Preparación para PCI DSS y pruebas de penetración
El Report on Compliance lo firma un Qualified Security Assessor, y el Attestation of Compliance es tu declaración formal. No emitimos ninguno de los dos. Lo que hacemos es dejarte listo para la evaluación: delimitar tu entorno de datos de tarjetas, cerrar las brechas frente a PCI DSS v4.0.1 y realizar las pruebas de penetración y de segmentación del Requirement 11.4 que exige el estándar.
Alcance, brechas y las pruebas requeridas
PCI DSS protege el entorno de datos de tarjetas (CDE). Acertar con la delimitación es el paso más decisivo: si te quedas corto, no apruebas; si te pasas, lo pagas. Trazamos el CDE y los sistemas conectados, evaluamos la brecha frente a la v4.0.1 y realizamos las pruebas de penetración que el estándar exige en el Requirement 11.4.
- Delimitación del entorno de datos de tarjetas (CDE) y mapeo del flujo de datos
- Evaluación de brechas frente a los requisitos de PCI DSS v4.0.1
- Pruebas de penetración externas e internas según el Requirement 11.4
- Pruebas de segmentación que validan activamente el aislamiento del CDE
- Remediación de los hallazgos explotables y, después, reevaluación (da soporte al Req 11.4.4)
- Empaquetado de evidencias para entregar a tu QSA o para tu SAQ
Preparación y pruebas, independientes del QSA
Marcamos con claridad los límites de nuestro trabajo: ofrecemos la preparación para PCI DSS, la evaluación de brechas y las pruebas de penetración y de segmentación del Requirement 11.4. No somos un Qualified Security Assessor: no validamos el cumplimiento, no emitimos un Report on Compliance ni firmamos un Attestation of Compliance. Ese es el papel del QSA. Podemos proporcionar una carta de confirmación de las pruebas, que explícitamente no es una atestación de QSA.
- 1
Definición del alcance
Mapeamos el CDE, los flujos de datos y los sistemas conectados, acordamos las reglas de actuación y firmamos un NDA.
- 2
Evaluación de brechas
Medimos los controles frente a PCI DSS v4.0.1 y priorizamos lo que debe cerrarse antes de la evaluación.
- 3
Pruebas de penetración
Realizamos pruebas externas e internas según el Requirement 11.4, confirmando las debilidades explotándolas.
- 4
Validación de la segmentación
Intentamos activamente llegar al CDE desde fuera: la segmentación se prueba, no solo se escanea.
- 5
Remediación y reevaluación
Tú remedias; nosotros reevaluamos los hallazgos corregidos (dando soporte al Req 11.4.4) y empaquetamos las evidencias para tu QSA.
Qué recibes
Una imagen del alcance y de las brechas, más las evidencias de las pruebas de penetración de las que depende tu evaluación, estructuradas según el esquema de informe de pruebas de penetración del PCI SSC. El RoC y el AoC los prepara tu QSA, no nosotros.
- Declaración de alcance del CDE y documentación del flujo de datos
- Evaluación de brechas mapeada a los requisitos de PCI DSS v4.0.1
- Informe de pruebas de penetración con una sección dedicada a los resultados de la prueba de segmentación
- Cada hallazgo: explotabilidad, evidencia, reproducción y remediación (CVSS 3.1)
- Reevaluación gratuita de los problemas remediados dentro del plazo fijado en el SoW, dando soporte al Requirement 11.4.4
- Carta de confirmación de las pruebas (explícitamente no una atestación de QSA)
Fundamentado en PCI DSS v4.0.1 y la guía de pruebas del PCI SSC
La preparación sigue PCI DSS v4.0.1 (el estándar vigente). Las pruebas de penetración y de segmentación corresponden al Requirement 11.4 y siguen la PCI SSC Penetration Testing Guidance, basada en PTES y NIST SP 800-115. Las pruebas de segmentación validan el aislamiento de forma activa en lugar de limitarse a escanearlo. Ofrecemos preparación y pruebas, pero no somos un QSA, no validamos el cumplimiento ni emitimos un Report on Compliance, y cualquier carta de confirmación explícitamente no es una atestación de QSA. Las versiones de PCI y las reglas de validación cambian, así que las reconfirmamos al definir el alcance.