Los doce requisitos con evidencia

Los doce requisitos se agrupan en seis objetivos. Redes seguras: 1 (controles de seguridad de red) y 2 (configuraciones seguras). Datos protegidos: 3 (proteger los datos de cuenta almacenados) y 4 (cifrar su transmisión por redes abiertas). Vulnerabilidades: 5 (malware) y 6 (sistemas y software seguros). Acceso: 7 (por necesidad de saber), 8 (identificar y autenticar) y 9 (físico). Supervisión: 10 (registros y monitoreo) y 11 (pruebas periódicas). Y 12, la política y el programa que sostienen a los demás.

El de los registros es el más fácil de auditar con un número: se pide conservar el historial de auditoría doce meses, con los tres más recientes disponibles de inmediato para análisis.

El requisito 3 pide que el PAN se enmascare al mostrarlo: como máximo se deja ver el BIN (el inicio) y los últimos cuatro dígitos, y solo quien tenga una necesidad legítima de negocio puede ver más. Es un control de pantalla, no de disco: el dato se guarda de otra manera (cifrado), pero lo que se enseña a una persona se recorta.

La tabla vistas_de_pan dice qué ve cada rol en el sistema de soporte. Dos roles ven una versión recortada y con motivo registrado. El tercero no tiene justificación para lo que ve.

El requisito 8 pide que, cuando la contraseña es el único factor, tenga al menos doce caracteres (ocho si el sistema no admite doce), y que mezcle números y letras. Es uno de los requisitos que en v4.0 subieron el listón: en v3.2.1 el mínimo era siete.

Lo que se audita no es lo que la política dice, sino lo que el sistema hace cumplir. La fila de la hoja de evidencia que habla de las contraseñas lleva el valor que exige hoy el directorio.

El requisito 8.4.2 pide autenticación de varios factores para todo el acceso al CDE, no solo el remoto. Era una de las exigencias nuevas de v4.0 que fueron mejor práctica hasta el 31 de marzo de 2025 y desde entonces es obligatoria. La evidencia de Tejedora dice que el segundo factor existe en el acceso remoto, pero que la consola local del servidor de autorizaciones entra con usuario y contraseña.

El equipo de TI sostiene que quien llega a esa consola ya está dentro del edificio, de modo que el riesgo es menor. Puede ser cierto, pero no cambia lo que el requisito exige.

El requisito 11 pide escaneos de vulnerabilidades externos, hechos por un proveedor aprobado (ASV), al menos cada tres meses, con resultado aprobado. Un escaneo que no se aprueba obliga a corregir y reescanear.

Abre escaneos_asv. Hay cuatro fechas en el año. Una falló. El equipo dice que, como el último escaneo (diciembre) salió aprobado, la evidencia del año está completa.