Protección de datos de tarjetas: ¿su empresa está cumpliendo con PCI DSS?
- 30 julio, 2026
- 5 minutos de lectura
- Redactado por: Scube, S.A.
Cada vez que un cliente paga con tarjeta en su negocio — en la caja, en su sitio web, por teléfono o mediante un enlace de pago — le está entregando algo más que dinero: le está confiando datos que, en las manos equivocadas, se convierten en fraude. El número de tarjeta, la fecha de vencimiento, el código de seguridad. Información que los delincuentes compran, venden y explotan a escala industrial. Para las empresas de Guatemala y El Salvador, la protección de datos de tarjetas ya no es un tema exclusivo de la banca: es una responsabilidad directa de todo negocio que cobra con tarjeta.
32%
de las organizaciones en Latinoamérica reconoce no contar con herramientas que le permitan confirmar que no ha sufrido un incidente de seguridad.
Es decir: una de cada tres empresas no sabría decirle si los datos de sus clientes están a salvo. Simplemente no puede verlo.
Su empresa maneja datos de tarjetas aunque no se considere "del sector financiero"
Cuando se habla de proteger datos de pago, muchas gerencias piensan que el tema le corresponde a los bancos. Es un error costoso. Si su organización acepta, procesa, transmite o almacena datos de tarjetas, directamente o a través de terceros, esos datos son su responsabilidad. Eso incluye a más empresas de las que parece:
Comercios y retail, donde las terminales de punto de venta y los sistemas de facturación tocan datos de tarjeta todos los días. Empresas con e-commerce, cuyo sitio web captura o redirige información de pago. Financieras y aseguradoras, que cobran primas y cuotas recurrentes con cargos automáticos. Universidades, que reciben colegiaturas en línea. Hospitales y clínicas, que procesan pagos de pacientes. Hoteles y restaurantes, donde la tarjeta del cliente pasa por múltiples manos y sistemas. En mercados como el guatemalteco y el salvadoreño, donde el pago con tarjeta y el comercio electrónico crecen año con año, esta lista se amplía con cada negocio que se digitaliza.
En todos estos casos aplica el mismo principio: el cliente le confió su tarjeta a usted, no a su proveedor tecnológico. Si esos datos se fugan desde su entorno, la reputación que se daña es la suya.
Lo que realmente pasa cuando los datos de tarjetas se fugan
Una fuga de datos de pago no es un evento abstracto de “ciberseguridad”. Es una cadena de consecuencias muy concreta:
Fraude inmediato contra sus clientes
Los datos robados se venden en mercados clandestinos y se usan para compras fraudulentas en cuestión de horas. Sus clientes verán cargos que no hicieron — y lo primero que recordarán es dónde usaron esa tarjeta.
El banco y el adquirente le pasan la factura
Las marcas de tarjetas y los bancos adquirentes tienen mecanismos contractuales para trasladar al comercio los costos de un compromiso de datos: multas, costos de investigación forense, reemisión de tarjetas afectadas y aumento de tarifas. En casos graves, pueden suspender la capacidad del negocio de aceptar tarjetas — que para un e-commerce equivale a cerrar la caja registradora.
El costo operativo de recuperarse
$1.65 millones USD
fue el costo promedio de recuperación de un ataque de ransomware en el sector retail a nivel global — sin contar rescate alguno. Los factores que más contribuyeron a ser víctima: brechas de seguridad que la organización desconocía tener (46%) y falta de conocimiento especializado (45%), la tasa más alta de todos los sectores encuestados.
La pérdida silenciosa: la confianza
Las multas se pagan una vez. La desconfianza del cliente que vio un cargo fraudulento después de comprarle a usted se queda. Y en mercados pequeños y conectados como Guatemala, El Salvador y el resto de Centroamérica, donde la reputación viaja rápido, ese daño es el más difícil de revertir.
Los errores más comunes (y más evitables)
Después de evaluar entornos de pago en distintas industrias, los hallazgos se repiten con una frecuencia sorprendente:
Almacenar lo que nunca debió guardarse
Números completos de tarjeta en hojas de Excel del área de cobros, en correos electrónicos, en grabaciones de llamadas o en bases de datos sin cifrar. El dato más buscado por un atacante, guardado en el lugar menos protegido. Hay una regla de oro en seguridad de pagos: el dato que no se almacena no se puede robar.
Confiar en que "el proveedor se encarga"
Pasarelas de pago, software de facturación, agencias que administran el sitio web. Tercerizar el procesamiento reduce el riesgo, pero no lo elimina ni transfiere la responsabilidad: una integración mal hecha o un formulario de pago alterado en su sitio puede capturar tarjetas sin que nadie lo note durante meses.
Vulnerabilidades conocidas sin corregir
No hace falta un ataque sofisticado cuando la puerta está abierta. La explotación de vulnerabilidades se convirtió en el principal vector de acceso inicial, presente en el 31% de las brechas de datos analizadas, mientras el tiempo mediano que tardan las organizaciones en aplicar parches subió de 32 a 43 días. (Fuente: Tenable Research, análisis de los hallazgos del Verizon Data Breach Investigations Report 2026 — tenable.com/blog/key-findings-from-the-verizon-dbir-2026)
Nunca haberse puesto a prueba
Una de cada cuatro empresas de la región jamás ha realizado una prueba de penetración. (Fuente: ESET Latinoamérica, ESET Security Report 2025, sección de prácticas de gestión de seguridad) Es decir: nunca ha verificado, con la mirada de un atacante, si sus defensas resisten. La primera "prueba" de muchos entornos de pago la hace el delincuente real.
Accesos sin control
Cuentas compartidas en el sistema de facturación, ex-empleados con credenciales activas, administradores sin autenticación multifactor. Microsoft, con base en datos reales de ataques sobre su plataforma de identidad, estima que la autenticación multifactor reduce el riesgo de compromiso de cuentas en 99.2%. (Fuente: Microsoft, Digital Defense Report 2023, sección de efectividad de MFA — microsoft.com/en-us/security/security-insider/threat-landscape/microsoft-digital-defense-report-2023) Es uno de los controles más baratos que existen — y uno de los más ausentes.
PCI DSS: el estándar que ordena todo esto
Estos controles no son una lista improvisada. Existe un estándar internacional que los organiza: PCI DSS (Payment Card Industry Data Security Standard), el conjunto de requisitos de seguridad definido por las principales marcas de tarjetas del mundo para toda organización que maneje datos de pago.
Dos cosas que toda gerencia debe saber sobre PCI DSS:
No es opcional
No es una ley local, pero sí una obligación contractual: al firmar con su banco adquirente para aceptar tarjetas, su empresa se comprometió a cumplirlo, lo sepa o no. El nivel de exigencia varía según el volumen de transacciones, pero ningún negocio que acepte tarjetas está fuera del alcance.
No es (solo) un trámite
Visto correctamente, PCI DSS es una hoja de ruta probada para proteger el activo más sensible que su empresa toca a diario. Sus requisitos cubren exactamente los errores descritos arriba: no almacenar datos prohibidos, cifrar lo que sí se almacena, segmentar las redes donde viven los datos de pago, controlar y monitorear accesos, gestionar vulnerabilidades de forma continua y validar las defensas mediante escaneos y pruebas de penetración periódicas.
PCI DSS aplica igual en Guatemala y en El Salvador
El estándar no depende de la legislación de cada país: es una obligación contractual con las marcas de tarjetas que rige por igual para una empresa en Ciudad de Guatemala, en San Salvador o en cualquier otro punto de la región. Un comercio salvadoreño con e-commerce y una financiera guatemalteca con cobros recurrentes responden ante los mismos requisitos. Por eso conviene abordarlo como un programa regional y no como un trámite aislado por sucursal.
¿Por dónde empezar?
Si su empresa acepta pagos con tarjeta, lleve estas tres preguntas a su próxima reunión de gerencia:
¿Sabemos dónde viven los datos de tarjetas en nuestra organización?
Sistemas, archivos, correos, terceros. Si nadie puede responder con un inventario claro, ese es el punto de partida: no se puede proteger lo que no se ha mapeado.
¿Cuándo fue la última vez que alguien intentó vulnerarnos — con nuestro permiso?
Una prueba de penetración sobre el entorno de pago y un programa de gestión de vulnerabilidades que escanee, priorice y corrija de forma continua son la diferencia entre descubrir las brechas usted o que las descubra un atacante.
¿Qué responderíamos si nuestro banco nos pidiera mañana evidencia de cumplimiento PCI DSS?
Si la respuesta es silencio, su empresa está acumulando un riesgo contractual y financiero que crece con cada transacción.
Proteger los pagos es proteger el negocio
Los datos de tarjetas son de los pocos activos que combinan tres características peligrosas: tienen valor inmediato para el delincuente, fluyen todos los días por múltiples sistemas y personas, y su compromiso golpea simultáneamente las finanzas, la operación y la reputación de la empresa.
La buena noticia es que protegerlos no requiere reinventar nada: requiere mapear dónde están, eliminar lo que no debe guardarse, cerrar las vulnerabilidades conocidas, controlar quién accede y ponerse a prueba con regularidad. Exactamente lo que un programa serio de seguridad de pagos — alineado a PCI DSS — establece.
Asegure el entorno de pagos de su empresa
En Scube ayudamos a comercios, financieras, aseguradoras, instituciones y empresas de Guatemala, El Salvador y Centroamérica a proteger sus entornos de pago: diagnóstico de cumplimiento PCI DSS, pruebas de penetración sobre el entorno de tarjetas y gestión continua de vulnerabilidades.
Suscríbete a nuestro newsletter
Sé el primero en recibir noticias, alertas y contenido clave sobre ciberseguridad. Descubre cómo en Scube ayudamos a las empresas a proteger sus activos digitales.