Pentest PCI DSS 11.4 para emisores, procesadores, comercios y fintech en Centroamérica

PCI DSS tiene 12 requisitos principales. El 11 trata de probar la seguridad de sistemas y redes con regularidad, y su apartado 11.4 es el que habla de pentest. La versión vigente es la 4.0.1, publicada en junio de 2024. Varios requisitos nuevos de la versión 4.0 fueron buena práctica hasta el 31 de marzo de 2025 y desde entonces son obligatorios.

Estos son los puntos de 11.4 que más pesan al contratar una prueba.

Esta es la duda más común. Los requisitos 11.4.2, 11.4.3 y 11.4.5 dicen que la prueba la hace un recurso interno calificado o un tercero externo calificado, con independencia organizacional, y aclaran que no se requiere que sea un QSA o un ASV.

No hay que confundirlo con el escaneo externo trimestral del Requisito 11.3.2. Ese escaneo sí debe hacerlo un ASV, un proveedor de escaneo aprobado por el PCI Security Standards Council. Son dos cosas distintas con dos proveedores posibles.

Toukan no es QSA ni ASV y no emite un dictamen de conformidad PCI. Hacemos el pentest de 11.4 y entregamos el informe que usted presenta en su evaluación o a su adquirente.

El alcance parte del entorno de datos de tarjetas, el CDE: los sistemas que almacenan, procesan o transmiten datos de cuenta y los que se conectan con ellos. Para la prueba interna, PCI DSS aclara que significa probar desde dentro del CDE y hacia el CDE desde redes internas confiables y no confiables. Para la externa, el perímetro expuesto y los sistemas críticos accesibles desde redes públicas.

Si su institución usa segmentación para sacar sistemas del alcance, esa segmentación también se prueba, y es la parte que más se olvida. Una segmentación sin prueba no sostiene la reducción de alcance.

Para cotizar y planificar la prueba necesitamos cuatro documentos que su evaluación PCI DSS ya debería tener: el diagrama de red con el límite del CDE, el diagrama de flujo de datos de tarjetas, el inventario de sistemas dentro del CDE y la descripción de los controles de segmentación. Si existe un informe de pentest del año anterior, también sirve, porque 11.4.1 pide considerar las amenazas y vulnerabilidades de los últimos 12 meses.

Si alguno de esos documentos no existe o está desactualizado, conviene saberlo antes de la prueba. Un diagrama que no coincide con la red real es en sí mismo un hallazgo que su evaluador va a notar.

PCI DSS da ejemplos de lo que debe evaluarse como cambio significativo, y cada uno puede disparar una nueva prueba.

• Hardware, software o equipos de red nuevos dentro del CDE.
• Reemplazo o actualización mayor de hardware o software en el CDE.
• Cambios en el flujo o en el almacenamiento de datos de cuenta.
• Cambios en el límite del CDE o en el alcance de la evaluación.
• Cambios en la infraestructura de soporte, como servicios de directorio, registro y monitoreo.
• Cambios de proveedores que soportan el CDE.

El paquete de Auditoría y PCI DSS une red externa y una aplicación web en una sola prueba de 8 días, desde USD 5,500, con una verificación de correcciones dentro de 90 días. Sirve para muchos comercios y fintech cuyo CDE se expone sobre todo por un portal o una API de pagos.

La prueba interna, la segmentación y los CDE con varias aplicaciones se cotizan según alcance, después de una llamada en la que revisamos su diagrama de red y de flujo de datos de tarjetas. El precio queda cerrado una vez acordado. De la firma al informe pasan entre 2 y 4 semanas.

Ningún paquete incluye denegación de servicio, ingeniería social ni sistemas de terceros sin la autorización escrita de ese tercero. Si su procesador o su proveedor de nube opera parte del CDE, esa autorización se gestiona antes de empezar.

Recibe un informe ejecutivo para la gerencia y un informe técnico con cada hallazgo, la evidencia, los pasos para reproducirlo y la corrección sugerida. Los firma la persona que acordó el alcance y dirigió la prueba. El informe describe la metodología, el alcance, lo que quedó fuera y, si aplica, el resultado de la prueba de segmentación.

Todos los hallazgos se confirman a mano. El Requisito 11.4.4 pide corregir según el riesgo y repetir la prueba para verificar las correcciones. Toukan incluye esa verificación dentro de 90 días, y el informe actualizado marca cada hallazgo como corregido o pendiente. Guarde ambos informes al menos 12 meses, como pide 11.4.1.

La mayoría tiene que ver con el alcance, no con la prueba.

• Contratar el escaneo trimestral del ASV y creer que cubre 11.4. No lo cubre.
• Probar solo la red externa. 11.4.2 pide también la interna.
• Reducir alcance con segmentación y no probarla cada año, o cada seis meses si es proveedor de servicios.
• No repetir la prueba después de corregir. Sin la verificación de 11.4.4 el ciclo queda abierto.
• Olvidar que un cambio significativo, como mover el CDE a la nube, obliga a una nueva prueba antes del ciclo anual.