PCI Card Production
La norma PCI para las fábricas que producen, personalizan y envían tarjetas de pago.
Antes de que el PCI Security Standards Council se hiciera cargo del tema, Visa, Mastercard y las demás redes tenían cada una sus propias reglas para los proveedores de tarjetas, así que una planta era auditada por varias marcas con casi la misma lista de comprobación. En 2013 los requisitos se unificaron en dos documentos, uno de seguridad física y otro de seguridad lógica. Desde entonces la norma se ha ampliado al aprovisionamiento de tarjetas en dispositivos móviles y hoy se llama Card Production and Provisioning.
La parte física parece el manual de una cámara acorazada: esclusas, cámaras, doble control en cada armario de tarjetas en blanco y recuento de cada pieza de plástico, incluidas las defectuosas. La parte lógica trata de claves y datos: HSM, ceremonias de claves y cuánto tiempo pueden quedarse los datos del titular tras la personalización. Una tarjeta chip en blanco con las claves correctas es, a efectos prácticos, dinero, y se trata como tal.