Automatice el cumplimiento PCI-DSS y las pruebas de penetración
Pruebas de penetración continuas impulsadas por BAS, recopilación automatizada de evidencias desde AWS y paquetes de cumplimiento listos para el QSA — para comercios y proveedores de servicios que gestionan datos de titulares de tarjeta.
- Requisitos PCI-DSS
- 12
- Subrequisitos
- 300+
- Frecuencia de pruebas de penetración
- Continua
- Vigente desde
- v4.0
Los 12 requisitos de PCI-DSS v4.0 cubiertos
Desde los controles de red y la criptografía hasta las pruebas de penetración y la respuesta a incidentes — cada requisito mapeado, respaldado con evidencias y listo para el QSA.
Controles de seguridad de red
El iASM de CATAAM analiza la exposición de red, identifica puertos abiertos y valida la configuración de las reglas de firewall. Los resultados de los CIS Benchmarks alimentan directamente las evidencias del requisito 2.
- Req. 1 – Instalar y mantener controles de seguridad de red
- Req. 2 – Aplicar configuraciones seguras a todos los componentes del sistema
Protección de datos de cuenta y de transmisión
Las políticas de cifrado en reposo (S3, RDS, KMS) y las evaluaciones de cifrado TLS se recopilan automáticamente desde AWS. Las debilidades de cifrado afloran como hallazgos del requisito 4.
- Req. 3 – Proteger los datos de cuenta almacenados
- Req. 4 – Proteger los datos de titulares de tarjeta con criptografía robusta durante la transmisión
Gestión de vulnerabilidades
BAS prueba continuamente las defensas antimalware y los niveles de parches. Las alertas de análisis de código de GitHub alimentan las evidencias de desarrollo seguro del requisito 6. Los hallazgos CVE se vinculan automáticamente.
- Req. 5 – Proteger todos los sistemas frente al software malicioso
- Req. 6 – Desarrollar y mantener sistemas y software seguros
Control de acceso
Las políticas de mínimo privilegio de AWS IAM, la aplicación de MFA y las revisiones de accesos privilegiados se recopilan de forma continua y se vinculan a los controles de los requisitos 7 y 8.
- Req. 7 – Restringir el acceso a los componentes del sistema según la necesidad de conocer
- Req. 8 – Identificar a los usuarios y autenticar el acceso a los componentes del sistema
Controles de acceso físico
Documentación de controles de acceso físico, registros de visitantes y constancias de destrucción de soportes, almacenadas y vinculadas como evidencias PCI-DSS en CATAAM.
- Req. 9 – Restringir el acceso físico a los datos de titulares de tarjeta
Registro, supervisión y pruebas
CloudTrail y los registros de flujo de VPC se recopilan continuamente para el requisito 10. BAS aporta las evidencias de pruebas de penetración continuas que exige el requisito 11.4.
- Req. 10 – Registrar y supervisar todos los accesos a los componentes del sistema y a los datos de titulares de tarjeta
- Req. 11 – Probar periódicamente la seguridad de sistemas y redes
Políticas de seguridad de la información
Documentación de políticas, evaluaciones de riesgos y procedimientos de respuesta a incidentes, almacenados y mantenidos en CATAAM con historial de versiones y marcas de tiempo de revisión.
- Req. 12.1 – Política integral de seguridad de la información
- Req. 12.3 – Evaluación de riesgos
- Req. 12.6 – Programa de concienciación en seguridad
- Req. 12.10 – Plan de respuesta a incidentes
Del alcance del CDE al paquete QSA en semanas
Sustituya las pruebas de penetración anuales y la recopilación manual de evidencias por una cobertura de cumplimiento automatizada y continua durante todo el año.
Defina su entorno de datos de titulares de tarjeta
Identifique todos los sistemas dentro del alcance de PCI-DSS — servidores, instancias cloud y servicios que almacenan, procesan o transmiten datos de titulares de tarjeta. CATAAM descubre automáticamente los recursos de AWS en el alcance.
Recopile automáticamente evidencias de red y de acceso
El iASM analiza su perímetro de red en busca de servicios expuestos. AWS IAM, CloudTrail y los registros de flujo de VPC alimentan continuamente los requisitos 7, 8 y 10.
Ejecute pruebas de penetración mediante BAS
El requisito 11.4 de PCI-DSS exige pruebas de penetración al menos una vez al año y tras cambios significativos. El BAS de CATAAM aporta evidencias de pruebas de penetración automatizadas y continuas durante todo el año.
Genere paquetes de evidencias listos para el QSA
Exporte paquetes completos de evidencias PCI-DSS para su Qualified Security Assessor — mapeos de controles, evidencias adjuntas y análisis de brechas — en una sola exportación.
Pruebas de penetración continuas para el requisito 11
El requisito 11 de PCI-DSS exige pruebas de penetración anuales y análisis de vulnerabilidades trimestrales. CATAAM sustituye los encargos puntuales por un BAS continuo — ejecutando simulaciones de ataque reales contra su entorno de datos de titulares de tarjeta los 365 días del año y generando evidencias con marca de tiempo que satisfacen los requisitos del QSA.
- Req. 11.3.1 – Pruebas de penetración internas: escalada IAM en AWS, movimiento lateral en EC2
- Req. 11.3.2 – Pruebas de penetración externas: exposición de red, debilidades de cifrado
- Req. 11.4.2 – Pruebas de segmentación: validación del aislamiento del CDE
- Req. 11.5.1 – Detección de intrusiones: simulación de evasión de CloudTrail
PCI-DSS — preguntas frecuentes
- ¿Qué es PCI-DSS y quién debe cumplirlo?
- PCI-DSS (Payment Card Industry Data Security Standard) es un conjunto de normas de seguridad diseñadas para proteger los datos de los titulares de tarjeta. Toda organización que almacene, procese o transmita datos de tarjetas de pago debe cumplirlo — comercios, procesadores de pagos, proveedores de servicios y cualquier entidad que gestione números de cuenta primarios (PAN). El incumplimiento puede acarrear multas de 5.000 a 100.000 $ al mes, un aumento de las comisiones por transacción y la suspensión del derecho a procesar tarjetas.
- ¿Cuál es la diferencia entre un SAQ de PCI-DSS y una evaluación por un QSA?
- Los comercios más pequeños, con menor volumen de transacciones, pueden autoevaluarse mediante un cuestionario de autoevaluación (SAQ) — una lista simplificada de los requisitos PCI-DSS aplicables. Los comercios de mayor tamaño (nivel 1: más de 6 millones de transacciones al año) deben someterse a una evaluación anual in situ por parte de un Qualified Security Assessor (QSA). CATAAM da soporte a ambas vías — flujos de cumplimentación del SAQ y paquetes completos de evidencias listos para el QSA en evaluaciones de nivel 1.
- ¿Cómo satisface el BAS de CATAAM el requisito 11 de PCI-DSS?
- El requisito 11 de PCI-DSS exige pruebas periódicas de los controles de seguridad, incluidas pruebas de penetración anuales (req. 11.4) y análisis de vulnerabilidades de red cada 90 días (req. 11.3.2). El BAS de CATAAM se ejecuta de forma continua — probando la escalada de privilegios en AWS IAM, la exposición de servicios de red, las debilidades de cifrado y las rutas de movimiento lateral. Los resultados se almacenan como evidencias con marca de tiempo, puntuaciones CVSS y pasos de remediación, satisfaciendo tanto los requisitos de prueba como de documentación del requisito 11.
- ¿En qué se diferencia PCI-DSS v4.0 de la v3.2.1?
- PCI-DSS v4.0 (obligatoria desde marzo de 2024) introduce varios cambios significativos: una nueva opción de enfoque personalizado que permite controles alternativos que cumplen el objetivo de seguridad; requisitos ampliados de autenticación multifactor (req. 8.4.2, 8.4.3); nuevos requisitos de autenticación resistente al phishing; análisis de riesgos dirigidos para determinados requisitos; y 64 requisitos con fecha futura vigentes desde marzo de 2025. CATAAM da soporte a la v4.0 con mapeos de controles actualizados y los nuevos flujos de análisis de riesgos dirigido.
- ¿Puede CATAAM ayudar a reducir el alcance de nuestro entorno de datos de titulares de tarjeta?
- La reducción del alcance es la forma más eficaz de disminuir el coste y la complejidad del cumplimiento PCI-DSS. El iASM de CATAAM mapea continuamente su entorno cloud para identificar sistemas innecesariamente dentro del alcance — a menudo recursos mal configurados con acceso a entornos de datos de titulares de tarjeta que deberían estar aislados. La validación de la segmentación de red y el análisis de rutas de ataque ayudan a demostrar a su QSA que los sistemas fuera del alcance no pueden alcanzar los sistemas CHD.
Guías y herramientas de cumplimiento relacionadas
¿Listo para automatizar su cumplimiento PCI-DSS?
Prueba gratuita de 14 días. Sin tarjeta de crédito. Evidencias listas para el QSA en semanas.