El CDE y lo que queda en alcance

PCI DSS protege los datos de cuenta: el número de tarjeta (PAN), el nombre del titular, el vencimiento y el código de servicio, que son los datos del titular; y los datos de autenticación sensibles, como el código de seguridad (CVV) y el PIN. El entorno de datos de tarjeta (CDE) son las personas, procesos y tecnología que almacenan, procesan o transmiten esos datos de cuenta.

El alcance es más ancho que el CDE. Entran también los sistemas conectados a él, que se pueden comunicar con un sistema del CDE sin una separación efectiva, y los que afectan la seguridad del CDE, aunque jamás vean una tarjeta: el que autentica a los administradores, el que gestiona el cortafuegos, el que guarda los registros. Fuera queda solo lo que no cumple ninguna de esas condiciones y puede demostrarlo.

Abre el inventario de Tejedora con SELECT * FROM sistemas. La columna de datos de tarjeta dice si el sistema los toca; la última dice cómo se relaciona con el CDE. Lo habitual en una empresa pequeña es que las dos coincidan en los tres sistemas obvios (el switch, la base de transacciones, las cajas) y que la discusión empiece en las filas con «ninguno».

Para auditar el alcance no basta con leer la tabla: hay que preguntarse de cada fila qué pasaría si el sistema se viera comprometido. Si la respuesta es «alguien llegaría a las tarjetas, o podría hacerse pasar por quien administra el CDE», el sistema está dentro.

Los datos de autenticación sensibles no se conservan después de la autorización, ni cifrados. Es una de las reglas más simples de PCI DSS y de las que más se incumplen, porque nadie decide guardarlos: aparecen cuando alguien arma un reporte con todas las columnas, o cuando se activa un registro de depuración y se olvida apagarlo.

El segundo inventario de la sala, datos_almacenados, es el resultado de buscar patrones de tarjeta en los discos. No es lo que la empresa cree que guarda: es lo que hay. Léelo antes de aceptar el mapa de alcance del equipo.

Cuando un sistema no tiene datos de tarjeta pero está en alcance, el hallazgo no es del sistema: es del control que lo rodea. Se le exige lo mismo que a un sistema del CDE en lo que afecta a la seguridad de este: acceso restringido, segundo factor, registros, parches. Por eso conviene contarlos: son los que más sorprenden a un equipo que dibujó el CDE solo con servidores de pagos.

Filtra el inventario por la relación «afecta la seguridad del CDE» y mira la nota del resultado.