Sala 2 · alcance y segmentación de pagos y tiendas

El alcance de un entorno de tarjetas lo definen los sistemas que guardan, procesan o transmiten datos de tarjeta, y los que pueden afectar su seguridad por estar conectados a ellos. Un sistema que hace alguna de las tres cosas no puede declararse fuera de alcance por estar en otra zona o por pertenecer a otro equipo: la declaración se contrasta con lo que el sistema hace.

La segmentación reduce el alcance solo si de verdad separa. Una zona declarada fuera de alcance que tiene una regla de permitir hacia la zona de tarjeta contradice la declaración: o la regla sobra, o la zona debería estar dentro. Una regla de denegar hacia la zona de tarjeta no la contradice.

Una prueba de segmentación respalda la declaración de alcance solo durante un tiempo: pasada su vigencia, hay que repetirla. La vigencia que fija la política del grupo se cuenta en meses completos desde la fecha de la prueba, y la fecha de vencimiento es el mismo día del mes en que se hizo. Cuenta la última prueba, no las anteriores.

Los cajeros son extremos de riesgo: se ponen en una VLAN propia por sucursal y solo hablan con quien autoriza sus operaciones. Un cajero que cae en la VLAN de otra sucursal arrastra consigo las reglas de esa otra red, y su tráfico deja de estar donde la segmentación supone.

Los datáfonos de una tienda viven en una zona propia y solo deberían salir hacia el procesador, a su dirección primaria o a la de respaldo. Cualquier otro destino, con pocas o muchas conexiones, es tráfico que el diseño no previó y que hay que explicar antes de aceptarlo.