Alcance de datos de tarjeta en el pipeline

PCI DSS (Payment Card Industry Data Security Standard, versión vigente 4.0.1) protege los datos de tarjeta: el número de cuenta (PAN) y los datos sensibles de autenticación, como el código de verificación (CVV). Su alcance no se limita a la base de datos de pagos. Entran los sistemas que almacenan, procesan o transmiten datos de tarjeta, y también los que están conectados a ese entorno o pueden afectar su seguridad, aunque nunca vean una tarjeta.

Para un equipo de entrega, esto cambia las preguntas. Un servidor de compilación que solo ejecuta pruebas contra un simulador puede ser inocente; el mismo servidor, conectado al entorno de pagos y con acceso a sus secretos, ya cuenta.

El inventario del pipeline de Financiera Calden describe cada sistema con dos columnas que importan: qué hace con los datos de tarjeta (no los toca, los transmite o los almacena) y si está conectado al entorno de pagos. Un inventario así es el primer papel que pide un evaluador, y el que más se desactualiza.

Lee el inventario y busca el único sistema que almacena datos de tarjeta.

Con la regla de alcance de la empresa, cada fila del inventario se clasifica con una sola pregunta: ¿cumple alguna de las dos condiciones? Los que no, se dejan documentados con el motivo; no se borran de la lista, porque un evaluador querrá ver por qué se excluyeron.

Aplica la regla a todo el inventario y cuenta.

Los datos sensibles de autenticación, entre ellos el CVV, no pueden conservarse después de la autorización, ni siquiera cifrados. Un registro de compilación que los imprima es un almacenamiento no planeado, y además queda replicado en copias, paneles y respaldos. Mostrar el PAN enmascarado (los primeros seis y los últimos cuatro dígitos como máximo) es otra cosa: es el formato de visualización permitido.

Lee la salida de la compilación 4412 y busca el trabajo que escribió el código de verificación.

El hallazgo anterior tiene tres posibles respuestas, y solo una resuelve la causa. Cifrar el registro no sirve si el dato no debía existir; ocultar el campo en el visor tampoco, porque el archivo sigue ahí. La causa es que la prueba usa datos con forma de tarjeta real, y el pipeline los escribe sin filtro. En un pipeline, el control correcto es doble: las pruebas usan los números de prueba que publica el procesador (o fichas sin valor), y un filtro de registros impide que un campo de tarjeta se escriba.