Alcance y segmentación del entorno de tarjetas

PCI DSS se aplica al entorno de datos de tarjeta (CDE): las personas, los procesos y la tecnología que almacenan, procesan o transmiten datos de cuenta, más los sistemas que están conectados a ellos o que pueden afectar su seguridad. Cuanto más grande el alcance, más sistemas hay que evaluar y proteger.

La segmentación es una forma de reducir ese alcance: aislar el CDE del resto con firewalls, VLAN o listas de control de acceso en la nube. El estándar no la exige, pero si se quiere dejar sistemas fuera de alcance gracias a ella, el aislamiento tiene que ser real y comprobarse.

Abre politica-de-alcance.txt y reglas-hacia-el-cde.csv. La política define el CDE por zonas (CDE y ADMIN-CDE). Un sistema de la zona CORP, la red corporativa, no debería poder iniciar conexiones hacia la base sin que eso se vea como una puerta que amplía el alcance. En inventario-de-sistemas.csv está la zona de cada sistema.

Recorre las reglas "permitir" y mira, para cada una, de qué zona viene el origen.

La política dice que un sistema de CORP entra en alcance si almacena, procesa o transmite el número de tarjeta, o si tiene una regla "permitir" hacia un sistema que ya está en alcance. Es decir, el alcance se propaga por las conexiones permitidas: el sistema que consulta a otro que ya está dentro, también está dentro.

Aplica la regla a los sistemas de la zona CORP, sin contar los que solo tienen reglas de denegar.

Quedó claro que servidor-reportes y quien lo consulta están dentro. Hay varias maneras de responder. Dejar todo como está mantiene a dos sistemas más bajo evaluación. Sacarlos del alcance exige que el aislamiento sea cierto, no que el diagrama lo diga.