipo de software malicioso que al instalarse intercepta o toma control

parcial de la computadora del usuario sin el consentimiento de este ltimo.

SQL

Acrnimo de Structured Query Language (Lenguaje de consulta

estructurado). Lenguaje informtico utilizado para crear, modificar y
recuperar datos de sistemas de administracin de bases de datos
relacionales.

Inyeccin SQL

Tipo de ataque a sitios web basados en bases de datos. Una persona

malintencionada ejecuta comandos SQL no autorizados aprovechando
cdigos inseguros de un sistema conectado a Internet. Los ataques de
inyeccin SQL se utilizan para robar informacin normalmente no
disponible de una base de datos o para acceder a las computadoras host
de una organizacin mediante la computadora que funciona como servidor
de la base de datos.

Normas de Seguridad de la PCI y Normas de Seguridad de Datos para las Aplicaciones de Pago Octubre de 2010
Glosario de trminos, abreviaturas y acrnimosPgina 16

Trmino

Definicin

SSH

Abreviatura de secure shell. Conjunto de protocolos que proporcionan

cifrado de servicios de red, como inicio de sesin remoto o transferencia
remota de archivos.

SSL

Acrnimo de secure sockets layer (capa de conexin segura). Norma

industrial establecida que cifra el canal entre un navegador web y un
servidor web para garantizar la privacidad y confiabilidad de los datos
transferidos por este canal.

Inspeccin completa

Tambin denominada filtro de paquete dinmico, es un firewall que, al

seguir la ruta de los paquetes de comunicacin, proporciona una seguridad
mejorada. Tan solo los paquetes entrantes con respuestas adecuadas
(conexiones establecidas) pueden atravesar el firewall.

Criptografa slida

Criptografa basada en algoritmos probados y aceptados por la industria,

extensiones de clave slidas y prcticas adecuadas de administracin de
claves. La criptografa es un mtodo de proteccin de datos e incluye tanto
cifrado (reversible) como hashing (no reversible o de un solo uso). Algunos
ejemplos de normas y algoritmos de cifrado probados y aceptados por la
industria incluyen: AES (128 bits y superior), TDES (claves mnimas de
doble extensin), RSA (1024 bits y superior), ECC (160 bits y superior) y
ElGamal (1024 bits y superior).
Para obtener ms informacin, consulte la publicacin especial de NIST
800-57 (http://csrc.nist.gov/publications/).

SysAdmin

Abreviatura de system administrator (administrador de sistemas).

Persona con alto nivel de privilegios responsable de administrar un sistema
informtico o red.

Componentes del
sistema

Todo componente de red, servidor o aplicacin que se incluye en el

entorno de datos del titular de la tarjeta o est conectado a l.

Objeto de nivel de
sistema

Cualquier cosa en un componente del sistema que se requiere para su

operacin, incluyendo, pero sin limitarse a, archivos ejecutables y de
configuracin de la aplicacin, archivos de configuracin del sistema,
bibliotecas estticas y compartidas y DLL, ejecutables del sistema,
controladores de dispositivos y archivos de configuracin de dispositivos, y
componentes de terceros agregados.

TACACS

Acrnimo de terminal access controller access control system (sistema

de control de acceso del controlador de acceso a terminales). Protocolo de
autenticacin remoto que se utiliza generalmente en redes que se
comunican entre un servidor de acceso remoto y un servidor de
autenticacin para determinar los derechos de acceso del usuario a la red.
Este mtodo de autenticacin se puede utilizar con un token, tarjeta
inteligente, etc., para proporcionar autenticacin de dos factores.

TCP

Acrnimo de Transmission Control Protocol (Protocolo de control de

transmisin). Lenguaje comunicativo o protocolo bsico de Internet.

TDES

Acrnimo de Triple Data Encryption Standard (Estndar de cifrado de

datos triple), tambin denominado 3DES o Triple DES. Cifrado por
bloques formado por un cifrado DES repetido tres veces. Consulte
Criptografa slida.

Normas de Seguridad de la PCI y Normas de Seguridad de Datos para las Aplicaciones de Pago Octubre de 2010
Glosario de trminos, abreviaturas y acrnimosPgina 17

Trmino

Definicin

TELNET

Abreviatura de telephone network protocol (Protocolo de redes

telefnicas). En general, se utiliza para proporcionar sesiones de inicio con
lneas comandos orientadas al usuario para dispositivos de red. Las
credenciales del usuario se transmiten en texto simple.

Amenaza

Condicin o actividad capaz de ocasionar que, intencional o

accidentalmente, la informacin o recursos para el procesamiento de la
informacin se pierdan, modifiquen, queden expuestos o vuelvan
inaccesibles; o que sean afectados de algn otro modo en detrimento de la
organizacin.

TLS

Acrnimo de transport layer security (seguridad de capa de transporte).

Diseado para brindar integridad y confidencialidad de datos en la
comunicacin entre dos aplicaciones. TLS es el sucesor de SSL.

Token

Un valor proporcionado por un hardware o software que suele funcionar

con un servidor de autenticacin o VPN to realizar autenticaciones
dinmicas o de dos factores.. Consulte RADIUS, TACACS y VPN.

Datos de transacciones

Datos relacionados a las transacciones con tarjetas de pago electrnico.

Troyano

Tambin denominado caballo de Troya. Una clase de software malicioso

que al instalarse permite al usuario ejecutar funciones normalmente,
mientras los troyanos ejecutan funciones maliciosas sin que l lo sepa.

Truncamiento

Mtodo mediante el cual se elimina definitivamente un segmento de datos

del PAN, con lo cual todo el PAN se vuelve ilegible. El truncamiento se
relaciona con la proteccin del PAN cuando est almacenado en archivos,
bases de datos, etc. Consulte Ocultamiento para proteccin del PAN
cuando aparece en pantallas, recibos impresos, etc.

Red de confianza

Red de una organizacin que la empresa es capaz de controlar o

administrar.

Autenticacin de dos
factores

Mtodo de autenticacin de un usuario mediante la comprobacin de dos o

ms factores. Estos factores incluyen algo que el usuario posee (como un
token de hardware o software), algo que sabe (como una contrasea, frase
de seguridad o PIN) o algo que el usuario es o hace (como las huellas
dactilares y otros elementos biomtricos).

Red no confiable

Red que se encuentra afuera de las redes de una organizacin y que, por
ende, la empresa no puede controlar o administrar.

Virtualizacin

La virtualizacin se refiere a la abstraccin lgica de recursos informticos

a partir de restricciones fsicas. Una abstraccin comn es la denominada
mquina virtual o VM, la cual toma el contenido de una mquina fsica y
permite operar en hardware fsico diferente y/o junto con otras mquinas
virtuales en el mismo hardware fsico. Adems de las VM, la virtualizacin
se puede realizar en muchos otros recursos informticos, incluyendo
aplicaciones, escritorios, redes y almacenamiento.

Hipervisor virtual

Consulte Hipervisor.

Supervisor de mquinas
virtuales (VMM)

El VMM est incluido con el hipervisor y es un software que implementa

abstraccin de hardware de mquinas virtuales. Administra el procesador,
la memoria y otros recursos del sistema para asignar lo que cada sistema
operativo husped requiere.

Normas de Seguridad de la PCI y Normas de Seguridad de Datos para las Aplicaciones de Pago Octubre de 2010
Glosario de trminos, abreviaturas y acrnimosPgina 18

Trmino

Definicin

Mquina virtual

Entorno operativo independiente que se comporta como una computadora

separada. Tambin se conoce como husped, y se ejecuta por encima
de un hipervisor.

Dispositivo virtual (VA)

Un VA toma el concepto de un dispositivo preconfigurado para realizar un

conjunto especfico de funciones y ejecuta este dispositivo como una carga
de trabajo. Generalmente, un dispositivo de red existente se virtualiza para
ejecutarse como un dispositivo virtual, como un router, conmutador o
firewall.

Conmutador virtual o
router

Un conmutador virtual o router es una entidad lgica que presenta

funciones de ruteo y conmutacin de datos a nivel de la infraestructura. Un
conmutador virtual es parte integral de una plataforma de servidores
virtualizada, como un controlador, mdulo o complemento hipervisor.

Terminal virtual

Un terminal virtual es un acceso basado en explorador web para un

adquiriente, procesador o sitio web de proveedor de servicios externos que
permite autorizar transacciones de tarjetas de pago, donde el comerciante
ingresa manualmente datos de tarjetas de pago mediante un explorador
web conectado de forma segura. A diferencia de los terminales fsicos, los
terminales virtuales no leen datos directamente de una tarjeta de pago.
Debido a que las transacciones de tarjetas de pago se ingresan
manualmente, comnmente se utilizan terminales virtuales en lugar de
terminales fsicos en entornos de comercios con bajo volumen de
transacciones.

VLAN

Abreviatura de virtual LAN (LAN virtual) o virtual local area network (red
de rea local virtual). Red de rea local lgica que se extiende ms all de
una sola red fsica de rea local.

VPN

Acrnimo de virtual private network (red privada virtual) Una red

informtica donde algunas conexiones son circuitos virtuales dentro de
redes ms extensas, como Internet, en lugar de conexiones directas por
medio de cables fsicos. Cuando este es caso, los puntos finales de una
red virtual se transmiten a travs de una red mayor. Al contrario de una
aplicacin comn, formada por comunicaciones seguras en la red pblica,
una red VPN puede presentar o no funciones de seguridad, como la
autenticacin y el cifrado de contenidos.
Una VPN se puede utilizar con un token, tarjeta inteligente, etc., para
proporcionar autenticacin de dos factores.

Vulnerabilidad

Error o debilidad que, de llegar a explotarse, puede ocasionar una

exposicin a riesgos del sistema, intencionalmente o no.

WAN

Acrnimo de wide area network (red de rea amplia). Red informtica

que abarca un rea amplia, a menudo parte de un sistema con cobertura
en toda una regin o empresa.

Aplicacin web

Una aplicacin a la que generalmente se accede mediante un explorador

web o a travs de servicios web. Las aplicaciones web pueden estar
disponibles a travs de Internet o en una red privada e interna.

Servidor web

Computadora con un programa capaz de aceptar pedidos HTTP de

clientes web y brindar respuestas HTTP (en general, pginas web).

Normas de Seguridad de la PCI y Normas de Seguridad de Datos para las Aplicaciones de Pago Octubre de 2010
Glosario de trminos, abreviaturas y acrnimosPgina 19

Trmino

Definicin

WEP

Acrnimo de wired equivalent privacy (privacidad equivalente por cable).

Algoritmo dbil utilizado en el cifrado de redes inalmbricas. Expertos de la
industria han informado que la conexin WEP presenta varias debilidades
tan serias que puede descifrarse en minutos utilizando herramientas de
software comunes. Consulte WPA.

Punto de acceso
cmbrico

Tambin denominado AP. Dispositivo que permite a los mecanismos de

comunicacin inalmbrica conectarse a una red inalmbrica. Usualmente
conectado a una red con cable, es capaz de transferir por medio de la red
datos entre dispositivos inalmbricos y con cable.

Redes inalmbricas

Red que conecta computadoras sin necesidad de una conexin fsica de

cables.

WLAN

Acrnimo de wireless local area network (red de rea local inalmbrica).

Red de rea local que se conecta a dos o ms computadoras o
dispositivos sin cables.

WPA/WPA2

Acrnimo de WiFi Protected Access (acceso protegido WiFi). Protocolo

de seguridad creado para asegurar las redes inalmbricas. WPA es la
tecnologa sucesora de WEP. Tambin se lanz WPA2, tecnologa
sucesora de WPA.

Normas de Seguridad de la PCI y Normas de Seguridad de Datos para las Aplicaciones de Pago Octubre de 2010
Glosario de trminos, abreviaturas y acrnimosPgina 20