PCI DSS en El Salvador: el pentest del requisito 11.4

PCI DSS es el estándar de seguridad de la industria de tarjetas de pago, publicado por el PCI Security Standards Council. No es una ley salvadoreña ni una norma de la Superintendencia. La obligación llega por contrato, a través de las marcas de tarjetas y del banco adquirente. La versión vigente es la 4.0.1, de junio de 2024.

En El Salvador la piden, entre otros, los bancos que emiten o adquieren tarjetas, los bancos cooperativos y sociedades de ahorro y crédito con productos de tarjeta, los procesadores de pago, las fintech que cobran con tarjeta y los comercios con tienda en línea. Un proveedor que opera sistemas dentro del entorno de tarjetas de un banco también suele recibir la pregunta.

El requisito 11.4 regula las pruebas de penetración externas e internas. Sus seis subrequisitos, resumidos:

El punto del evaluador importa para comprar. Los requisitos 11.4.2 y 11.4.3 permiten que la prueba la haga "a qualified internal resource or qualified external third-party", siempre que exista independencia organizacional, y aclaran que no se requiere ser QSA ni ASV. Un equipo interno puede hacerla si no administra los sistemas que prueba.

• 11.4.1: una metodología de pentest definida, documentada e implementada, que cubre todo el perímetro del entorno de datos de tarjetas (CDE) y los sistemas críticos. Los resultados y las correcciones se conservan al menos 12 meses.
• 11.4.2: pentest interno al menos una vez cada 12 meses y después de cualquier cambio o actualización significativa de infraestructura o aplicaciones.
• 11.4.3: pentest externo con la misma frecuencia y el mismo disparador por cambios.
• 11.4.4: las vulnerabilidades explotables se corrigen y la prueba se repite para verificar las correcciones.
• 11.4.5: si la segmentación aísla el CDE, se prueban los controles de segmentación cada 12 meses y después de cambios en ellos.
• 11.4.6: los proveedores de servicios que usan segmentación la prueban cada seis meses.

La confusión más común es tomar el escaneo externo trimestral del requisito 11.3.2 por el pentest. El escaneo lo hace un ASV, un proveedor aprobado por el PCI Security Standards Council, y es automatizado. El pentest del 11.4 es una prueba manual que intenta explotar lo que encuentra, y no requiere un ASV.

También conviene separar el pentest del Reporte de Cumplimiento. El reporte lo emite un QSA. Toukan no es QSA y no emite ese reporte. Nuestro informe es una pieza de evidencia que su QSA revisa junto con el resto.

Para un banco salvadoreño, los datos de tarjeta ya son información protegida por la regulación local. La NRP-32 define como dato sensible, entre otros, el "número de la tarjeta" y el "código de seguridad de la tarjeta" (Art. 3 m). Sus canales digitales incluyen cajeros automáticos y puntos de venta, y su Art. 14 pide cifrar la información crítica en reposo y en tránsito.

La NRP-23 pide pruebas de vulnerabilidad e intrusión al menos una vez al año y cuando cambie la infraestructura (Art. 20 i), y la NRP-32 pide remediar o mitigar todas las brechas, no solo las críticas y altas (Art. 5). PCI DSS agrega el pentest interno, las pruebas de segmentación y la repetición de la prueba para lo explotable.

En la práctica, una sola ventana de prueba al año puede cubrir los tres marcos si el alcance incluye el CDE, la red interna que lo rodea y los canales digitales. El informe ordena los hallazgos por sistema y su equipo los presenta a cada lector: el QSA, auditoría interna y la Superintendencia.

El alcance de PCI DSS empieza por un diagrama de flujo de datos de tarjeta actualizado. Sin él, la prueba termina cubriendo lo que el equipo recordó ese día. Antes de pedir propuestas, reúna lo siguiente y envíe la misma hoja a todos los proveedores:

Las pruebas de denegación de servicio y la ingeniería social quedan fuera por defecto en Toukan. Los sistemas de un tercero, como la plataforma de un procesador, solo entran con la autorización escrita de ese tercero.

• Las IP públicas que reciben o exponen datos de tarjeta, incluidas pasarelas de pago y VPN de procesadores.
• Las aplicaciones y APIs que capturan o muestran el número de tarjeta: tienda en línea, portal de clientes, banca en línea.
• Los segmentos de red interna que forman el CDE y los que se conectan con él.
• Los controles de segmentación que dicen separar el CDE del resto de la red.
• Los cambios significativos desde la última prueba.

Probar solo el perímetro externo deja fuera el 11.4.2, que es interno. Otro error frecuente es entregar el informe sin repetir la prueba: el 11.4.4 pide verificar que lo explotable se corrigió. También aparece el problema de independencia cuando la prueba la hace el mismo equipo que administra los servidores del CDE.

Otros dos detalles se ven en auditoría. Una API de pagos nueva puede quedar fuera del alcance porque no estaba en el diagrama. Y los resultados del año anterior a veces ya no se encuentran, cuando el 11.4.1 pide conservarlos al menos 12 meses.

El paquete Auditoría y PCI DSS cubre la red externa y una aplicación web en una sola prueba de 8 días, desde USD 5,500. Incluye la verificación de las correcciones dentro de 90 días, que es la repetición que pide el 11.4.4. La red interna del CDE y las pruebas de segmentación se cotizan según el número de segmentos y sistemas, porque no caben en un precio de entrada.

Del contrato firmado al informe pasan de 2 a 4 semanas. Cada hallazgo se confirma a mano, con evidencia reproducible. El informe ejecutivo y técnico lo firma la persona que acordó el alcance y dirigió la prueba, y su metodología queda escrita para el 11.4.1. Firmamos un NDA antes de recibir información.