Hola, @VladislavLysov Bienvenido.
Me temo que necesitarás un poco más específico; Parece que hay una ligera diferencia entre almacenar y transmitir detalles. Algunos datos deben nunca almacenarse, incluso en forma cifrada, como el elemento 3.2.3, que dice: "No almacene el número de identificación personal (PIN) ni el bloque de PIN cifrado".
Retrocediendo un paso, Requisito 3: Proteger los datos almacenados del titular de la tarjeta
3.1 - Keep cardholder data storage to a minimum by implementing data retention and disposal policies, procedures and processes, as follows.
3.2 - Do not store snsitive authentication data after authorization (even if encrypted).
Los datos sensibles en este contexto son:
- Valor de verificación de la tarjeta
- PIN o el Bloqueo de PIN encriptado
-
El contenido completo de la banda magnética
Con respecto a la banda magnética, la propia PCI dice que en "el curso normal de los negocios, es posible que se deban conservar los siguientes elementos de datos de la banda magnética:
- Nombre del titular de la tarjeta
- Número de cuenta principal (PAN)
- Fecha de caducidad
- Código de servicio "
Finalmente,
3.3 - Mask PAN when displayed (the first six and last four digits are the maximum number of digits to be displayed).
Para resumir y (con suerte) responder a sus preguntas, 1) En mi opinión, toda la comunicación debe hacerse de manera encriptada 2) ninguna de las Los elementos de los tres puntos deben ser almacenados, ni encriptados ni enmascarados. Lo que mencionó sobre el enmascaramiento se refiere al almacenamiento de los PAN, que no debería ser visible para nadie más, aparte de los pocos usuarios que tienen derecho a verlo para poder realizar su trabajo. En los casos en que se muestra el PAN, por ejemplo, para el usuario, entonces es cuando debe enmascararlo para no mostrar el número entero. Los CVV, los PIN nunca deben almacenarse en ningún lugar, incluidos los registros que mencionó. Puede almacenar (por no más de lo necesario) algunos de los contenidos de la banda magnética, que deben estar encriptados. También puede almacenar los PAN, pero nuevamente deben estar ocultos en los registros generales y al presentarlos a los usuarios.