Su empresa quizá no sea tecnológica, pero sus pagos ya lo son

Una empresa no necesita considerarse tecnológica para depender de tecnología.

Una agencia de viajes cobra con una terminal en su oficina, envía enlaces de pago a ciertos clientes y recibe reservaciones por teléfono. Una escuela acepta colegiaturas mediante su portal. Una asociación civil recibe donativos con tarjeta. Un comercio vende en mostrador y también por internet. Ninguna de estas organizaciones se presenta necesariamente como una empresa tecnológica.

Sin embargo, cada cobro puede depender de dispositivos, páginas web, aplicaciones, redes y empresas externas. También puede involucrar a empleados que ven una pantalla, atienden una llamada, capturan información o resuelven una operación rechazada. Lo que para la dirección parece un acto sencillo —cobrar— en realidad forma parte de un recorrido tecnológico.

La pregunta ya no es si la empresa quiere participar en una economía digital distinta de la economía cotidiana. La tecnología ya está dentro de la forma en que vende, cobra y se relaciona con sus clientes. La pregunta es otra: ¿comprende la organización cómo funcionan sus pagos y qué necesita hacer para protegerlos?

El dinero cambió y la seguridad debe seguirle el paso

La transformación no es abstracta. En México, Banco de México informó que, entre 2015 y 2025, el volumen de operaciones realizadas mediante terminales punto de venta creció en promedio 16.9 % anual. Para marzo de 2025 existían 6.7 millones de terminales operadas por adquirentes bancarios, no bancarios y agregadores.

El comercio electrónico avanzó todavía más rápido: entre 2016 y 2025, las operaciones con tarjeta en este canal crecieron en promedio 45.7 % anual en volumen y 32.1 % en monto real. Estos datos no describen una práctica futura ni reservada para grandes compañías. Describen la infraestructura con la que ya operan comercios, escuelas, organizaciones, agencias y prestadores de servicios.

El dinero cambió. La seguridad de los negocios debe seguirle el paso.

Aceptar tarjetas permite vender a distancia, automatizar cobros, facilitar renovaciones, recibir donativos y abrir nuevos mercados. Pero cada nueva modalidad también incorpora decisiones: qué proveedor contratar, qué información puede recibir el personal, qué dispositivos se utilizan, qué ocurre con los comprobantes, quién actualiza el sitio web y cómo se responde ante un incidente.

Detrás de cada pago existe un recorrido

Una transacción no sucede únicamente dentro de una terminal ni desaparece en el momento en que aparece la leyenda «aprobada». Dependiendo del canal, pueden intervenir el cliente, los datos de su tarjeta, el empleado que atiende, un dispositivo, una red, un sistema interno, una página web, una pasarela, un procesador, un agregador y un banco adquirente.

En una operación normal, los datos podrían aparecer en lugares que la dirección no ha relacionado con el pago: una libreta donde alguien anota información durante una llamada, una conversación de mensajería, una grabación, un correo, una captura de pantalla, un reporte descargado o una computadora utilizada para entrar a una terminal virtual.

No todos esos escenarios existen en todas las empresas. Precisamente por eso el primer trabajo no consiste en adoptar una lista genérica de controles, sino en reconstruir el recorrido real del pago: por dónde entra, quién puede verlo, qué sistemas toca, quién lo procesa y qué información permanece después.

Comprender los pagos es el primer paso para protegerlos.

Cuando ese recorrido no se conoce, la organización puede proteger muy bien aquello que supone importante y dejar desatendido el punto donde realmente existe exposición. También puede elegir un cuestionario que no corresponde a su operación, responder con base en lo que hace el proveedor y no en lo que hace la empresa, o afirmar que mantiene una práctica que en realidad nadie ha asignado ni documentado.

La tecnología puede delegarse; la responsabilidad, no completamente

Contratar una terminal, una pasarela o una plataforma especializada suele ser una buena decisión. Un proveedor adecuado puede reducir de manera importante la exposición de la empresa y simplificar el esfuerzo necesario para cumplir. Sin embargo, tercerizar el procesamiento no equivale a dejar de tener responsabilidades.

El PCI Security Standards Council aclara que, aun cuando un comercio externaliza todo el procesamiento y no almacena, procesa ni transmite directamente datos de tarjeta, debe asegurarse de que el proveedor sea conforme para los servicios prestados, mantener acuerdos que definan responsabilidades, revisar periódicamente el estado de cumplimiento del tercero y comprender cualquier responsabilidad compartida.

Esto exige algo más que preguntar: «¿mi proveedor cumple PCI DSS?». La empresa necesita saber qué servicio contrató, qué parte del pago realiza el tercero, qué actividades permanecen dentro del negocio y qué evidencia puede obtener para sustentar esa relación.

Usar tecnología de terceros puede reducir el alcance; no sustituye la comprensión de la propia operación.

Por qué PCI DSS parece tan distante

Para muchas PyMEs, PCI DSS aparece por primera vez como una solicitud inesperada: el banco, un cliente, una marca, un socio comercial o un adquirente pide un SAQ, una constancia o evidencia de cumplimiento. La empresa recibe documentos extensos, términos especializados y varios cuestionarios posibles, pero pocas indicaciones para relacionarlos con su operación cotidiana.

Esa distancia es real. Una organización pequeña quizá no tenga un área de seguridad, un responsable dedicado al cumplimiento ni personal acostumbrado a interpretar normas técnicas. Las mismas personas que administran, venden, atienden clientes o coordinan proveedores deben descubrir además qué les corresponde hacer.

Pero de esa dificultad no se desprende que PCI DSS esté reservado para grandes corporaciones. El propio PCI SSC señala que el estándar incluye a los comercios sin importar su tamaño o volumen de transacciones, y también reconoce que los pequeños negocios suelen tener entornos más sencillos, con menos sistemas y menos datos que proteger. Esa sencillez puede reducir el esfuerzo de cumplimiento. La obligación concreta de validar y reportar el cumplimiento debe confirmarse con el adquirente o la marca de pago correspondiente.

La clave no consiste en simplificar artificialmente el estándar ni en contestar por la empresa. Consiste en traducir los requisitos aplicables a su realidad: decisiones, responsables, tareas, evidencias y prácticas que puedan sostenerse.

Lo que PCI DSS realmente propone

PCI DSS es una base común de requisitos técnicos y operativos diseñada para proteger los datos de las cuentas de pago. Se dirige no sólo a quienes almacenan, procesan o transmiten datos de tarjeta, sino también a organizaciones y sistemas que pueden afectar la seguridad del entorno donde esos datos se manejan.

Visto únicamente como un cuestionario anual, el estándar parece una acumulación de preguntas. Visto desde la operación, propone un orden lógico: conocer dónde existen datos de pago, reducir su exposición, proteger sistemas y dispositivos, controlar accesos, trabajar adecuadamente con terceros, detectar problemas, asignar responsabilidades y conservar evidencia de lo que la organización hace.

Ese cambio de perspectiva es decisivo. Una respuesta afirmativa en un SAQ no crea el control que declara; sólo tiene valor cuando corresponde con una práctica real. Del mismo modo, reunir documentos sin conectarlos con la operación puede producir una apariencia de cumplimiento, pero no una capacidad efectiva de seguridad.

PCI DSS tampoco garantiza que nunca ocurrirá un ataque o un incidente. Su valor consiste en establecer una base consistente para reducir riesgos, proteger mejor la información y demostrar que los controles aplicables fueron comprendidos, implementados y mantenidos.

La seguridad de los pagos es una decisión empresarial

Los pagos suelen asignarse a finanzas o a tecnología, pero su protección atraviesa a toda la organización. Dirección autoriza proveedores y recursos. Operaciones define procedimientos. Recursos humanos incorpora responsabilidades y capacitación. Atención al cliente decide qué puede recibirse por teléfono o mensajería. Comercio electrónico administra el sitio. Compras formaliza contratos y obtiene documentación de terceros.

Por eso PCI DSS no debería permanecer como una tarea que alguien resuelve una vez al año frente a un formulario. La dirección necesita asegurar que existe una visión completa de los canales de pago, que las responsabilidades tienen dueño y que los controles no desaparecen después de enviar la declaración.

Una pregunta sencilla permite medir esa preparación: si mañana ocurriera un incidente relacionado con datos de tarjeta, ¿la empresa sabría qué personas, sistemas, proveedores y procedimientos estuvieron involucrados?

Si la respuesta no es clara, el problema no se limita al área de TI. Es una brecha de conocimiento y coordinación empresarial.

El primer paso no es contestar un cuestionario

Antes de determinar qué SAQ corresponde o comenzar a responderlo, una empresa necesita construir una imagen confiable de su operación. Cinco preguntas permiten iniciar ese trabajo:

1. ¿Por qué canales recibe pagos con tarjeta?
2. ¿En algún momento una persona puede ver, escuchar, escribir o recibir los datos?
3. ¿Qué dispositivos, páginas, aplicaciones, redes o sistemas intervienen?
4. ¿Qué proveedores participan y qué función realiza cada uno?
5. ¿Quién dentro de la empresa supervisa la seguridad y continuidad de esta operación?

Las respuestas no determinan por sí solas toda la ruta PCI DSS, pero revelan la forma real del entorno de pagos. También permiten detectar contradicciones frecuentes: un canal que nadie había incluido, un proveedor cuya responsabilidad no está documentada, una práctica informal del personal o un sistema que se creía ajeno a la transacción.

Operar hoy exige comprender y proteger los pagos

Su empresa quizá no fabrique tecnología ni venda servicios digitales. Pero si acepta tarjetas, una parte crítica de su operación ya depende de sistemas, dispositivos y proveedores tecnológicos. Comprender ese entorno no requiere convertir a la dirección en especialista. Requiere comenzar con las preguntas correctas, asignar responsabilidades y seguir una ruta ordenada.

Que nadie haya solicitado todavía una declaración de cumplimiento no significa que la organización esté protegida. Tampoco significa que deba vivir bajo una amenaza permanente. Significa que tiene la oportunidad de fortalecer hoy una capacidad que ya necesita para operar: conocer cómo cobra, reducir exposiciones innecesarias y sostener prácticas que protejan a sus clientes y a su propio negocio.

PCI DSS puede proporcionar esa ruta. Entavira ayuda a convertirla en comprensión, implementación, evidencia y seguimiento relacionados con la realidad de cada organización.

Identifique su ruta PCI DSS

Responda algunas preguntas sobre cómo recibe pagos su organización, qué canales utiliza y qué proveedores intervienen. Obtenga una orientación inicial sobre su punto de partida y la ruta que podría corresponderle.

La orientación inicial debe confirmarse con la operación real y con los requerimientos de la entidad que solicita la validación.