PCI DSS 4.0 Requisitos 11.3 y 11.4: Lo que en realidad consigue testado

Los marcos de seguridad hablan sobre pruebas de penetración. Piden "seguro técnico" o "prueba independiente" y dejan al resto a la interpretación. PCI DSS no. Es el único marco en la familia de cumplimiento que llama la prueba de penetración explícitamente y fija un calendario a él — y la versión 4.0 apretó los tornillos en lugar de aflojarlos. Si su ventana de evaluación aterriza este año, la pregunta ya no es si usted necesita un test, pero si el que usted tiene sobrevivirá la lectura de un QSA. La confusión casi siempre comienza en el mismo lugar: los equipos tratan "canning" y "testing" como dos palabras para la misma actividad, programa uno, y descubren en el tiempo de evaluación que el estándar quería ambos. Los requisitos 11.3 y 11.4 se dividen deliberadamente por esa razón. Uno es automatizado, trimestral y responde a una casilla de verificación. El otro es manual, anual y responde a una pregunta mucho más difícil — ¿alguien puede realmente llegar a los datos de la tarjeta? Lo que cuenta como en el alcance indicado/h2 título El perímetro no es "el servidor de pago". Es el entorno de datos de los titulares de tarjetas & mdash; el CDE — más cada sistema que puede conectarse a él o influir en su seguridad. Esa segunda cláusula es donde la mayoría de los argumentos se pierden. Las estaciones de trabajo administrativas, los sistemas de autenticación, las plataformas de monitoreo y los proveedores de servicios conectados se sientan dentro del límite, ya que cada una de ellas es una ruta plausible en. Y esa distinción se demuestra mediante pruebas de segmentación, no por documentación. La sorpresa más común en la evaluación es un VLAN que el dibujo de arquitectura llama "separado" pero que todavía alcanza el CDE a través de una regla olvidada del cortafuegos o un salto a través de una estación de administración. La segmentación no demostrada no encoge su perímetro. Se agranda silenciosamente, y arrastra todos los requisitos junto con él. Precaución: Un diagrama de red que muestra una separación limpia entre la TI corporativa y el CDE no prueba nada por sí solo. Si usted no puede mostrar un probador tratando de cruzar ese límite y falla, el QSA tiene que asumir el límite no existe. El requisito 11.3 cubre el escaneo, y es estricto tanto sobre cadencia como autoría. Necesitas escaneos internos y externos al menos trimestralmente, además de un escaneo después de cualquier cambio significativo — un nuevo servicio de cara pública, un segmento re-arquitectado, un importante despliegue de aplicaciones. El reloj se reinicia en el cambio, no en el calendario.Seguido/por ejemplo, los escaneos externos deben ser realizados por un ASV, un proveedor de escaneado aprobado autorizado por el Consejo de Normas de Seguridad del PCI. Se pueden realizar escaneos internos, pero por personal independiente del equipo que administra los sistemas analizados. Esa cláusula de independencia no es una formalidad; es la diferencia entre un escaneo y una autoevaluación. Y un escáner "pasar" tiene un significado específico: cero vulnerabilidades de alta resistencia. No "los hemos conectado a todos". No "aceptamos el riesgo". Cero. Estos son los equipos que más a menudo creen que han satisfecho cuando no lo han hecho. Un reporte trimestral de escaneo lleno de críticos no pareados no es evidencia de cumplimiento — es evidencia de una exposición conocida, no tocada, timetamped por su propio proveedor. Aquí el estándar se vuelve inusualmente específico, y vale la pena leer los sub-requisitos como una especificación en lugar de una sugerencia. Requirement 11.4 exige una metodología documentada, pruebas externas e internas al menos anualmente y después de cambios significativos de infraestructura o aplicación, cobertura de todo el perímetro de CDE tanto a través de las capas de red como de aplicaciones, y remediación de vulnerabilidades explotables seguido de retesting. Dos cláusulas aumentan aún más la barra para los proveedores de servicios. Requirement 11.4.6 requiere pruebas de segmentación cada seis meses en lugar de anualmente. Requisito 11.4.7 añade pruebas de aislamiento entre los clientes para proveedores de múltiples contenedores — un requisito que se pone al día precisamente con cómo funcionan las plataformas de pago de SaaS, donde la malconfiguración de un inquilino puede convertirse en la violación de otro inquilino. Escaneo externo mediante ASV aprobado Interruptores de testación/tdización de usuario/empleado/empleado/empleado/empleado/empleado/empleado/empleo/empleo/empleo/empleo/empleado/empleado/empleado/proveedor de test de penetración/td) Por requisito de segmentación aplicable efectuada/td indica/tr contactos/tbody especifica/table Lea esa tabla como un mapa de cobertura, no una lista de verificación. Un único pentest anual que toca el tier web externo y se detiene allí no satisface 11.4.2, que explícitamente quiere la red interna y la capa de aplicación también. Las dos capas captan diferentes cosas: las pruebas de red encuentran el camino, las pruebas de aplicación encuentran la puerta abierta al final de ella. El propio informe es donde se ganan o pierden compromisos. A QSA no está leyendo sus hallazgos para el entretenimiento; están comprobando si el trabajo coincide con el requisito. Seis cosas surgen una y otra vez. Una metodología declarada que se reconoce en la industria — PTES, OWASP, o NIST SP 800-115 & mdash; no un proceso a medida inventado para el compromiso.Seguido/li especificadoli Como justificación del perímetro: por qué estos sistemas y no otros, vinculados al diagrama de flujo de datos del titular de la tarjeta. Para la segmentación: qué controles se intentaron desde fuera del CDE y el resultado de cada intento. Prueba documentada por cada vulnerabilidad explotable, con fecha y estado final. Prueba de que el probador era independiente del equipo que administraba los sistemas bajo prueba. Ese último punto es el que descalifica silenciosamente los compromisos. Si el mismo ingeniero que dirige los cortafuegos también ejecuta la prueba en su contra, el requisito de independencia no se cumple, no importa lo bueno que sean los hallazgos. Importante: Retesting no es limpieza opcional. Requirement 11.4 espera que las vulnerabilidades explotables sean remediadas y luego retestadas, con la prueba documentada. Una lista de hallazgos sin evidencia de cierre es un elemento abierto, no un requisito completado.Seguido/p] El único modelo mental más útil es este: un escaneo encuentra vulnerabilidades conocidas en los servicios expuestos; una prueba de penetración trata de explotarlos, encadenarlos juntos, y realmente alcanzar los datos de la tarjeta. Uno es un detector de humos. El otro es alguien caminando por el edificio por la noche, comprobando si las ventanas que crees que están cerradas realmente son. Un escáner ASV es automatizado, trimestral, externo y responde 11.3.2. Una prueba de penetración es manual, anual y responde 11.4. El estándar requiere ambos porque cada uno pierde lo que el otro atrapa. La automatización es exhaustiva sobre lo conocido y ciego de la novela; un probador humano es lo contrario. Replacing uno con el otro es el más común — y más fácilmente atrapado — atajo en una evaluación PCI DSS. También hay una consecuencia práctica de cómo usted presupuesto y horario. Los escaneos son baratos, frecuentes y pueden ser en gran medida operativos. Las pruebas de penetración son costosas, anuales y dependen de la escasa experiencia. Tratarlos como un artículo de línea significa que uno de ellos se subfinancia, y por lo general es el que toma la habilidad real para hacer bien. Los requisitos de prueba fueron renumerados — 11.3 se convirtió en escaneado, 11.4 se convirtió en pruebas de penetración — pero los cambios más consiguientes fueron sustantivos. Los nuevos requisitos aparecieron para el aislamiento multi-tenant y la autenticación multifactorial, y un conjunto de artículos previamente tratados como "mejor práctica" se hizo obligatorio después del 31 de marzo de 2025. El enfoque personalizado también llegó, permitiendo a una entidad cumplir con el objetivo de un requisito a través de controles alternativos, pero con demandas de documentación y validación que son considerablemente más pesados que simplemente hacer la cosa como escrito. Para la mayoría de las organizaciones, el efecto práctico es que el período de gracia ha terminado. Los requisitos que podrían aplazarse ahora se evalúan, y las pruebas de segmentación que una vez fue un anexo silencioso del pentest se han convertido en un ejecutable central en su propio derecho. Es un requisito contractual impuesto por los esquemas de tarjetas mediante la adquisición de bancos y procesadores, y se aplica a cualquier entidad que almacena, procesa o transmite datos de tarjetas independientemente del país. Para las empresas de Moldova, la obligación suele llegar a través del banco de adquisición o de un procesador asociado, y el nivel de validación depende del volumen de transacción anual. Eso significa que el gatillo es comercial, no legislativo & mdash; usted puede ser plenamente compatible con la ley nacional y todavía debe ser requerido contractualmente para producir un informe de la prueba de pentes el próximo trimestre.Seguido / p = hecho =p = Si usted se está preparando para esa conversación, el trabajo útil sucede antes de que llegue el probador: dibujar el flujo de datos real, probar si su segmentación realmente tiene en lugar de asumirlo, y confirmar que quien ejecuta el test es genuinamente independiente de quien ejecuta el sistema. Esas tres cosas determinan más de su resultado de evaluación que cualquier herramienta del informe