El camino que recorre la tarjeta

El requisito 1 de PCI DSS pide dos dibujos: un diagrama de red que muestre todas las conexiones con el CDE, y un diagrama de flujos de datos de cuenta que muestre por dónde entran, se mueven y salen los datos de tarjeta, en todos los canales: la tienda, el sitio web, el teléfono. No son un adorno de la auditoría: son la herramienta con la que se descubre el alcance. Quien nunca dibujó el recorrido de la tarjeta no sabe cuántos sistemas la tocan.

Un diagrama sirve mientras se parece a la realidad. Por eso se contrasta con lo que la red muestra, y por eso el alcance se confirma por escrito cada año.

Abre flujos_declarados y flujos_observados. El primero es el diagrama; el segundo es lo que la red vio en siete días. La última columna del observado dice si cada conversación está en el diagrama. Filtra por las que no.

Una conversación que no está en el diagrama no es necesariamente un problema: la sincronización de hora existe en todas las redes y no mueve tarjetas. Lo que importa es qué dato lleva. De las que falten en el dibujo, solo una te importa para el alcance.

El flujo que encontraste es la copia de las grabaciones de televentas. Cuando una clienta dicta por teléfono su número de tarjeta, el vencimiento y el código de seguridad, y la llamada se graba, ese audio contiene datos de cuenta y también datos de autenticación sensibles. La regla sobre estos últimos no cambia porque estén en un audio: no se conservan tras la autorización.

La corrección no es cifrar la grabación. Es no grabar esa parte de la llamada, por ejemplo pausando la grabación mientras la clienta dicta el código. Cifrar la copia sigue dejando el dato guardado.

Sigue la fila del flujo hasta su destino: las grabaciones se copian a un equipo de respaldos. Ese equipo, que en el inventario de la sala anterior ni existía, ahora guarda datos de cuenta. Un sistema que guarda datos de tarjeta está en el CDE. Y todo lo que pueda comunicarse con él sin separación se vuelve sistema conectado, que también entra.

El hallazgo no es «hay un equipo más»: es que el alcance declarado era incompleto desde el principio, y que cada decisión posterior (qué se segmenta, qué se evalúa, qué se paga) se tomó sobre un mapa equivocado.