Vigilar cambios en la página de pago

El requisito 11.6.1 de PCI DSS v4.0, obligatorio desde el 31 de marzo de 2025, completa al 6.4.3. Pide un mecanismo de detección de cambios y manipulación que avise al personal cuando se modifiquen sin autorización las cabeceras HTTP que afectan a la seguridad y el contenido de los scripts de la página de pago, tal como los recibe el navegador del cliente. El mecanismo debe ejecutarse al menos una vez por semana, o con la frecuencia que fije un análisis de riesgo específico hecho según el requisito 12.3.1.

Dos detalles deciden si el monitor sirve. El primero es mirar lo que recibe el navegador: un robot que descarga el HTML sin ejecutarlo no ve los scripts que otro script trae ni lo que publica un gestor de etiquetas. El segundo es comparar contra algo aprobado: un cambio solo es «no autorizado» si existe un registro de lo que sí se autorizó.

Cada resultado del monitor se cruza con los cambios aprobados. Un cambio con ticket que coincide con lo aprobado se incorpora a la línea base; uno sin ticket se investiga. Este cruce es el trabajo semanal de quien atiende el monitor, y es donde un aviso se vuelve un hallazgo.

Abre el laboratorio y lee monitor-configuracion.txt, monitor-ejecuciones.txt, cambios-aprobados.txt y despliegues.txt en la carpeta anacona-vigilancia.

Una cabecera de seguridad que se relaja para una prueba y no vuelve a su estado es un cambio permanente con apariencia de temporal. La política de seguridad de contenido decide de qué dominios se aceptan scripts; un dominio añadido a esa lista sigue autorizado aunque el script que lo justificaba ya no esté.

La frecuencia del monitor es el tiempo máximo que un cambio puede vivir sin que nadie lo sepa. Un monitor semanal cumple el mínimo del requisito, pero eso no dice nada de si es suficiente para una tienda concreta: para eso existe el análisis de riesgo, y en Anacona no se hizo.

El comité quiere saber si hay que cambiar algo, ya que el monitor «cumple con el mínimo». Tienes una medida real de cuánto tardó un cambio en aparecer y sabes que el análisis de riesgo de la frecuencia no existe.