Calculadora de Costos de Cumplimiento PCI y Guía Práctica

Si sus sistemas están protegidos o completamente abiertos. Si lo hace usted mismo, contrata a un consultor, o delega a un servicio gestionado. Y si alguna vez su personal —alguna vez— introduce datos de tarjetas en un navegador en vez de en una terminal.

Esta calculadora elimina el ruido.

Responda a algunas preguntas sobre su método de cobro y postura de seguridad, y verá los totales para el primer año y costes anuales—además de lo que impulsa esas cifras y cómo reducirlas sin hacer recortes peligrosos.

Cómo utilizar esta calculadora de costes de cumplimiento PCI

La calculadora analiza su entorno de forma sistemática:

1. Elija cómo acepta pagos. ¿Solo en tienda, solo en línea, o ambos? Cada canal añade diferentes labores de cumplimiento: el comercio electrónico crea requisitos de escaneo, el comercio minorista implica gestión de dispositivos y el canal omnicanal implica ambos.
2. Ingrese ubicaciones y terminales. Más tiendas y dispositivos POS significan más políticas por escribir, más puntos que asegurar y más gestión de dispositivos. La calculadora lo considera automáticamente.
3. Seleccione su volumen mensual de tarjetas. Un mayor volumen de transacciones no multiplica los costes de manera lineal, pero sí afecta los requisitos de auditoría y el escrutinio del procesador. La calculadora lo ajusta en consecuencia.
4. Ajuste la configuración opcional. Elija el nivel de protección de sus sistemas (Básico, Moderado o Avanzado). Seleccione quién gestionará el cumplimiento: usted mismo, con ayuda de un consultor, o totalmente gestionado. Indique si el personal introduce tarjetas en navegadores y si las terminales utilizan P2PE validado. Estas opciones pueden modificar significativamente el coste total.
5. Vea su estimación. Obtenga los costes del primer año (incluido el montaje) y los costes anuales continuos. El desglose muestra qué impulsa el total, para que pueda corregir lo más costoso.

Qué factores realmente determinan los costes de cumplimiento PCI

Algunos factores controlan la mayor parte de la factura. Compréndalos y podrá tomar mejores decisiones antes de firmar contratos.

• Flujo de pagos y arquitectura. ¿Pago alojado donde su sitio nunca toca los datos de la tarjeta? Alcance mínimo, coste mínimo. ¿Sistemas POS presenciales en una red corporativa plana? Máximo alcance, máxima inversión. ¿Terminales validados con P2PE que cifran los datos de la tarjeta desde el punto de entrada? Algo intermedio, pero mucho más cercano al coste mínimo.
• Número de ubicaciones y terminales. Cada tienda necesita políticas, formación para el personal y, potencialmente, escaneos por separado. Cada terminal requiere gestión de dispositivos, estándares de configuración y parches de seguridad. Cinco ubicaciones con 20 terminales cuestan más que una ubicación con cinco terminales, pero no proporcionalmente más si se gestiona inteligentemente.
• Madurez de la seguridad. ¿Sistemas ya protegidos con redes segmentadas, gestión de parches, controles de acceso y políticas documentadas? Costes más bajos porque hay menos por corregir. ¿Redes abiertas donde el POS comparte infraestructura con WiFi, dispositivos de invitados y estaciones administrativas? Costes más altos porque hay que construir todo desde cero.
• Autogestión versus servicios gestionados. Los consultores cuestan dinero. El método DIY cuesta tiempo. La pregunta no es cuál es más barato, sino cuál cumple los plazos. Si cuenta con un equipo de IT que sabe segmentar redes y hacer escaneos de vulnerabilidades, el método DIY funciona. Si son dos personas operando 15 tiendas, pague a alguien. La calculadora le permite comparar ambas opciones.
• Personas y procesos. Lo más caro que puede hacer es permitir que el personal introduzca tarjetas en navegadores, aunque sea de vez en cuando. Que un encargado de tienda escriba datos de tarjetas en una terminal virtual desde un portátil no seguro hace que el alcance se amplíe de unas pocas terminales a todos los dispositivos de su red. Corrija antes el flujo de trabajo y luego presupueste el cumplimiento.

Cómo convertir esta estimación en acciones concretas

Empiece por el coste hoy.

Utilice la calculadora con su configuración actual, con todos sus defectos. ¿Su personal introduce manualmente tarjetas en navegadores? Márquelo. ¿Red plana? Elija "Básico" en seguridad. ¿DIY? Selecciónelo. Ese es su punto de partida.

Compare frente al riesgo de brecha.

Una brecha de datos cuesta en promedio $200 por tarjeta comprometida en conceptos de forenses, notificación, reemisión y daño a la marca, según estimados de la industria.

Si procesa 1,000 tarjetas al mes y sufre una brecha, eso equivale a $200,000 de exposición. De repente un programa de cumplimiento anual de $10,000 parece barato.

Modele la versión optimizada.

Ahora ejecuta el calculador nuevamente con terminales P2PE, checkout alojado para comercio electrónico y redes segmentadas.

¿Ves la diferencia? Ese es tu mapa de ruta. Si actualizar a P2PE ahorra $15,000 anuales en costes de cumplimiento, se paga solo rápidamente.

Ten en cuenta las penalizaciones del procesador.

Muchos procesadores cobran tarifas de no cumplimiento —de $50 a $200 por mes hasta que completes tu SAQ y certificación. Solo esas tarifas pueden cubrir el costo de un consultor o un servicio gestionado.

Nuestra guía sobre cumplimiento PCI para pequeñas empresas desglosa las estructuras de penalización según el tipo de procesador.

Relaciona con tu SAQ.

Si el calculador muestra costes altos y te sorprende, revisa con qué SAQ cumples usando nuestro quiz de SAQ PCI. Si estás atascado con SAQ D (la bestia de 329 preguntas), el calculador muestra por qué—y cómo pasar a un SAQ más sencillo reduciendo el alcance.

Formas Concretas de Reducir el Costo Total Sin Recortar Esquinas

• Utiliza sistemas alojados para ecommerce. Mantén los datos de tarjeta completamente fuera de tu sitio web. Usa páginas de checkout alojadas, iframes o campos de pago servidos por tu pasarela—no tu CMS. Esto te pasa de SAQ A-EP o D a SAQ A, reduciendo los costes anuales en miles.
• Despliega terminales validados para P2PE. El cifrado punto a punto significa que los datos de la tarjeta se cifran en el terminal y permanecen cifrados hasta que tu procesador los descifra. Sin datos de tarjetas en texto plano en tu entorno, menos alcance, menos controles, auditorías más cortas. Pregunta a tu procesador por opciones P2PE—el coste del terminal se recupera rápidamente.
• Segmenta tus redes. El TPV y los terminales de pago no deben compartir la infraestructura de red con WiFi, dispositivos de administración o acceso de invitados. Un VLAN segmentado para los sistemas de pago reduce tu CDE (entorno de datos de titulares de tarjetas) de toda tu red solo a la subred de pagos. Este solo cambio puede reducir el trabajo de cumplimiento en un 60%.
• Automatiza los escaneos y parches. Para la mayoría de los SAQs se requieren escaneos de vulnerabilidades trimestrales. Los escaneos mensuales son aún mejores—detectan problemas antes de que se conviertan en banderas de auditoría. La gestión automática de parches mantiene los sistemas actualizados sin carreras. Ambos reducen sorpresas durante los ciclos de cumplimiento.
• Documenta todo desde el primer día. Políticas, registros de formación, registros de cambios e inventarios. Si no está documentado, no sucedió—y los auditores te harán rehacer el trabajo. Escríbelo a medida que lo haces, en vez de correr antes de la validación anual.
• Forma al personal en el porqué, no solo en el qué. "No apuntes los números de tarjeta" es una regla. "Escribir los números de tarjeta implica que están dentro del alcance, lo que triplica nuestros costes de cumplimiento y nos expone a responsabilidad por brechas" es una razón. El personal formado en los motivos cumple las políticas—el que entiende el porqué hace que se cumplan.
• Protege los terminales virtuales. Si tu equipo usa terminales virtuales (entrada web de tarjetas), restringe el acceso a dispositivos específicos, usa autenticación multifactor y registra cada sesión. Mejor aún, elimina los terminales virtuales por completo instalando terminales físicos en cada punto que necesite aceptar pagos.

Cuándo Hacerlo Tú Mismo y Cuándo Contratar Ayuda

El bricolaje funciona cuando:

• Tienes menos de cinco locales y un volumen de transacciones bajo
• Tu equipo de TI entiende la segmentación de red, escaneos de vulnerabilidad y controles de acceso
• Ya utilizas checkout alojado o terminales P2PE (alcance mínimo)
• Tienes tiempo para aprender los requisitos PCI y documentar todo

Contrata un consultor cuando:

• Estás estancado con SAQ D y no sabes cómo reducir el alcance
• Tienes entornos complejos—retail multilocalización con sistemas centralizados
• Tu equipo de TI está saturado y no puede asumir trabajo de cumplimiento
• Necesitas que alguien traduzca los requisitos PCI en soluciones técnicas concretas

Pasa a gestionado completamente cuando:

• No tienes equipo TI interno más allá del soporte básico
• Estás creciendo rápido y el cumplimiento siempre falla
• Los números cuadran—los servicios gestionados cuestan menos que el tiempo de tu equipo más honorarios de consultores
• Deseas validación anual garantizada sin gestión de proyectos interna

El calculador te permite simular los tres enfoques. Compara los números y decide según la capacidad de tu equipo—no solo el coste en dólares.

El Costo Oculto: Hacerlo Mal

El calculador muestra los costes directos—herramientas, servicios, tiempo. No muestra el coste de hacer mal el cumplimiento PCI.

• Costos de una brecha. El promedio es de $200 por tarjeta según estimaciones de la industria. Pequeños comercios que procesan 500 tarjetas al mes enfrentan una exposición de $100,000 ante una brecha total: investigación forense, notificación, reemisión de tarjetas, honorarios legales y daño a la marca.
• Sanciones del procesador. Las tarifas por incumplimiento de $50 a $200 al mes suman $2,400 al año. Eso es un consultor. Esos son terminales P2PE. Eso es un servicio gestionado. De cualquier forma estás pagando—mejor paga por el cumplimiento en vez de por penalizaciones.
• Auditorías fallidas. Si tu procesador requiere un Reporte de Cumplimiento (ROC, por sus siglas en inglés) en lugar de una autoevaluación y fallas, te enfrentas a costos de remediación más otro ciclo de auditoría. El presupuesto se dispara. Los proyectos se retrasan. Los equipos se estresan.
• Aumento del alcance por atajos. ¿Aquella vez que permitiste que un gerente digitara una tarjeta en una laptop sin control? Felicidades, el alcance de tu cumplimiento acaba de crecer de tres terminales a todos los dispositivos en tu red. El coste de corregirlo es 10 veces mayor que el coste de desplegar un terminal más.
• Calcula la cifra real—y actúa. Usa esta herramienta para entender los costos. Luego usa nuestro Cuestionario PCI SAQ para confirmar tu tipo de SAQ y nuestra guía de cumplimiento PCI para pequeñas empresas para diseñar tu hoja de ruta.

¿Qué hacer si tu cifra es mayor de lo esperado?

Si la calculadora muestra costos que no esperabas, no entres en pánico. Tienes opciones.

• Valida primero tu SAQ.

Usa nuestro Cuestionario PCI SAQ para confirmar que estás completando el formulario correcto.

Muchas empresas asumen que son SAQ D cuando podrían calificar para B o C con cambios menores. Moverse a un SAQ más simple reduce los costos de inmediato.

• Concéntrate en cambios de arquitectura.

Cambiar de páginas de pago alojadas en tus propios servidores a pago alojado puede reducir los costos anuales en más de $10,000.

Desplegar terminales P2PE en lugar de terminales estándar ahorra trabajo continuo de escaneo y auditoría. No son curitas—son reducciones de costos permanentes.

• Divide el trabajo en fases.

No tienes que solucionar todo al mismo tiempo.

Comienza con los cambios de mayor impacto—segmentación de red, despliegue de P2PE, pago alojado—y luego aborda políticas y documentación. La calculadora muestra los costos totales, pero puedes repartir el trabajo en varios trimestres.

• Compara tus proveedores.

Los gateways de pago varían mucho en la carga PCI que generan.

Algunos se encargan del cumplimiento por ti. Otros te lo dejan todo a ti. Nuestra comparativa de los mejores proveedores de gateway de pago incluye consideraciones PCI—porque el gateway más barato no es barato si triplica tus costos de cumplimiento.

• Solicita cotizaciones competitivas.

Si la calculadora sugiere que necesitas ayuda, solicita presupuestos de varios QSAs (Evaluadores de Seguridad Calificados) o proveedores de servicios gestionados.

El precio puede variar hasta 3 veces entre proveedores para el mismo trabajo. Compáralos.