Por Hackanary — Ethical Hackers
Si tu empresa **almacena, procesa o transmite datos de tarjetas**, el estándar **PCI DSS** te obliga a probar tus defensas como lo haría un atacante. El requisito 11.4 de la versión 4.0 es el que regula las **pruebas de penetración**. Esta guía resume qué pide y cómo prepararte; si ya sabes lo que necesitas, revisa nuestro pentest PCI DSS.
Qué dice el requisito 11.4 de PCI DSS 4.0
- »**11.4.1 Metodología:** debes definir, documentar e implementar una metodología de pentest (basada en enfoques aceptados por la industria), que cubra todo el entorno de datos de tarjetas y los sistemas críticos, a nivel de red y de aplicación.
- »**11.4.2 Pentest interno:** al menos una vez cada 12 meses y después de cualquier cambio significativo de infraestructura o aplicaciones.
- »**11.4.3 Pentest externo:** con la misma frecuencia, sobre lo que está expuesto a internet.
- »**11.4.4 Corrección y retest:** las vulnerabilidades explotables deben corregirse y verificarse con una nueva prueba.
- »**11.4.5 Segmentación:** si aíslas el entorno de tarjetas con segmentación, esa segmentación también debe probarse.
- »**11.4.6 y 11.4.7:** para proveedores de servicios, prueba de segmentación con mayor frecuencia (cada seis meses) y apoyo a las pruebas de sus clientes en el caso de proveedores multiusuario.
Además, quien realiza la prueba debe ser personal calificado, con **independencia organizacional** respecto de los sistemas que prueba (no tiene que ser una empresa externa, pero sí no depender de quien los administra).
Pentest, escaneo ASV y auditoría: tres cosas distintas
El **escaneo ASV** es una revisión automatizada trimestral de los sistemas expuestos, hecha por un proveedor aprobado. El **pentest** es una prueba manual que intenta explotar y encadenar vulnerabilidades. La **evaluación de cumplimiento** la hace un evaluador (QSA) o se completa una autoevaluación (SAQ), según tu nivel. El pentest no reemplaza ninguna de las otras dos.
Qué entra en el alcance
- »El **entorno de datos de tarjetas (CDE)**: sistemas que almacenan, procesan o transmiten datos de tarjetas.
- »Los **sistemas conectados** que podrían afectar la seguridad del CDE.
- »Las **aplicaciones web y APIs** de pago.
- »La **segmentación** que separa el CDE del resto de la red.
- »Infraestructura **interna y externa**.
Un alcance bien definido evita pagar por lo que no corresponde y evita sorpresas con tu evaluador.
Ecommerce y pasarelas de pago
Si el cliente digita la tarjeta en tu sitio, tu alcance PCI es amplio. Si lo rediriges a la pasarela, es menor, pero tu sitio sigue siendo un blanco y conviene probarlo. Revisa el pentest para e-commerce.
Cómo prepararte
- »Define el alcance con tu evaluador antes de contratar el pentest.
- »Agenda el pentest con tiempo para corregir y hacer el retest antes de tu evaluación.
- »Guarda la metodología, el informe y el retest como evidencia del 11.4.
- »Vuelve a hacerlo cada 12 meses y tras cada cambio significativo.
Preguntas frecuentes
¿Cada cuánto exige PCI DSS el pentest?
Al menos una vez cada 12 meses y después de cualquier cambio significativo. La segmentación se prueba con la misma frecuencia, y los proveedores de servicios, con mayor frecuencia.
¿Se necesita pentest interno y externo?
Sí, el requisito 11.4 pide ambos.
¿Basta con el escaneo ASV?
No. El escaneo ASV es automatizado y trimestral; el pentest es manual y cubre cosas que un escáner no ve.
¿Quién puede hacer el pentest?
Personal calificado con independencia organizacional respecto de los sistemas que prueba, ya sea un tercero o un equipo interno independiente.
¿Necesitas cumplir el 11.4? Cotiza tu pentest PCI DSS por WhatsApp. Desde **25 UF + IVA**, con 2 retests incluidos y tarifa preferente para clientes recurrentes.