PCI DSS, escaneos y plazos

Un escaneo externo aprobado por un ASV demuestra que, en esa fecha, el escáner no encontró hallazgos por encima del umbral en lo que se le dio a escanear. No demuestra que la organización cumple PCI DSS: el alcance, los demás requisitos y la validación los hace otra evaluación. Lo mismo vale para cualquier informe de escaneo: es una prueba de un momento y de un alcance.

La tabla reglas recoge, con palabras propias, las reglas de escaneo del ejercicio.

La regla E2 pide que el escaneo externo lo realice un proveedor aprobado. Un escaneo hecho por el equipo propio, aunque salga aprobado y se archive como externo, no satisface esa regla. Consulta escaneos y filtra por tipo externo.

La regla E1 pide un escaneo interno al menos una vez cada tres meses. Entre el segundo escaneo interno y el tercero hubo mucho más. Consulta escaneos, filtra por tipo interno y calcula los días que pasaron entre el segundo y el tercero de ellos.

Un escaneo externo aprobado no puede dejar hallazgos con puntuación base de 4.0 o más (regla E4). El escaneo SC-04 no aprobó y se repitió el 10 de mayo. Consulta hallazgos_sc04 y cuenta cuántos de sus hallazgos bastan, por sí mismos, para impedir la aprobación.

Hontanar Pagos va a presentar su registro a un evaluador. El escaneo SC-06 se archivó como externo y aprobado. La tentación es presentarlo para cubrir el trimestre. Lo correcto es presentar los escaneos externos que cumplen la regla y declarar el hueco con su causa y su fecha de corrección, en lugar de forzar una cobertura que la evidencia no sostiene.