Datos de tarjeta: dónde no deben estar

PCI DSS distingue los datos de cuenta en dos grupos. El número de tarjeta (PAN) puede guardarse si se vuelve ilegible donde esté almacenado: cifrado fuerte, resumen unidireccional o truncado. Los datos sensibles de autenticación (el código de seguridad, el contenido completo de la pista de la banda y el PIN) no se conservan después de la autorización, ni siquiera cifrados.

Esto cambia lo que significa «cifrado»: sirve para el primer grupo y no basta para el segundo.

Abre ubicaciones-escaneadas.csv. Cada fila trae las coincidencias de número de tarjeta y las de código de seguridad. Las cifras grandes llaman la atención, pero la política de Aldaba tiene dos reglas distintas: el PAN fuera del CDE es una excepción, y el código de seguridad después de autorizar no se acepta en ningún sitio.

La política dice que fuera de la zona CDE no debe haber PAN, legible o no, salvo excepción escrita. No hay excepciones en la carpeta. Cuenta las ubicaciones cuya zona no es CDE y que tienen al menos una coincidencia de número de tarjeta. No cuentes las que tienen cero.

Cada una de esas ubicaciones es una pieza más que entra al alcance.

Mostrar el número completo en una pantalla es otra forma de exponerlo. Abre pantallas-de-la-aplicacion.csv: cada fila indica cuántos dígitos se ven al inicio y al final. La política interna de Aldaba permite como máximo seis al inicio y cuatro al final. La norma también fija un máximo de dígitos visibles; la cifra exacta depende de la versión y se verifica en el estándar vigente.