PCI DSS en Guatemala: pruebas de penetración del Requisito 11.4

PCI DSS aplica a toda entidad que almacena, procesa o transmite datos de tarjetas, y a quien puede afectar la seguridad de ese entorno. En Guatemala eso abarca a los bancos que emiten tarjetas, a los adquirentes que afilian comercios, a los procesadores y pasarelas de pago, y a los comercios que reciben tarjetas en tienda o en línea. También entran los proveedores de servicios, como un centro de datos o una empresa que opera el sistema de autorizaciones de un banco.

La petición del informe puede venir del adquirente, de un banco cliente o del propio programa de cumplimiento de su empresa. El banco emisor responde además ante la Superintendencia de Bancos por la resolución JM-98-2025, que pide sus propias pruebas de penetración.

La versión vigente del estándar es la 4.0.1, publicada en junio de 2024. El Requisito 11.4 tiene siete partes. Estas son las que más pesan en una compra:

• 11.4.1: una metodología escrita que cubra todo el perímetro del entorno de datos de tarjetas (CDE) y los sistemas críticos, pruebas desde dentro y desde fuera de la red, pruebas de aplicación y de red, validación de la segmentación, y revisión de las amenazas y vulnerabilidades de los últimos 12 meses. Los resultados y las correcciones se guardan al menos 12 meses.
• 11.4.2 y 11.4.3: prueba interna y prueba externa al menos una vez cada 12 meses y después de cualquier cambio o actualización significativa de infraestructura o aplicaciones.
• Las hace un recurso interno o un tercero calificado, con independencia organizacional. El texto aclara que el probador no tiene que ser QSA ni ASV.
• 11.4.4: las vulnerabilidades explotables se corrigen según el riesgo que la entidad les asigna, y la prueba se repite para verificar las correcciones.
• 11.4.5: si usa segmentación para aislar el CDE, se prueba al menos cada 12 meses y después de cualquier cambio en esos controles.
• 11.4.6: los proveedores de servicios prueban la segmentación al menos cada seis meses.

El Requisito 11.3.2 pide escaneos externos de vulnerabilidades al menos una vez cada tres meses, hechos por un Approved Scanning Vendor (ASV) aprobado por el PCI SSC. Ese escaneo es automático y tiene que hacerlo un ASV.

El pentest del 11.4 es otra cosa. Una persona intenta explotar lo que encuentra, encadena fallas y documenta hasta dónde llegó. No necesita ser ASV ni QSA, pero sí calificada e independiente de quien administra los sistemas.

Toukan no es ASV ni QSA. Hace el pentest del 11.4. Si un proveedor le entrega el reporte del escaneo trimestral como si fuera la prueba de penetración anual, le faltará una de las dos piezas cuando llegue la evaluación.

El Art. 18 de la JM-98-2025 pide a bancos, sociedades financieras y empresas de grupos financieros pruebas de penetración "internas y externas", como mínimo una vez al año o según la exposición al riesgo tecnológico y los cambios significativos, con el resultado en un informe técnico. El 11.4 pide lo mismo en frecuencia y en dirección, interna y externa, para el entorno de tarjetas.

Un banco emisor puede planear una sola prueba anual con un alcance que cubra el CDE y el resto de lo que su análisis de riesgo marque como expuesto. El informe se organiza para que el asesor PCI encuentre el CDE y la segmentación, y el Oficial de Seguridad encuentre lo que la SIB y auditoría interna van a revisar. Así se paga una movilización y se corrige con un solo plan.

Para los procesadores hay otra razón. La JM-98-2025, en su Art. 41, pide a los bancos considerar el posible impacto en el funcionamiento del sistema de pagos al clasificar a sus proveedores como críticos. Un procesador que queda en esa categoría recibe las preguntas del Art. 40 b) sobre informes de auditorías independientes del último año, además de las que ya hace PCI DSS.

El alcance sale del diagrama de flujo de datos de tarjetas. Si no lo tiene actualizado, ese es el primer trabajo, antes de pedir propuestas. Con ese diagrama, la prueba se arma así:

• Externa: las IP públicas y las aplicaciones expuestas que reciben o transmiten datos de tarjetas, como el portal de pagos, la API de autorizaciones o el VPN de los comercios.
• Interna: los segmentos donde viven el switch, la base de datos de tarjetas y los servidores de autorización, probados desde la posición de un empleado o de un proveedor con acceso remoto.
• Segmentación: intentos de llegar al CDE desde cada red que usted declara fuera del alcance. Si falla, esas redes ya no pueden tratarse como fuera del alcance.
• Aplicaciones: la capa de aplicación, como mínimo frente a las vulnerabilidades que lista el Requisito 6.2.4.

Estos problemas aparecen cuando la prueba se compra solo para tener un papel:

• No probar la segmentación y dar por hecho que el CDE está aislado.
• Ser proveedor de servicios y probar la segmentación una vez al año en lugar de cada seis meses.
• Encargar la prueba al mismo equipo que administra los sistemas, sin independencia organizacional.
• Recibir el informe y no repetir la prueba sobre lo corregido, como pide el 11.4.4.
• Dejar fuera la prueba interna porque la externa salió limpia.

El paquete de auditoría y PCI DSS cuesta desde USD 5,500. Cubre la red externa con hasta 16 IP públicas activas y una aplicación web, en unos ocho días de prueba. La red interna y la segmentación del CDE se cotizan aparte, según el número de segmentos y sistemas. Una sola aplicación o la red externa por separado cuestan desde USD 3,000.

De la firma al informe pasan de dos a cuatro semanas. Recibe un informe ejecutivo y un informe técnico con el alcance, la metodología, cada hallazgo confirmado a mano con su evidencia y nivel de riesgo, y la corrección propuesta. La verificación de las correcciones dentro de 90 días está incluida, y deja por escrito la repetición que pide el 11.4.4. Firma el informe la persona que acordó el alcance y dirigió la prueba. Hay acuerdo de confidencialidad disponible.

El informe es evidencia para su evaluación de PCI DSS. Su empresa la presenta. La conclusión de esa evaluación no la da Toukan.