Cumplimiento y retención

El requisito 10.5.1 de PCI DSS, en su versión 4.0.1, pide conservar el historial de registros de auditoría al menos 12 meses, con los 3 meses más recientes disponibles de inmediato para análisis. Son dos números distintos: uno de conservación y otro de disponibilidad. Un archivo comprimido que tarda días en restaurarse no es «disponible de inmediato». Aquí la política del banco los adopta como exigencia.

Abre politica_de_retencion. La columna conservada_dias cuenta los días totales que guarda la fuente; exigido_conservar_dias es lo que pide la política. El déficit es la diferencia cuando falta, y cero cuando alcanza o sobra. Mira cuál fuente está más lejos de lo exigido.

La consulta inmediata se mide aparte: consulta_inmediata_dias frente a exigido_inmediato_dias. Una fuente puede conservar de sobra y aun así no cumplir, porque lo reciente está guardado en un lugar que no se busca rápido. El conmutador de tarjetas conserva más de lo exigido, pero su ventana de consulta es corta.

Un registro es un documento que muchas personas leen, copian a otros sistemas y conservan años. Si guarda el número de tarjeta completo, cada copia es otro lugar donde proteger ese dato. La política del banco pide que los registros guarden el número enmascarado o no lo guarden. Abre campos_sensibles y mira la columna tratamiento.

Apagar el registro del motor antifraude para no guardar el dato dejaría ciego al equipo de fraude. Cifrar el índice donde está el dato protege el almacenamiento, pero deja el campo completo en cada consulta y en cada copia. La corrección que cierra el hallazgo actúa en el origen y también sobre lo que ya se guardó.