Segmentación como reducción de alcance

La norma PCI DSS no obliga a segmentar. Pero si el banco usa la segmentación para dejar sistemas fuera del alcance, el requisito 11.4.5 de la versión 4.0.1 le exige probarla: al menos cada doce meses y después de cualquier cambio en sus controles o métodos, y que la prueba confirme que los sistemas fuera de alcance quedan aislados del CDE.

Una regla bien escrita en el papel no basta. Lo que cuenta es lo que la prueba observó.

Una regla que permite cualquier origen hacia el CDE por cualquier puerto anula la segmentación, aunque las demás sean estrictas: el cortafuegos evalúa en orden y esa regla deja pasar el tráfico antes de llegar a la final de denegación. Suelen nacer como «temporales» durante una migración y quedan años después.

Lee las reglas hacia el CDE que dejan pasar tráfico.

Una prueba de segmentación es una pareja: lo que la política dice que debe pasar y lo que se observó. Si coinciden, la barrera funciona para ese camino. Si no, el hallazgo es de la barrera: el camino existe, aunque nadie lo haya dibujado. Una sola prueba fallida basta para que los sistemas de esa zona vuelvan al alcance hasta que se corrija y se repita.

El plazo de la prueba se cuenta en días reales entre la fecha de la última serie y la de la revisión. Un año calendario no es siempre la misma cantidad de días; por eso se calcula con las fechas, no de memoria. Si el resultado supera un año, la prueba ya está vencida y el banco tiene que repetirla antes de afirmar que la segmentación reduce su alcance.