POS: La auditoría de seguridad para tu sistema

La mayoría de los sistemas de POS no son sistemas independientes. Se integran con otros sistemas como: CRM, finanzas, almacenamiento, gestión de inventario o copias de seguridad de datos, para proporcionar un servicio complejo a usuarios finales como: minoristas, hoteles, restaurantes y proveedores de servicios de hospitalidad.

Fuga de datos

Los activos son objetivos de amenazas. En el caso de los sistemas de punto de venta, se habla de fugas de datos que ponen directamente en peligro el negocio a través de ambas multas reglamentarias.

Vulnerabilidades del sistema POS

• Fallas en el sistema: Un sistema POS es una pieza compleja de software, y todo el sistema es susceptible de sufrir errores. Las actualizaciones y los parches son una necesidad real, para garantizar que sus sistemas de punto de venta estén actualizados y en ejecución como deberían, pero relativamente pocas personas se molestan en tomarse el tiempo para realizar estas actualizaciones.
• Ciclo de vida del sistema POS: Debido al propósito único del sistema de punto de venta, no es necesario reemplazarlo con un modelo más nuevo. Los modelos antiguos se utilizan desde hace años. La actualización del software contiene las partes más nuevas (por ejemplo, evidencia electrónica de soporte de pagos), pero el núcleo del sistema sigue siendo el mismo. 
• Acceso directo: Los sistemas de punto de venta todavía están conectados a la red de datos y, por lo general, se ubican en un área pública. Esto permite el acceso directo no autorizado al sistema POS (por ejemplo, de los empleados de la empresa de limpieza) o el acceso remoto a través de la red de datos. El acceso remoto a los datos de punto de venta o la escucha de datos durante las comunicaciones es difícil de detectar. Desafortunadamente, se requiere la conexión del sistema POS para mantener todos los datos precisos y actualizados.

Para reducir efectivamente el riesgo relacionado con la manipulación no autorizada de datos, es mejor realizar una inspección profunda de los sistemas que tratan con datos confidenciales. La inspección debe realizarse desde el punto de vista de la arquitectura (para revelar las partes críticas y las más desprotegidas que representan vulnerabilidades importantes), y desde la perspectiva del código fuente (para revelar errores en la lógica de la aplicación y las operaciones confidenciales como la autenticación y la autorización).