PCI DSS 4.0.1 y datos en movimiento

PCI DSS 4.0.1 pide dos cosas que en realidad son problemas de pérdida de datos. El requisito 3.4.2 exige controles técnicos que impidan copiar o reubicar números de tarjeta durante el acceso remoto. El requisito 12.10.7 exige iniciar la respuesta a incidentes cuando aparecen números de tarjeta almacenados donde no deberían estar. Ambos dan por hecho que usted puede encontrar los datos de tarjetas y controlar cómo se mueven, también fuera de los sistemas creados para guardarlos.

Qué cambió y cuándo

PCI DSS 4.0 se publicó en 2022 e incluía requisitos que durante un tiempo fueron solo buenas prácticas, para que las organizaciones pudieran prepararse. El Consejo publicó la versión 4.0.1 en junio de 2024 como una revisión limitada, sin añadir ni eliminar requisitos. Los requisitos con fecha futura pasaron a ser obligatorios el 31 de marzo de 2025, así que un asesor ya los busca.

La mayoría de los programas concentra el esfuerzo en el entorno de datos del titular de la tarjeta, y con razón. Estos dos requisitos miran a los bordes de ese entorno, donde los datos de tarjetas se escapan al trabajo diario.

Requisito 3.4.2: números de tarjeta en sesiones remotas

El texto es breve. Cuando se usan tecnologías de acceso remoto, los controles técnicos deben impedir que se copien o reubiquen los números de cuenta principales, para todo el personal salvo quien tenga una autorización documentada y explícita y una necesidad de negocio legítima.

Piense en lo que eso abarca. Un agente de soporte en una sesión remota puede ver un número de tarjeta. Sin un control, puede copiarlo al portapapeles, pegarlo en una nota local o arrastrar un archivo a una unidad personal. No hace falta mala intención. Basta con un hábito bienintencionado.

Un documento de políticas no puede impedir nada de esto, porque el requisito habla de controles técnicos. También pide demostrar las excepciones: quién está autorizado, por qué y dónde consta. Así que hace falta algo en el equipo que vea la acción, reconozca los datos y tome una decisión, además de un registro de cada excepción.

Requisito 12.10.7: números de tarjeta en el lugar equivocado

Este requisito parte de un supuesto honesto: los números de tarjeta acabarán apareciendo donde no deben. Un ticket de soporte con una tarjeta pegada. Una exportación en una carpeta de descargas. Una hoja de cálculo de un proyecto ya terminado que sigue en un servidor de archivos.

El requisito dice que debe haber procedimientos de respuesta a incidentes para ese momento, y que deben iniciarse cuando ocurra. Incluyen decidir qué hacer con los datos, averiguar cómo llegaron allí y corregir la causa.

Fíjese en lo que eso supone. Solo se puede responder a lo que se detecta. Si nadie mira fuera del entorno de datos del titular, el procedimiento nunca se pondrá en marcha y los datos seguirán ahí.

Qué tienen en común

Los dos requisitos necesitan las mismas tres capacidades.

Encontrar los datos. Analice equipos y servidores de archivos en busca de números de tarjeta, con validación por dígito de control para que una referencia de pedido de dieciséis cifras no dispare una alarma. Un patrón por sí solo genera demasiado ruido para actuar.

Controlar el movimiento. El portapapeles, la copia de archivos, los medios extraíbles y las subidas necesitan reglas, en el equipo, en el momento de la acción. Una sesión remota es solo una de las vías.

Conservar el registro. Cada evento debe mostrar qué se detectó, quién intervino, adónde iba y qué ocurrió. Ese registro es lo que convierte un control en evidencia.

Preguntas para preparar la evaluación

Antes de la próxima evaluación, conviene tener respuesta a unas preguntas sencillas.

• ¿Dónde aparecen de verdad los datos de tarjetas fuera del entorno de datos del titular?
• ¿Qué control técnico impide copiar durante el acceso remoto y cómo sabe que funciona?
• ¿Quién tiene una excepción y dónde consta el motivo?
• ¿Cuándo encontró por última vez datos de tarjetas almacenados donde no debían estar y qué ocurrió después?

Si la última pregunta no tiene respuesta, rara vez es una buena noticia. Suele significar que nadie ha mirado.

Empiece por un análisis

El primer paso más rápido es un análisis de descubrimiento en equipos y servidores de archivos. Muestra cuántos datos de tarjetas hay fuera de los lugares previstos y le da una lista real por la que empezar. A partir de ahí, fije reglas para los canales que más importan, primero en modo de monitorización, y pase a bloquear cuando confíe en lo que ve.

Su asesor quiere evidencia, no intenciones. Esa misma evidencia sirve el día en que algo sale mal. Lea cómo ayuda GuardStance con PCI DSS.