Gestión de cambios en entornos regulados

PCI DSS pide que los cambios en el entorno de tarjetas sigan un procedimiento con motivo, aprobación, pruebas y plan de reversa, y que, al terminar un cambio significativo, se confirme que los requisitos aplicables siguen vigentes en los sistemas y redes afectados, actualizando la documentación cuando haga falta.

El cambio no termina al desplegar; termina al comprobar que no rompió nada de lo ya cumplido.

Abre registro-de-despliegues.csv y solicitudes-de-cambio.csv. La política prohíbe cualquier despliegue sin solicitud aprobada. Cruza cada despliegue con su solicitud: un renglón de despliegue cuya columna de solicitud está vacía no tiene a nadie que lo respalde.

La política exige que apruebe una persona distinta de quien solicita. En solicitudes-de-cambio.csv están las dos columnas. Es un control de separación de funciones: sin él, el control de cambios existe en el papel y quien tiene el acceso decide solo.

Todo cambio que toque el CDE debe tener plan de reversa. Cuenta las solicitudes que tocan el CDE y no lo tienen. Una solicitud que no toca el CDE no entra en la cuenta, aunque también le falte.

El impacto de seguridad documentado es lo que permite ver, antes de aprobar, que un cambio amplía el alcance. En la tabla, una solicitud que toca el CDE y modifica un control de red sin ese análisis es la más delicada.