Segmentación de datos de tarjeta y PCI DSS

PCI DSS protege los datos de cuenta de las tarjetas de pago. Su alcance incluye los componentes que almacenan, procesan o transmiten esos datos y también los que están conectados a ellos o pueden afectar su seguridad. Segmentar significa separar con controles de red lo que no necesita tocar los datos de tarjeta, de modo que quede fuera de alcance.

La segmentación solo vale lo que valen sus flujos. Si un equipo de oficina puede hablar con la base de datos de tarjetas, ese equipo está en alcance aunque el diagrama lo dibuje afuera. Además, el estándar prohíbe conservar los datos sensibles de autenticación, como el código de verificación, después de la autorización. Y el registro (requisito 10) no debe volverse un lugar donde terminen guardados.

El primer paso de una revisión es buscar el número de tarjeta (PAN) donde no debería estar. Si un sistema fuera de la zona del entorno de tarjetas lo guarda, la segmentación no cumple su función, porque ese sistema trae el alcance consigo.

Ejecuta SELECT * FROM inventario WHERE zona <> 'cde' AND almacena_pan = 'si'.

Los flujos observados dicen lo que de verdad pasa. Cada origen que hable con la base de tarjetas debe estar dentro del entorno o tener una razón aprobada. Hay que contrastar la columna origen con la zona de cada sistema en el inventario.

Ejecuta SELECT * FROM flujos WHERE destino = 'bd-tarjetas' y luego SELECT * FROM inventario.

Un flujo así suele existir por una regla. Las reglas sanas llevan el identificador del cambio que las aprobó, un origen, un destino y un puerto concretos. Una regla con puerto abierto a todo y un comentario como «prueba temporal» sin fecha de retiro es una deuda que se volvió permanente.

Ejecuta SELECT * FROM reglas_fw y mira las columnas puerto y comentario.

El SOC no valida el cumplimiento: aporta evidencia. Con el servidor de extractos, el archivo con el número completo, el flujo y la regla ya identificados, el siguiente paso es llevarlo con evidencia a quien decide: el dueño del sistema y el área de cumplimiento. Antes de retirar un archivo se conserva una copia de la evidencia y se pide que el retiro sea seguro y quede registrado.

Ejecuta SELECT * FROM archivos para ver qué guarda ese servidor.