PCI-DSS (Payment Card Industry Data Security Standard) es el estándar de seguridad que deben cumplir todas las organizaciones que almacenan, procesan o transmiten datos de tarjetas de pago. Lo definen en conjunto las grandes marcas (Visa, Mastercard, American Express, Discover y JCB) a través del PCI Security Standards Council, y su versión vigente es la 4.0.1.
¿A quién le aplica?
A mucho más que a los bancos. Aplica a comercios que aceptan tarjetas, fintech, procesadores de pago, pasarelas, billeteras y cualquier proveedor que toque datos de tarjeta. El nivel de exigencia depende del volumen de transacciones, pero el principio es el mismo: si los datos de tarjeta pasan por tus sistemas, sos responsable de protegerlos.
Los 12 requisitos, en resumen
PCI-DSS se organiza en doce requisitos agrupados en seis objetivos. En líneas generales, exigen:
- Instalar y mantener controles de red (firewalls) y no usar contraseñas por defecto.
- Proteger los datos de tarjeta almacenados y cifrar su transmisión por redes públicas.
- Mantener un programa de gestión de vulnerabilidades y antimalware.
- Implementar control de acceso estricto, por necesidad y con identificadores únicos.
- Monitorear y registrar todos los accesos a los datos y a la red.
- Probar la seguridad de forma periódica y mantener una política de seguridad.
El entorno de datos de tarjeta (CDE) y la segmentación
Un concepto central es el CDE (Cardholder Data Environment): el conjunto de sistemas que tocan datos de tarjeta. Una buena segmentación de red que aísle el CDE del resto reduce el alcance de la norma y, con él, el costo y el riesgo. Por eso PCI-DSS pone tanto énfasis en comprobar que esa segmentación realmente funciona.
PCI-DSS y el pentest (Requisito 11.4)
El Requisito 11.4 exige pruebas de penetración externas e internas al menos una vez al año y después de cualquier cambio significativo en la infraestructura o las aplicaciones. Además, los proveedores de servicios deben validar la segmentación cada seis meses. No alcanza con un escaneo automático: la norma pide un pentest con metodología, evidencia y remediación verificada.
El pentest es evidencia para PCI-DSS, no la certificación. La conformidad final (el AOC) la valida un QSA; el informe de pentest es una de las piezas que ese proceso exige.
¿Por dónde empezar?
Definir el alcance (qué sistemas tocan datos de tarjeta), comprobar la segmentación, y planificar el pentest anual del entorno de pagos y la API. Si tu empresa es una fintech o un procesador de pagos, conviene encarar el pentest con un enfoque específico del sector, que cubra el CDE, la segmentación, la lógica de negocio y el antifraude.