PCI DSS: reducir el alcance con segmentación y tokenización

El Entorno de Datos de Tarjetas (Cardholder Data Environment - CDE) abarca todas las personas, procesos y tecnologías que interactúan con el número de tarjeta (PAN), fecha de caducidad o código de seguridad (CVV). Auditar un sistema completo de cientos de servidores bajo los trescientos controles de PCI DSS es carísimo y lento. La estrategia magistral del arquitecto es reducir drásticamente el alcance del CDE mediante segmentación de red y tokenización en el punto más temprano del flujo.

El departamento de inteligencia de negocio necesita analizar transacciones comerciales pero no debe tener acceso a los números de tarjeta primarios.

Abre el laboratorio y consulta acotamiento-cde-pci.txt. Identifica el método de reducción de alcance aplicado sobre las Bases Analíticas para excluirlas del CDE.

Incluso cuando los pagos se delegan en una pasarela mediante iframes (PCI SAQ A), los servidores web de origen pueden ser atacados para inyectar scripts maliciosos de skimming (ataques Magecart) que intercepten los datos antes de que se cargue el iframe.

Revisa acotamiento-cde-pci.txt y localiza el riesgo residual identificado en los Servidores Web Front.

El estándar PCI DSS v4.0 prohíbe terminantemente almacenar los Datos de Autenticación Sensibles (Sensitive Authentication Data - SAD), como el código de seguridad (CVV2/CVC) o los datos de la banda magnética, una vez completada la autorización de la transacción, independientemente de que se encuentren cifrados.