Las agencias IATA tendrán que ser más seguras en los cobros con tarjeta

Esta nueva normativa de IATA en los cobros con tarjeta de las agencias de viajes no implica cambios en el protocolo de actuación con el cliente, pero sí en los controles tecnológicos de las operaciones. Es decir, el agente de viajes deberá seguir pidiendo el DNI o pasaporte al cliente para comprobar que la tarjeta es suya, sin más verificaciones físicas. Pero la agencia deberá invertir una cantidad, que puede acercarse a los 1.000 euros en el caso de las pymes, para que la operación cumpla con los requisitos de seguridad PCI-DSS.

En España hay actualmente más de 4.200 agencias de viajes con licencia IATA, de las que más de 1.100 son centrales y las restantes son sucursales. Algunas de ellas, sobre todo las grandes, ya siguen este protocolo de seguridad. A partir de marzo deberán hacerlo todas, ya sean físicas, OTA o consolidadores.

Estas agencias de viajes deberán contratar con empresas especializadas las herramientas tecnológicas que permitan tratar con seguridad los datos de los clientes en los procesos de pago. No obstante, la security consultant de A2secure, Cristina Mallén, señala que, además de los controles tecnológicos “los agentes de viajes que traten con tarjetas de crédito deben ser conscientes de realizar un buen uso para proteger al cliente final. Para ello, es necesario que el agente sea consciente de los riesgos que existen, y que no se apunten, por ejemplo, los números de la tarjeta en un post-it, o que, si el cliente solicita realizar la reserva por teléfono, se intente que los datos de la tarjeta no sean escuchados por más personas, que no se envíe información de tarjeta de crédito sin protección por medio de tecnologías de mensajería de usuario final (por ejemplo, el correo electrónico, la mensajería instantánea, SMS, el chat, etc.)”.

Y sobre las novedades de los nuevos controles, Mallén señala que “esta normativa se centra en la seguridad de los datos de tarjeta de crédito y está formada por un conjunto de controles tecnológicos, que en función de la infraestructura de IT de la agencia le aplican en mayor o menor medida. Lo que pide la IATA es que, a partir de marzo de 2018, todas las agencias de viajes (on-line, con oficina física, consolidadores), agentes suyos, tienen que cumplir con la normativa PCI-DSS”.

La representante de A2secure resume los principales controles que aporta la nueva normativa: “Disponer de políticas y procedimientos de seguridad IT; saber cómo actuar cuando se detecta que existe fraude con tarjetas de crédito y comunicarlo a las marcas de pago; concienciación/formación a los empleados de manera anual en el tratamiento con las tarjetas de crédito; disponer de un inventario de TPV’s (en caso de que utilicen) y revisar los TPV’s periódicamente; asegurar que los proveedores que les dan algún tipo de servicio como pueden ser los GDS, consolidadores, pasarelas de pago etc, son conscientes de la normativa y están adecuados a ella; y asegurar, a nivel contractual, las responsabilidades en caso de fraude con las tarjetas entre las agencias y sus proveedores”.