Pruebas de segmentación, lectura de informe

Si el aislamiento del CDE es lo que deja sistemas fuera del alcance, hay que demostrarlo. PCI DSS pide pruebas de penetración de los controles de segmentación al menos una vez cada doce meses y después de cualquier cambio en los controles o métodos de segmentación; los proveedores de servicio las repiten cada seis meses. Deben cubrir todos los métodos de segmentación en uso y comprobar que los sistemas fuera del alcance no llegan al CDE. Las hace una persona o empresa calificada e independiente.

Un informe de prueba se lee comparando lo probado con lo que existe.

Abre informe-de-segmentacion.txt. Cada prueba parte de un origen fuera del CDE hacia un destino dentro de él. El informe concluye que la segmentación es eficaz, pero una sola fila de resultado cuenta otra historia.

Compara matriz-de-metodos.csv, que lista los métodos de segmentación en uso, con la columna de método de las pruebas del informe. Un método que nadie probó es un aislamiento que se supone.

Abre cambios-de-segmentacion.csv. La política de Aldaba pide repetir la prueba después de cualquier cambio en los controles de segmentación. El informe terminó en la fecha que dice su encabezado. Mide la distancia entre ese fin y el cambio que modificó un método de segmentación más tarde.

El cambio de nombre de una zona del 2 de junio no cambió reglas; el que importa es otro.

Lee el encabezado del informe. El resultado puede ser correcto y aun así el informe no valer como prueba si quien lo hizo no cumple lo que pide la política: calificada e independiente de quien administra los controles probados.