Empresas de pago y PCI DSS 4.0.1: listas para la evaluación

El PCI Security Standards Council desarrolla y mantiene la norma, que fija una base de requisitos técnicos y operativos para proteger los datos de cuentas de pago. Para una empresa que almacena, procesa o transmite datos de tarjeta por cuenta de sus clientes, es el idioma común con adquirentes y marcas.

La revisión 4.0.1 aclaró redacciones y notas de aplicabilidad, también para emisores, y mantuvo la fecha de entrada en vigor de los requisitos nuevos. En la práctica, las políticas escritas para la 3.2.1 necesitan reescribirse por completo, y las escritas para la 4.0 solo una revisión frente a la redacción aclarada.

Hasta el 31 de marzo de 2025 se consideraban buenas prácticas. Ahora son obligatorios, y las empresas cuya última evaluación se hizo con la 3.2.1, o con la 4.0 sin ellos, ven puntos nuevos en el informe.

Scripts de la página de pago

Los requisitos 6.4.3 y 11.6.1 cubren el comercio electrónico: los scripts de la página de pago deben estar autorizados, con su integridad comprobada y vigilados frente a manipulaciones. Si su pasarela sirve el formulario de pago a los comercios, la cuestión les alcanza a usted y a ellos.

Confirmación anual del alcance

El requisito 12.5.2 introduce un ejercicio anual de confirmación del alcance: la empresa documenta dónde están los datos de tarjeta y qué sistemas se conectan a ellos antes de que llegue el evaluador.

El PCI SSC indica que las entidades que aceptan el cumplimiento, normalmente marcas de pago y adquirentes, determinan cómo validan comercios y proveedores de servicios y qué requisitos se evalúan. Por eso el primer paso es una respuesta escrita de su adquirente o socio sobre el formato.

Lo que conviene saber de una evaluación QSA

El evaluador marca un requisito como «no aplicable» solo tras confirmarlo con pruebas, y documenta esa confirmación. Una justificación débil del alcance alarga la evaluación: el evaluador amplía la muestra, y entran sistemas que usted no preparó.

Trazamos los flujos de datos de tarjeta: por dónde entran, dónde se guardan, quién llega a ellos y por qué vía. Después, con su equipo, vemos qué puede salir del alcance: segmentación de red, tokenización, almacenamiento en un procesador, eliminación de copias sueltas en registros y exportaciones. Cada proveedor que toca datos de tarjeta o puede afectar a su protección entra en el análisis, con el reparto de responsabilidades y sus confirmaciones de cumplimiento.

Cómo hacemos la preparación

1. Una consulta de pago de 30 minutos y una carta de alcance: sistemas, fechas, precio cerrado.
2. Evaluación de brechas frente a la 4.0.1, con un informe en lenguaje claro y un anexo técnico.
3. Remediación por nuestra parte o con su equipo; una persona verifica cada hallazgo.
4. Documentos y evidencias ordenados por número de requisito.
5. Nueva revisión antes de la evaluación QSA o del SAQ.

Si la evaluación exige una prueba de penetración, se organiza a petición con un proveedor independiente. La licencia de pago y el programa PBC/FT los llevan nuestros equipos de licencias y cumplimiento.