Segmentación y alcance en PCI DSS

PCI DSS no exige segmentar la red. Lo que ocurre es que, sin segmentación, toda la red cuenta como alcance. Con ella, los sistemas realmente aislados del entorno de datos de tarjeta pueden quedar fuera de alcance, y eso reduce trabajo y riesgo. Pero la organización que lo declara debe poder demostrarlo.

El alcance se construye con tres grupos: los sistemas que tratan datos de tarjeta, los que están conectados a ellos o pueden afectar su seguridad, y los que dan servicios de seguridad. Un sistema que se comunica con el entorno de tarjetas no puede declararse sin más como «fuera de alcance».

Consulta sistemas y compara el alcance declarado con la columna de conexión con el entorno de tarjetas.

Las reglas entre segmentos son la evidencia más directa de la separación: lo que está permitido es lo que de verdad cruza. Una regla amplia hacia el entorno de tarjetas, nacida de una prueba o de una urgencia, puede deshacer la segmentación que el diagrama presume.

Consulta reglas_entre_segmentos y busca una regla que permita todo desde un segmento que se declaró aparte.

Cuando se usa la segmentación para reducir el alcance, PCI DSS pide probar los controles de segmentación al menos cada 12 meses y también tras cualquier cambio en ellos. La prueba la hace una persona calificada e independiente, y debe cubrir todos los controles y métodos de segmentación en uso.

Mira pruebas_de_segmentacion y calcula cuántos días pasaron entre la última prueba y la fecha del informe, el 15 de junio de 2028 (2028 es bisiesto).

El objetivo de la prueba es confirmar que el entorno de tarjetas queda aislado de lo que se declaró fuera de alcance. Si una prueba muestra que un sistema «fuera» puede llegar al entorno de tarjetas, esa premisa se rompe.