Cumplimiento PCI DSS y desarrollo para FinTech, e-commerce y SaaS

El PCI SSC define nueve tipos de SAQ. El SAQ A se aplica a los comercios de e-commerce/MOTO que externalizan por completo el tratamiento de los datos de titulares de tarjeta a un tercero validado por PCI (página de pago alojada, redirección completa). El SAQ A-EP se aplica a los comercios cuyo sitio web afecta al pago pero no recibe datos de titulares (p. ej., JavaScript que envía los datos directamente a un procesador; la nueva v4.0.1 añade aquí requisitos de integridad de scripts). El SAQ B es para terminales de impresión manual o de marcación autónoma; el SAQ B-IP, para terminales IP autónomos. El SAQ C y el C-VT son para sistemas de aplicaciones de pago y terminales virtuales. El SAQ D es el cuestionario completo de más de 300 preguntas: todo proveedor de servicios y todo comercio que almacena datos de titulares acaba aquí. Trabajamos para que descienda por la escalera de SAQ: la tokenización, los patrones de iframe/redirección, los terminales validados por P2PE (SAQ P2PE) y el aislamiento de red del CDE suelen llevar a un comercio de nivel 2 del SAQ D al SAQ A-EP o al SAQ A.

PCI DSS v4.0 sustituyó a la v3.2.1 el 31 de marzo de 2024; la v4.0.1 (versión de erratas) es ahora la única versión vigente. Los nuevos requisitos «con fecha futura» pasaron a ser obligatorios el 31 de marzo de 2025; entre ellos figuran los análisis de riesgos dirigidos para cada requisito que admite flexibilidad, los mecanismos automatizados para la revisión de logs (Req. 10.4.1.1), los análisis internos de vulnerabilidades autenticados (Req. 11.3.1.2), los controles de integridad de scripts de la capa web (Req. 6.4.3 y 11.6.1, críticos para el SAQ A-EP), la MFA para todo acceso al CDE (Req. 8.4.2/8.5) y la asignación documentada de cada requisito a un rol. Cerramos las brechas de la v4.0.1 y documentamos los análisis de riesgos dirigidos que le pedirá su QSA.

Un QSA (Qualified Security Assessor) es un evaluador externo certificado por el PCI SSC para realizar auditorías de Report on Compliance (RoC), obligatorias para los comercios de nivel 1 y para la mayoría de los proveedores de servicios de nivel 1. Un ISA (Internal Security Assessor) es un empleado interno certificado para realizar evaluaciones internas y firmar SAQ en nombre de su empleador. Un ASV (Approved Scanning Vendor) es una certificación distinta para proveedores que realizan los análisis externos trimestrales de vulnerabilidades según el Req. 11.3.2; Qualys, Tenable, Rapid7 y otros cuentan con el estatus ASV. Normalmente necesita un ASV desde el primer día (análisis trimestrales) y un QSA solo si es de nivel 1 o un proveedor de servicios incluido en la lista obligatoria de la marca. No somos un QSA ni un ASV; somos el equipo que le prepara para ambos y gestiona la relación.

El alcance de PCI DSS lo define el entorno de datos de titulares de tarjeta (CDE): cualquier sistema que almacena, procesa o transmite datos de titulares, más los sistemas conectados. La tokenización sustituye el PAN por un token no sensible emitido por un servicio de tokenización validado por PCI; si el PAN nunca toca sus sistemas (o solo toca una bóveda estrictamente acotada), la mayor parte de su stack queda fuera de alcance. El P2PE (Point-to-Point Encryption) es una solución validada por el PCI SSC que cifra los datos de la tarjeta en el hardware del terminal con una clave que sus sistemas no pueden descifrar; los comercios que cumplen los requisitos pasan al SAQ P2PE (~35 controles frente a más de 300). Diseñamos la arquitectura de tokenización/P2PE, documentamos la reducción del alcance en una memoria de alcance por escrito que su QSA aceptará y segmentamos el CDE residual tras firewalls/VPC peering con controles de flujo documentados.

Por capas: PCI DSS protege los datos de titulares de tarjeta en reposo y en tránsito; la autenticación reforzada de cliente (SCA) de PSD2 regula cómo se autentica un pagador en una transacción en el EEE/Reino Unido (y EMV 3-D Secure 2.x es el protocolo técnico que la implementa); el RGPD añade obligaciones sobre datos personales por encima de PCI: el PAN es un dato personal según el RGPD. Los controles CC y C de SOC 2 se solapan en un ~60 % con los Req. 7, 8, 10 y 12 de PCI. Construimos un único mapa integrado de controles: flujos SCA, exenciones de 3DS, base jurídica del artículo 6 del RGPD para el tratamiento de pagos, cifrado y controles de acceso de PCI DSS y evidencias de SOC 2, todo alineado para que un mismo control cumpla varias obligaciones.

Tres fases delimitadas, con el presupuesto de cada una acordado antes de empezar el trabajo. Delimitación del alcance (2–3 semanas): mapeo del CDE, decisión de elegibilidad de SAQ, memoria de arquitectura de reducción del alcance (tokenización, redirección, P2PE), análisis de brechas frente a los controles del SAQ aplicable y hoja de ruta de remediación. Implementación (8–12 semanas): segmentación de red, MFA en todo acceso al CDE, cifrado (FIPS 140-2/3), logging según el Req. 10 con revisión automatizada, desarrollo seguro según el Req. 6, gestión de proveedores según el Req. 12.8, controles de scripts de la capa web según el Req. 6.4.3/11.6.1 y el paquete de políticas de PCI DSS. Renovación anual del SAQ: supervisión de los análisis del ASV (trimestrales a lo largo del año), actualización de los análisis de riesgos dirigidos, cumplimentación del SAQ y apoyo a la firma del AOC. Cada fase es de alcance cerrado, con un presupuesto acordado de antemano y sin recargos de gran empresa; los honorarios del QSA los factura aparte la firma QSA.

Los comercios aceptan tarjetas de pago por bienes o servicios. Los proveedores de servicios almacenan, procesan o transmiten datos de titulares de tarjeta en nombre de otra entidad, incluidas las empresas de hosting, los facilitadores de pagos, los servicios gestionados de seguridad y los proveedores de software cuyos productos tocan el CDE. Los proveedores de servicios se enfrentan a estándares más exigentes: los de nivel 1 deben completar un Report on Compliance (RoC) anual en lugar de un SAQ; pruebas de segmentación cada seis meses (frente a anuales para los comercios); reconocimiento trimestral por parte del personal de su responsabilidad con las políticas de PCI; y un responsable de seguridad designado según el Req. 12.4.2. Si su producto se vende a comercios o a otros proveedores de servicios y toca sus flujos de datos de titulares, usted es un proveedor de servicios. Evaluamos qué designación corresponde en la fase de delimitación del alcance y construimos el programa en consecuencia.

Sí. Las tres grandes nubes publican matrices de responsabilidad de PCI DSS que especifican qué controles se heredan del proveedor de nube y cuáles siguen siendo obligación del cliente. La seguridad física (Req. 9), el mantenimiento del hardware y el aislamiento del hipervisor se heredan por lo general; la segmentación de red, el IAM, la gestión de claves de cifrado, el logging y todos los controles de la capa de aplicación siguen siendo del cliente. AWS, GCP y Azure publican cada una su propio AOC y su matriz de responsabilidad. Construimos su CDE sobre la landing zone de nube correspondiente con servicios dentro del alcance de PCI DSS (p. ej., AWS KMS con HSM validados FIPS 140-2 de nivel 3), documentamos los controles heredados en la memoria de alcance e implementamos las obligaciones restantes del cliente con evidencias defendibles ante un QSA.

Para un comercio que pasa a SAQ A-EP mediante tokenización y checkout con redirección: 8–12 semanas de principio a fin (2–3 semanas de delimitación del alcance, 6–8 semanas de implementación y unos días para cumplimentar el SAQ una vez implantados los controles). Para el SAQ D (almacenamiento de datos de titulares) o un RoC (comercio de nivel 1 o proveedor de servicios): lo habitual son 16–24 semanas, determinadas por el backlog de remediación que aflora en el análisis de brechas y por el calendario de trabajo de campo del QSA. El principal lastre del calendario es siempre la capacidad interna para recopilar evidencias, aprobar políticas y gestionar los cambios de red, no los controles técnicos en sí. Tras la fase de delimitación del alcance entregamos una hoja de ruta semana a semana con responsables asignados.

Una brecha antes del cumplimiento no suspende la obligación de PCI, sino que la acelera. Las multas de las marcas de tarjetas por incumplimiento y brecha suelen oscilar entre $5,000 y $100,000 al mes por marca; la evaluación forense posterior a la brecha (PFI, Payment Card Industry Forensic Investigation) es obligatoria y debe realizarla un QSA con credenciales PFI. El PFI determina si la brecha estaba dentro del alcance de los requisitos de PCI DSS y qué controles fallaron. Desde el punto de vista de ingeniería, la prioridad de remediación tras la contención es la misma lista de controles que implementamos en un proyecto normal, pero con presión de tiempo, con un investigador PFI revisando las evidencias y con un responsable de cumplimiento de la marca de tarjetas implicado. No somos una firma PFI; en un escenario de brecha trabajamos junto a su equipo jurídico, el banco adquirente y el PFI para cerrar las brechas técnicas y reconstruir el CDE sobre la arquitectura delimitada. El mejor momento para remediar es antes de la brecha.