Este artículo trata sobre la ampliación del valor del IIN, y las implicaciones que esto conlleva para el cumplimiento con el estándar PCI DSS en sus versiones v3.2.1 y v4.0. A lo largo de estos últimos meses, las marcas de pago han ido modulando su posicionamiento original. Además, el PCI SSC ha publicado la nueva versión de PCI DSS, la 4.0, y también ha actualizado el contenido de varias FAQ utilizadas como referencia. Por todo ello, ha sido necesario crear un nuevo artículo que se adapte a la realidad actual.
Antes de entrar en el tema de fondo, es necesario hacer una pequeña introducción con el fin de explicar las partes que conforman el Primary Account Number (PAN), o Número de Cuenta Primario.
El formato del número de identificación del emisor (IIN), y el del número de cuenta primario (PAN), se regula por la norma internacional ISO/IEC 7812:2017. La primera publicación de esta norma se remonta a 1985, y desde entonces se han producido varias actualizaciones. Actualmente, se compone de dos partes:
Hasta ahora, los números IIN tenían una longitud de 6 dígitos, pero con el fin de garantizar la disponibilidad de números en el futuro, en la última versión de la ISO/IEC 7812-1 se indica que el valor del IIN debe pasar a ser de 8 dígitos. Asimismo, en la propia ISO/IEC 7812-1 también se indica que el valor mínimo del PAN debe pasar a ser de 10 dígitos, en lugar de los 8 contemplados hasta la fecha, por lo tanto, el PAN tendrá una longitud variable de 10 a 19 dígitos.
Cabe destacar que este cambio relacionado con el aumento de longitud del IIN ha entrado en vigor en abril de 2022.
El aumento de la longitud del IIN es un cambio que puede parecer menor, pero que no lo es. No solamente tiene implicaciones a nivel de cumplimiento normativo, también conlleva cambios funcionales en los sistemas utilizados por los procesadores de pago, las entidades financieras, los comercios etc.
La base de datos de valores IIN la gestiona la Asociación Americana de Banqueros. Actúa como autoridad de registro, y es la responsable de asignar rangos de IIN a las distintas redes emisoras.
El valor IIN es comúnmente utilizado para realizar comprobaciones tales como identificar:
Estas comprobaciones se acostumbran a realizar por varios motivos. Algunos de los más comunes son los operacionales, funcionales, y de control y prevención del fraude.
Hay multitud de páginas web y de APIs disponibles para extraer la correlación de datos relacionados con un número IIN, y también para conocer los números IIN utilizados en cada país. Por ejemplo, dado un IIN de 8 dígitos, en la página web https://www.creditcardvalidator.org, se obtiene la siguiente información:
| Figura 2: IIN asignado a un banco de Francia. Captura de pantalla de la página creditcardvalidator.org. |
| Figura 3: Truncamiento vs enmascaramiento. Figura de elaboración propia. |
Las implicaciones que puede tener un IIN de 8 dígitos vs el BIN tradicional de 6 dígitos tienen que ver, principalmente, con dos requerimientos de PCI DSS. A continuación, se analizan ambos requisitos y, además, se comparan las equivalencias de estos entre PCI DSS v3.2.1 y v4.0.
El primer requerimiento tiene que ver con la visualización del PAN en pantallas, recibos etc. Este requerimiento lo que hace es limitar el número de dígitos que pueden ser legibles cuando se muestra un PAN. Para ello, un segmento del PAN debe ser enmascarado con el fin de ocultarlo.
Desde el anuncio de la adopción del IIN de 8 dígitos, tanto el PCI SSC como las marcas de pago se pronunciaron indicando que no había cambios de interpretación, ni flexibilidad alguna, sobre lo estipulado por el requerimiento 3.3 de PCI DSS v3.2.1. Esto conlleva que, para esta versión de PCI DSS, únicamente se puedan mostrar como máximo los 6 primeros y los últimos 4 dígitos, y que el resto deban enmascararse.
El requerimiento equivalente en la recién publicada versión v4.0 es el 3.4.1. El gran cambio es que en esta versión ya no se limita la visualización a los 6 primeros dígitos y a los últimos 4, sino que se ha cambiado el concepto ‘6 primeros dígitos’ por ‘BIN’. Esto supone un cambio de paradigma muy importante; esta posibilidad no se ha abierto hasta la publicación de la nueva versión.
A continuación, se puede ver la comparativa del requerimiento entre ambas versiones:
| Figura 4: Imagen que ilustra los requerimientos 3.3 (PCI DSS v3.2.1) y 3.4.1 (PCI DSS v4.0). Elaboración propia. |
Las marcas de pago y el propio PCI SSC se han pronunciado de forma clara y tajante en no flexibilizar la interpretación del requerimiento 3.3 de PCI DSS v.3.2.1. De hecho, los posicionamientos de las marcas de pago Mastercard y VISA son los siguientes:
Mastercard: Las diferentes actualizaciones del briefing publicado por Mastercard (2021) siempre han contemplado que el aumento de la longitud del IIN de 6 a 8 dígitos no provoca modificación alguna sobre este requisito. En el mismo documento se indica, además, que si se requiere la visualización de cualquier otro dígito, esta únicamente pueda realizarse bajo una justificación de negocio debidamente fundamentada y documentada.
El texto concreto presente en el briefing de Mastercard es el siguiente:
“[…] For Requirement 3.3, the masking approach should always ensure that only the minimum number of digits is displayed as necessary to perform a specific business function. For example, if only the last four digits are needed to perform a business function, mask the PAN so that individuals performing that function can view only the last four digits. While the intent of Requirement 3.3 is to display no more than the “first 6 and last 4 digits” of a PAN, an entity will be permitted to display more digits if needed but only with a documented business justification. (Mastercard, 2021)VISA: En un documento publicado por la marca de pago VISA (2020), se hace hincapié en que PCI DSS permite la visualización de todos o parte de los dígitos del PAN ante una necesidad de negocio debidamente justificada y legítima.
[…] Data Presented on Screens and Reports: Provisions already within the PCI DSS allow users with a legitimate business need to see any or all of the PAN digits [...] (VISA, 2020)PCI SSC: En el mismo sentido se expresa la FAQ#1492, publicada por el PCI SSC (2021a), indicando que el requerimiento 3.3 requiere que como máximo solamente se puedan mostrar los primeros 6 y los últimos 4 dígitos, salvo que exista una justificación de negocio documentada y legítima, la cual debe ser aprobada por la dirección/gerencia, y generar evidencias que deben almacenarse y ponerse a disposición de los auditores para su revisión durante la auditoría PCI DSS.
El otro requerimiento que tiene que ver con el aumento del IIN de 6 a 8 dígitos, es el que contempla las medidas de seguridad y protección que debe tener el PAN almacenado. Uno de los métodos que puede ser utilizado para el almacenamiento es el denominado truncamiento, con el fin de eliminar un segmento del PAN de forma permanente, es decir, de forma irrecuperable.
Así pues, el requerimiento afectado en la versión 3.2.1 de PCI DSS es el 3.4, y en la 4.0 el 3.5.1. A continuación, se puede observar la comparativa del requerimiento afectado entre ambas versiones, el posicionamiento de las marcas de pago Mastercard y VISA, y el del propio PCI SSC.
| Figura 5: Imagen que ilustra los requerimientos 3.4 (PCI DSS v3.2.1) y 3.5.1 (PCI DSS v4.0). Elaboración propia. |
Se puede observar que el core del requerimiento sigue siendo el mismo, y que únicamente se añade un pequeño detalle indicando que deben aplicarse medidas adicionales si un mismo PAN se encuentra hasheado y truncado, o bien si existen diferentes versiones truncadas de un mismo PAN. Cabe destacar que esto no es un posicionamiento nuevo, ya que antes aparecía en una nota aclaratoria, en los procedimientos de prueba, y en las diferentes FAQ publicadas por el PCI SSC. Eso sí, el uso de One-time Pads deja de ser un método válido, ya que en la v4.0 únicamente se menciona index tokens.
El quid de la cuestión de este método es saber el conjunto de dígitos que pueden restar en claro, y los que deben truncarse. Aunque este valor lo debe especificar cada marca de pago, y que en un principio los posicionamientos de estas eran desencontrados, finalmente lograron homogeneizarlos. La FAQ#1091, publicada por el PCI SSC (2022a), recoge los diferentes posicionamientos:
| Figura 6: Figura que ilustra el contenido de la FAQ#1091 publicada por el PCI SSC (2022a). Elaboración propia. |
Los posicionamientos de las marcas de pago Mastercard y VISA son los siguientes:
Mastercard: Ha ido modulando su posicionamiento sobre este requerimiento. Así pues, en un primer momento se afirmaba de forma clara y tajante que los formatos de truncamiento aceptados por Mastercard no se habían visto afectados por la ampliación de la longitud del IIN de 6 a 8 dígitos, y que si se requería almacenar más de los 6 primeros y otros 4 dígitos cualesquiera, que entonces el truncamiento no era una opción válida para cumplir con el requerimiento 3.4 de PCI DSS v.3.2.1. Aun así, su posición actual ha dado una vuelta de 180 grados y contempla que, para el requerimiento 3.4, el máximo número de dígitos que puedan ser almacenados utilizando el truncamiento sea de los primeros 8, y otros 4 cualesquiera.
El texto concreto que contiene el briefing actualizado de Mastercard (2021) es el siguiente:
“For Requirements 3.4, the maximum digits of a PAN that can be stored using truncation are “first 8, any other 4.”” (Mastercard, 2021)VISA: Esta marca de pago también ha ido modulando su posicionamiento. En el documento de FAQs publicado por VISA (2020), se indicaba que se tenían que truncar o cifrar un mínimo de 6 dígitos. También se indicaba que todos aquellos clientes con una necesidad de exponer el BIN de 8 dígitos al completo, debían utilizar otros métodos tales como el cifrado, el hasheo o la tokenización. Aun así, VISA también ha ido flexibilizando su criterio, y ahora mismo en el documento Numerics Initiative 8-Digit BIN PCI Webinar publicado por VISA (2022) se puede apreciar lo siguiente:
Por todo ello, teniendo en cuenta los posicionamientos vigentes emitidos por las marcas de pago y la FAQ#1492 del PCI SSC (2021a), las casuísticas de cumplimiento para el requerimiento 3.3 de la v3.2.1 y 3.4.1 de la versión 4.0 quedan de la siguiente forma:
Las casuísticas de cumplimiento para el requerimiento 3.4 de la versión 3.2.1, y el 3.5.1 de la versión 4.0, quedan de la siguiente forma:
Finalmente, vemos como las marcas de pago, y por ende el PCI SSC, se han tenido que adaptar a las necesidades funcionales y de negocio expresadas por varias empresas, y es que el aumento del IIN podía tener unas consecuencias de gran repercusión para sus entornos de cumplimiento.
1- ISO/IEC. (2017). ISO/IEC 7812-1:2017(en) Identification cards — Identification of issuers — Part 1: Numbering system. https://www.iso.org/obp/ui/#iso:std:iso-iec:7812:-1:ed-5:v1:en
2- Mastercard. (2021). 8-Digit BIN Expansion and PCI Standards. https://www.mastercard.com/content/dam/public/mastercardcom/globalrisk/pdf/8-Digit%20BIN%20Expansion%20and%20PCI%20Standards%20-%20FINAL%20(10-20-2021).pdf
3- PCI SSC. (2018). Requirements and Security Assessment Procedures version 3.2.1. https://www.pcisecuritystandards.org/documents/PCI_DSS_v3-2-1.pdf
4- PCI SSC (2021a). How can an entity meet PCI DSS requirements for PAN masking and truncation if it has migrated to 8-digit BINs?. https://pcissc.secure.force.com/faq/articles/Frequently_Asked_Question/How-can-an-entity-meet-PCI-DSS-requirements-for-PAN-masking-and-truncation-if-it-has-migrated-to-8-digit-BINs
5- PCI SSC. (2021b). What is the difference between masking and truncation? https://pcissc.secure.force.com/faq/articles/Frequently_Asked_Question/What-is-the-difference-between-masking-and-truncation
6- PCI SSC. (2022a). What are acceptable formats for truncation of primary account numbers?. https://pcissc.secure.force.com/faq/articles/Frequently_Asked_Question/What-are-acceptable-formats-for-truncation-of-primary-account-numbers
7- PCI SSC. (2022b). Requirements and Testing Procedures version 4.0. https://www.pcisecuritystandards.org/documents/PCI-DSS-v4_0.pdf
8- VISA. (2020). Preparing for the Eight-Digit BIN. Frequently Asked Questions. https://usa.visa.com/dam/VCOM/global/partner-with-us/documents/visa.com-numerics-faq.pdf
9- VISA. (2021). What Merchants Need to Know to Prepare for 8-Digit BINs. https://usa.visa.com/content/dam/VCOM/regional/na/us/partner-with-us/documents/what-merchants-need-to-know-lac-webinars-english-october-2021.pdf
10- VISA. (2022). Numerics Initiative 8-Digit BIN PCI Webinar. https://usa.visa.com/content/dam/VCOM/regional/na/us/partner-with-us/documents/8-digit-bin-pci-webinar-presentation-deck-visa-com-version.pdf
Autor: Marc de Tébar - ISO 27001 L.A., CISM, PCIP, MCAF, SFPC
Departamento Consultoría
