Alcance del entorno de pagos

Un sistema entra en el alcance por dos caminos. El directo: guarda, procesa o transmite datos de tarjeta. El indirecto: no toca ningún dato de tarjeta, pero puede afectar la seguridad del entorno, como el conmutador que lleva el tráfico de las cajas, el servicio de nombres que ellas usan o el directorio que autentica a quienes las administran.

Un error frecuente es pensar que «no guarda números de tarjeta» equivale a «fuera del alcance». Quedarse fuera exige una prueba, no una impresión: las pruebas de segmentación demuestran que la red separa de verdad ese sistema del entorno de tarjetas. Lee la tabla criterios.

La tabla sistemas_tienda1 trae, por sistema, si toca tarjeta, si afecta la seguridad y si hay una prueba de segmentación. El caso más traicionero es el sistema que no toca nada, no afecta nada y, aun así, no tiene prueba de segmentación: por el criterio A3 se trata como dentro.

El tamaño del alcance decide cuánto se escanea cada trimestre y cuánto cuesta corregirlo. Se cuenta con las tres reglas a la vez: toca tarjeta, afecta la seguridad o no tiene prueba que lo deje fuera.

El alcance no se declara una vez. Una tienda nueva, un cambio de red o un proveedor nuevo lo mueven. PCI DSS v4.0.1 pide que el alcance quede documentado y que la entidad lo confirme al menos una vez cada doce meses y cuando hay un cambio significativo en el entorno. Esa confirmación la hace el propio comercio, aparte de lo que revise un evaluador.