PCI DSS en Honduras: el pentest del requisito 11.4 de la versión 4.0.1

PCI DSS aplica a toda entidad que almacena, procesa o transmite datos de titulares de tarjeta o datos sensibles de autenticación, o que puede afectar su seguridad. El estándar nombra a "merchants, processors, acquirers, issuers, and other service providers": comercios, procesadores, adquirentes, emisores y otros proveedores de servicios.

Lo que el estándar no decide es quién debe validar su cumplimiento ni cómo. Eso queda "at the discretion of those organizations that manage compliance programs (such as payment brands and acquirers)". En la práctica, un comercio hondureño pregunta a su banco adquirente. Un emisor o un procesador lo resuelve con las marcas de tarjeta.

En el mercado hondureño eso abarca a varios tipos de empresa:

La CNBS también mira los sistemas de tarjetas. El Art. 9 de la Circular CNBS 025/2022 obliga a notificar a la Comisión con 30 días calendario de anticipación el pase a producción de un cambio del sistema de información principal, y aclara que la disposición se aplica también a los sistemas de procesamiento de tarjetas de crédito. Un cambio grande en el entorno de tarjetas activa así dos relojes: el aviso a la CNBS y el pentest después del cambio que pide PCI DSS.

• Bancos que emiten tarjetas de débito o crédito.
• Emisoras y administradoras de tarjetas de crédito, que la circular de la CNBS incluye entre las empresas que pueden formar un grupo financiero.
• Bancos adquirentes y los procesadores que autorizan y liquidan transacciones.
• Comercios con tienda en línea o terminales de pago, y fintech que integran pagos con tarjeta.
• Proveedores de servicios que alojan, operan o pueden afectar el entorno de datos de tarjetas (CDE).

El requisito 11.4 se titula "External and internal penetration testing is regularly performed, and exploitable vulnerabilities and security weaknesses are corrected". Tiene siete subrequisitos. Los dos últimos aplican solo a proveedores de servicios.

Las pruebas interna (11.4.2) y externa (11.4.3) se hacen según la metodología definida por la entidad, al menos una vez cada 12 meses y después de cualquier actualización o cambio significativo de infraestructura o aplicación. La metodología del 11.4.1 debe incluir pruebas de capa de aplicación que identifiquen al menos las vulnerabilidades listadas en el requisito 6.2.4, pruebas de capa de red, pruebas que validen la segmentación y la revisión de amenazas y vulnerabilidades de los últimos 12 meses.

Los requisitos que la versión 4.0 marcó como buenas prácticas hasta el 31 de marzo de 2025 ya son exigibles. Si su último ciclo de evaluación se hizo con criterios anteriores, revise la metodología antes del próximo pentest.

El estándar no exige un QSA para el pentest. Los requisitos 11.4.2, 11.4.3 y 11.4.5 dicen lo mismo: la prueba la hace "a qualified internal resource or qualified external third party" y debe existir "organizational independence of the tester (not required to be a QSA or ASV)". Puede ser personal propio calificado, siempre que no dependa del área que administra los sistemas probados. También puede ser un tercero.

No confunda el pentest con el escaneo externo trimestral. El requisito 11.3.2 pide escaneos de vulnerabilidades externos al menos una vez cada tres meses, realizados por un Approved Scanning Vendor (ASV) aprobado por el PCI SSC. Ese escaneo es otra obligación, con otro proveedor posible, y no reemplaza al pentest.

Toukan no es QSA ni ASV. Hacemos el pentest de los requisitos 11.4.2 a 11.4.5 y entregamos el informe que usted presenta a su QSA o a su adquirente.

Un pentest PCI vale lo que valga su alcance. El requisito 12.5.2 pide documentar y confirmar el alcance de PCI DSS al menos una vez cada 12 meses y cuando haya un cambio significativo en el entorno. Hágalo antes de pedir propuestas, no después.

Esa validación incluye identificar todos los flujos de datos por etapa de pago (autorización, captura, liquidación, contracargos y devoluciones) y por canal de aceptación (con tarjeta presente, sin tarjeta presente y comercio electrónico). Incluye también todos los lugares donde se almacenan, procesan o transmiten datos de cuenta, incluidos los respaldos y los que quedan fuera del CDE definido.

Con esa información, la hoja de alcance del pentest debe decir:

• Qué segmentos de red forman el CDE y cuáles están conectados a él.
• Qué controles de segmentación existen y desde qué redes se probarán.
• Qué aplicaciones y API tocan datos de tarjeta, con sus roles de usuario.
• Qué IP públicas forman el perímetro externo del CDE.
• Qué cambios significativos hubo desde la última prueba.
• Qué queda fuera y por qué, por ejemplo sistemas de un procesador tercero sin autorización por escrito.

Un banco hondureño que emite tarjetas responde a dos marcos a la vez. El Art. 24 de la Circular CNBS 025/2022 pide "evaluaciones de seguridad y pruebas de intrusión a su plataforma tecnológica, ejecutadas por terceros", con periodicidad y alcance definidos con base en un análisis del perfil de riesgo de los procesos. PCI DSS fija un mínimo de 12 meses y una prueba después de cada cambio significativo.

Un solo pentest puede servir a los dos si el alcance se escribe pensando en ambos. Conviene cubrir dos diferencias. La CNBS pide que lo haga un tercero, mientras PCI acepta personal interno independiente. PCI además agrega obligaciones que la circular no detalla: repetir la prueba para verificar las correcciones (11.4.4) y guardar resultados y correcciones al menos 12 meses (11.4.1).

Lo práctico es que el análisis de riesgo de la CNBS ubique los procesos de tarjetas como de alto riesgo y que el pentest anual cubra el CDE completo, con su segmentación. Así el mismo informe va al expediente de la CNBS y al de PCI.

Al cerrar el ciclo, tenga a mano esta evidencia. Cada documento corresponde a un requisito, así que es fácil revisar si falta algo:

Guarde todo junto. Cuando el evaluador pregunte por el pentest después del último cambio significativo, usted debe poder mostrarlo sin buscar correos.

• La metodología de pentest documentada (11.4.1).
• La confirmación anual del alcance con sus diagramas de flujo de datos (12.5.2).
• Los informes de pentest interno y externo de los últimos 12 meses, y los posteriores a cambios significativos (11.4.2 y 11.4.3).
• La evidencia de independencia de quien hizo la prueba.
• El registro de correcciones y el informe de la nueva prueba que las verificó (11.4.4).
• Los resultados de la prueba de segmentación, si usa segmentación (11.4.5, y 11.4.6 para proveedores de servicios).

El paquete de Toukan pensado para PCI DSS 11.4 y para la auditoría anual combina red externa y una aplicación web en una sola prueba de 8 días, desde USD 5,500. La red interna y la prueba de segmentación se cotizan aparte según el número de segmentos y sistemas del CDE. De la firma al informe pasan de 2 a 4 semanas.

Cada paquete incluye una verificación de correcciones dentro de 90 días, que es la nueva prueba del 11.4.4. El informe ejecutivo y el técnico los firma la persona que acordó el alcance y dirigió la prueba, y cada hallazgo se confirma a mano. Las pruebas de denegación de servicio, la ingeniería social y los sistemas de terceros sin autorización por escrito quedan fuera.