Pruebas de segmentación y cómo se demuestran

La norma no obliga a segmentar. Lo que dice es que, si la empresa usa la segmentación para aislar el CDE, debe probar esos controles con una prueba de penetración que cubra todos los controles o métodos de segmentación en uso, que confirme que funcionan y que aíslan el CDE de todos los sistemas fuera de alcance, y que siga la metodología declarada de la empresa (requisito 11.4.5).

En la práctica, la prueba se hace desde cada segmento declarado fuera hacia el CDE: buscar equipos activos y probar puertos y servicios, como en las primeras fases de una prueba de red. Si desde un segmento se llega a algo del CDE, ese segmento no está aislado, y la conclusión no puede ser «la segmentación es eficaz».

Abre el laboratorio y lee el resultado de la prueba P-26. La conclusión del informe dice una cosa; la tabla, otra. Un puerto abierto hacia una base de pagos basta: la regla que lo permite puede ser estrecha, pero es un camino.

Los métodos de segmentación no son solo cortafuegos. Las listas de acceso de un enrutador, las VLAN con filtrado y los grupos de seguridad de una nube también separan, y cada uno puede estar mal configurado de una forma distinta. Si el informe solo atraviesa algunos, no demuestra nada sobre los otros. La norma pide cubrir todos los que están en uso.

La entrevista explica por qué se saltaron algunos segmentos: «ahí no hay nada importante». Ese no es el criterio de la norma. Lo que importa no es qué hay en el segmento, sino si puede llegar al CDE; y un segmento que nadie probó no tiene evidencia de que no pueda.

El informe dice que la respuesta desde videovigilancia «se revisará». Mientras ese camino exista, el segmento no está aislado: o se corrige la regla y se repite la prueba, o el segmento entra en el alcance con todo lo que eso supone. Dejarlo como observación al pie de una conclusión positiva es lo que un evaluador de cumplimiento no va a aceptar.