Frecuencia y disparadores de las pruebas

PCI DSS separa dos actividades que los clientes suelen confundir. El escaneo de vulnerabilidades (requisito 11.3) se hace al menos cada tres meses: el interno lo puede hacer personal cualificado e independiente, y el externo lo hace un proveedor de escaneo aprobado por el consejo del estándar (ASV). La prueba de penetración (requisito 11.4) es otra cosa: una persona cualificada intenta aprovechar las debilidades, siguiendo una metodología, para saber hasta dónde se llega.

Un informe de escaneo trimestral, por limpio que sea, no sustituye a la prueba de penetración, y al revés tampoco.

La prueba de penetración interna y la externa se hacen al menos una vez cada doce meses, y también después de cualquier actualización o cambio significativo de infraestructura o de aplicaciones. La norma no hace una lista cerrada de qué es significativo: lo decide la empresa, y el evaluador de cumplimiento revisa si lo decidió con criterio.

Abre el laboratorio y lee historial-de-pruebas.txt. Mira las fechas de las pruebas externas.

El disparador por cambio es donde más fallan los clientes, porque depende de una decisión interna. Un comité que clasifica todo como «estándar» deja la regla sin efecto. Un cambio de versión mayor del software que procesa pagos, un sistema operativo nuevo o una aplicación reescrita son significativos para la seguridad del CDE, aunque el servidor conserve su nombre.

Lee registro-de-cambios.txt y compáralo con las fechas del historial.

Si la empresa usa segmentación para sacar redes del alcance, la norma pide probar esos controles al menos una vez cada doce meses y después de cualquier cambio en los controles o métodos de segmentación (requisito 11.4.5). Aquí no hay que discutir si el cambio es significativo: cualquier cambio en lo que separa el CDE del resto obliga a demostrar de nuevo que la separación funciona.

Ferreterías Pupiales es un comercio. Si fuera un proveedor de servicios (una pasarela, un procesador, un centro de datos que aloja el CDE de otros), la norma le pide más: la prueba de los controles de segmentación al menos cada seis meses y después de cualquier cambio en ellos (requisito 11.4.6), y la confirmación de su alcance también cada seis meses (12.5.2.1).