PCI DSS exige que las organizaciones eliminen de forma irrecuperable los datos de titulares de tarjeta que ya no necesitan y prohíbe conservar datos sensibles de autenticación tras la autorización de la transacción. El estándar remite a PCI DSS v4.0 y a métodos de saneamiento equivalentes a los de NIST SP 800-88 (sobrescritura, degauss o destrucción física según el medio). Todo esto debe quedar respaldado con evidencia auditable: certificados de destrucción, logs de saneamiento y registros de verificación periódica.
En resumen:
- La eliminación segura de datos sensibles, incluyendo SAD, debe hacerse con métodos certificados como sobrescritura, degauss o destrucción física, respaldados por evidencia verificable.
- Los soportes de almacenamiento como discos duros, unidades SSD y cintas requieren procedimientos específicos para garantizar la irrecuperabilidad, evitando errores comunes como el formateo básico.
- La política de retención debe mapear todos los lugares donde se almacenan datos y definir responsables, periodos y procedimientos para remediar almacenamientos no autorizados.
- La evidencia de destrucción certificada, como certificados y logs, es imprescindible para cumplir con auditorías PCI DSS y debe mantenerse durante al menos un ciclo completo de revisión.
- Externalizar la destrucción con proveedores especializados, como Usedcartridge, simplifica el cumplimiento, garantiza trazabilidad y ayuda a promover prácticas sostenibles en la disposición de hardware.
Tabla de contenidos
- Requisitos clave de PCI DSS sobre retención y eliminación de datos
- Métodos aceptados de saneamiento de medios según NIST SP 800-88
- Cómo estructurar la política de retención y controlar el almacenamiento inadvertido
- Verificación y evidencia para sobrevivir una auditoría PCI DSS
- Errores comunes que comprometen el cumplimiento
- Checklist práctico para implementar la eliminación segura de datos
- Por qué la destrucción certificada es también una práctica de sostenibilidad
- Cómo puede ayudar Usedcartridge con la destrucción certificada de datos de pago
- Fuentes
Requisitos clave de PCI DSS sobre retención y eliminación de datos
El requisito 3 de PCI DSS obliga a limitar el almacenamiento de datos de titulares de tarjeta al mínimo necesario para el negocio, legal o regulatorio, y a eliminarlos de forma segura en cuanto deje de existir esa necesidad. El estándar distingue entre datos de cuenta (PAN, nombre del titular, fecha de vencimiento) y los datos sensibles de autenticación (SAD), que incluyen el contenido completo de la pista, el CVV y el PIN.
El almacenamiento de SAD está prohibido después de la autorización de la transacción, sin excepciones para emisores no autorizados a conservarlo. Si el equipo de seguridad detecta SAD almacenado por error, la política de eliminación debe cubrir todas las ubicaciones donde pudo haberse copiado.
Las obligaciones prácticas que se derivan de esto son:
- Definir por escrito qué datos se retienen, dónde y durante cuánto tiempo.
- Aplicar procesos automáticos o manuales de eliminación cuando expire el periodo de retención.
- Eliminar de inmediato cualquier SAD hallado tras la autorización, con remediación documentada.
- Asignar un responsable claro de cada activo de datos, no solo del sistema que los almacena.
Métodos aceptados de saneamiento de medios según NIST SP 800-88
No todos los soportes se sanean igual, y aplicar el método equivocado es una de las formas más comunes de fallar una auditoría. NIST SP 800-88 es la referencia técnica que PCI DSS reconoce para demostrar que un dato quedó irrecuperable, y clasifica los métodos en tres niveles: eliminación lógica, purga y destrucción física.
- Discos duros mecánicos (HDD): admiten sobrescritura múltiple o degauss (desmagnetización) cuando se reutilizarán; para disposición final, la destrucción física con trituradora certificada elimina cualquier duda.
- Unidades de estado sólido (SSD) y memorias flash: la sobrescritura tradicional no garantiza el borrado por la forma en que gestionan los bloques internos; se recomienda el comando de borrado criptográfico o la destrucción física directa.
- Cintas de backup: el degauss funciona bien, pero requiere verificación posterior porque algunos equipos antiguos no alcanzan la intensidad magnética necesaria.
- Dispositivos híbridos o de red (NAS, controladoras): suelen necesitar sobrescritura por software certificado seguida de una comprobación de sectores residuales.
Consejo profesional: No confíe únicamente en la etiqueta “borrado seguro” de un software. Pida siempre el reporte de verificación o el log de degauss como parte del contrato con el proveedor; sin eso, no tiene evidencia defendible ante un auditor.
Cómo estructurar la política de retención y controlar el almacenamiento inadvertido
Una política de retención sólida no es un documento genérico descargado de internet: debe reflejar exactamente dónde vive el dato en su organización, incluyendo entornos en la nube, backups y proveedores externos. Las guías de práctica del sector recomiendan cubrir todos los lugares de almacenamiento, no solo los servidores de producción.
La política debe incluir, como mínimo:
- Inventario de ubicaciones: entornos locales, nube, backups, medios extraíbles y ubicaciones de terceros.
- Responsable designado por cada categoría de datos y por cada sistema que los procesa.
- Periodo de retención justificado por norma legal, contractual o necesidad operativa real.
- Procedimiento de remediación cuando aparece SAD fuera de lo previsto, con identificación, aislamiento y saneamiento certificado del medio afectado.
Verificación y evidencia para sobrevivir una auditoría PCI DSS
Un proceso de eliminación sin evidencia documental no existe para un auditor. La organización debe poder demostrar, con papel o registro digital, que cada activo dado de baja pasó por un método de saneamiento reconocido.
Las evidencias que suelen aceptarse incluyen:
- Certificados de destrucción con número de serie del dispositivo, fecha, método aplicado y firma del responsable.
- Logs de software de borrado certificado, con hash o reporte de verificación por sector.
- Actas de testigo (witness logs) cuando la destrucción se realiza en sitio ante personal de la empresa.
- Registro fotográfico o en vídeo del proceso, cuando el proveedor lo ofrece como parte del servicio.
Las políticas de retención deben incluir procesos de verificación periódica, y lo habitual es fijar una revisión periódica que confirme que ningún dato superó su periodo de retención sin eliminarse. Conserve esos registros durante al menos el ciclo de auditoría anual completo, y algunas organizaciones optan por dos ciclos por precaución.
Errores comunes que comprometen el cumplimiento
La mayoría de los incumplimientos no vienen de mala fe, sino de puntos ciegos operativos que nadie revisó a tiempo.
- Backups y snapshots olvidados: el equipo elimina el dato en producción pero los backups automáticos siguen conservando copias intactas durante meses.
- Reutilización de hardware sin saneamiento: el formateo estándar no garantiza irrecuperabilidad; un disco reasignado a otro departamento puede seguir teniendo PAN recuperable con herramientas forenses básicas.
- Confundir formatear con borrar: formatear reescribe la tabla de archivos, no los datos; solo la sobrescritura, el degauss o la destrucción física cumplen el estándar.
- Logs de aplicación con SAD sin cifrar: los desarrolladores a veces registran el número completo de tarjeta en logs de depuración que nadie revisa después.
Checklist práctico para implementar la eliminación segura de datos
Convertir la teoría en un flujo de trabajo repetible es lo que separa una política de cumplimiento de un documento que nadie sigue.
- Inventaríe y clasifique cada medio por nivel de riesgo (contiene PAN, contiene SAD, sin datos de tarjeta) antes de decidir el método de saneamiento.
- Seleccione el método según el tipo de soporte: sobrescritura para HDD reutilizables, borrado criptográfico para SSD, destrucción física para disposición final o medios dañados.
- Ejecute el saneamiento con una herramienta certificada o un proveedor especializado, y exija el certificado o log de verificación en el mismo acto.
- Registre la baja en la CMDB y programe una revisión trimestral que cruce el inventario activo contra los certificados emitidos.
Consejo profesional: Vincule cada certificado de destrucción con el número de activo en su CMDB desde el primer día. Buscar esa correspondencia después, durante una auditoría, es donde más equipos pierden horas.
Por qué la destrucción certificada es también una práctica de sostenibilidad
La destrucción certificada no solo blinda una auditoría PCI DSS: también evita que hardware con datos residuales termine en un vertedero o en manos equivocadas. La cadena de custodia documentada convierte cada disco retirado en un activo trazable, no en un riesgo suelto. Cuando el saneamiento se integra con el proceso de reciclaje certificado, la organización gana evidencia de disposición final sin duplicar trabajo entre el equipo de cumplimiento y el de gestión de activos. Ese cruce entre seguridad de datos y responsabilidad ambiental es donde el cumplimiento deja de ser un trámite y empieza a funcionar como control real.
— Keith
Cómo puede ayudar Usedcartridge con la destrucción certificada de datos de pago
Gestionar la destrucción de datos con personal interno significa comprar software de borrado, capacitar a alguien para operarlo y guardar registros que un auditor pueda cuestionar en cualquier momento. Usedcartridge asume ese proceso completo: destrucción en sitio bajo supervisión del cliente, cadena de custodia documentada desde la recogida hasta el certificado final, y recogida segura de los equipos que ya no necesita.
Cada dispositivo procesado recibe un certificado de destrucción con trazabilidad completa, listo para archivarse junto a sus registros de auditoría PCI DSS. Frente a gestionar esto internamente, evita comprar y mantener herramientas de saneamiento propias, y elimina la carga de capacitar personal para un proceso que no es el núcleo de su negocio. Si su organización necesita dar de baja discos, servidores o equipos completos con evidencia lista para auditoría, puede solicitar una evaluación y cotización directamente con el equipo de Usedcartridge.
Fuentes
- PCI-DSS v4.0 – Payment Card Industry Security Standards Council
- PCI-DSS: Controles obligatorios a partir del 31 de marzo de 2025 (Internet Security Auditors)