Definir y reducir el alcance

En pagos, el alcance lo fija una pregunta: ¿este sistema guarda, procesa o transmite datos de tarjeta, o está conectado a uno que sí lo hace, o puede afectar su seguridad? El conjunto de personas, procesos y tecnologías que guardan, procesan o transmiten esos datos se llama entorno de datos de tarjeta (CDE, por sus siglas en inglés). La norma PCI DSS, en su versión 4.0.1, aplica a ese entorno y a todo lo que lo toca.

Eso explica por qué un servidor que nunca ve un número de tarjeta puede entrar igual: si administra el CDE o autentica a quienes lo administran, un fallo en él abre la puerta al CDE.

El inventario es lo que la entidad cree que pasa. Una búsqueda de patrones de tarjeta es lo que pasa. Cuando no coinciden, manda la búsqueda: un sistema marcado como «no guarda tarjetas» con coincidencias es un hallazgo, porque el alcance se amplía a donde el dato realmente está. El caso típico son exportes de conciliación o reportes que alguien dejó en una carpeta compartida.

Cruza la tabla del inventario con el resultado de la búsqueda.

El tamaño del alcance se cuenta en sistemas. Un número que baja de una evaluación a la siguiente es la prueba de que la reducción funcionó; uno que se desconoce, la de que nadie lo ha medido. El conteo sale del inventario, filtrando por la columna que dice si el sistema alcanza al CDE.

Hay dos maneras de bajar el costo de proteger un dato: protegerlo mejor o no tenerlo. La segunda es casi siempre más barata y más segura. Un número de tarjeta que nadie necesita guardar, por ejemplo en un exporte antiguo de conciliación, no necesita cifrado, copias ni controles de acceso: se elimina y esa carpeta deja de ser un problema de pagos.

La tabla de reducciones compara cuatro medidas por dos cifras: cuántos sistemas salen del alcance y cuántas semanas lleva cada una. Una de ellas sustituye el número guardado por un valor sin uso fuera del procesador de pagos (tokenización): los sistemas que solo conservaban el número dejan de ser CDE. Elegir una medida es leer ambas cifras a la vez, porque lo que más saca suele ser también lo que más tarda.