Consultoría PCI DSS
PCI DSS es el estándar de seguridad del sector de tarjetas de pago, con 12 requisitos obligatorios para toda organización que almacena, procesa o transmite datos de tarjeta. Berghem lleva a cabo la adecuación de punta a punta — del gap analysis al pentest exigido — y prepara la evidencia para la evaluación del QSA.
¿Qué es el PCI DSS?
El PCI DSS (Payment Card Industry Data Security Standard) es el estándar mantenido por el PCI Security Standards Council que define los controles mínimos de protección de los datos de titulares de tarjeta. La versión vigente es la v4.0.1, y todos los requisitos futuros son obligatorios desde el 31 de marzo de 2025.
El estándar organiza 12 requisitos en 6 objetivos de control y aplica a comercios, adquirentes, procesadoras y proveedores de servicio. El esfuerzo depende del volumen de transacciones, del tipo de validación exigido (ROC firmado por QSA o autoevaluación SAQ) y del alcance del entorno de datos de tarjeta (CDE) tras la segmentación de red.
Qué cubre la adecuación
¿Cuáles son los requisitos del PCI DSS?
Los 12 requisitos del PCI DSS v4.0.1 se agrupan en seis objetivos de control. La adecuación evalúa cada uno contra el estado actual del entorno de datos de tarjeta.
Red y sistemas seguros
Requisitos 1 y 2 — controles de red, firewalls y configuración segura de componentes, eliminando valores de fábrica y servicios innecesarios.
Proteger los datos del titular
Requisitos 3 y 4 — protección de los datos de tarjeta almacenados y cifrado fuerte en la transmisión por redes públicas y abiertas.
Gestión de vulnerabilidades
Requisitos 5 y 6 — protección contra malware y desarrollo y mantenimiento de sistemas y software seguros, con corrección continua.
Control de acceso fuerte
Requisitos 7, 8 y 9 — acceso por necesidad de conocer, autenticación de usuarios (incluida MFA) y restricción del acceso físico a los datos.
Monitorear y probar
Requisitos 10 y 11 — registro y monitoreo de accesos, escaneo de vulnerabilidades y pentest periódico de redes y sistemas.
Política de seguridad
Requisito 12 — política de seguridad de la información, gestión de riesgo, capacitación y respuesta a incidentes que sostienen todo el programa.
¿Cómo apoya Berghem el camino PCI DSS?
De la definición de alcance a la validación técnica, Berghem entrega los componentes de seguridad ofensiva y de compliance que exige el QSA — con evidencia auditable.
Gap analysis y roadmap
Diagnóstico de la postura actual contra los 12 requisitos, con plan de remediación priorizado por gap y cronograma hasta la validación.
Pentest (Req. 11.4)
Pentest (EHT) externo e interno de la red y aplicaciones del CDE, con validación de la segmentación exigida por el estándar.
Seguridad de pagos
Evaluación de los flujos de captura, autorización y liquidación y de los controles sobre los datos de tarjeta.
Seguridad para servicios financieros
Adecuación y pruebas para bancos, adquirentes y fintechs, donde el PCI DSS se suma a las demás exigencias de seguridad de pagos.
Industria de servicios financieros
Cómo atiende Berghem al sector de servicios financieros — del compliance de pagos a la seguridad ofensiva del entorno de tarjeta.
PCI MPoC
Para soluciones de aceptación en dispositivos COTS, la evaluación sigue el estándar PCI MPoC además del PCI DSS.
DevSecOps (Req. 6)
Seguridad en el ciclo de desarrollo — revisión de código, SAST/DAST y pipeline seguro para el software que toca datos de tarjeta.
Seguridad ofensiva
Equipo ofensivo dedicado para las pruebas técnicas que sostienen la evidencia de conformidad del entorno.
¿Qué determina el costo y el plazo de una adecuación PCI DSS?
No hay un precio único. La inversión depende de factores medibles del entorno y del tipo de validación que exige la adquirente o la marca.
Nivel de comercio
El volumen anual de transacciones define el nivel (1 a 4) y el tipo de validación — ROC firmado por QSA para el nivel 1, o SAQ para los demás. A mayor nivel, mayor esfuerzo de evidencia.
Tamaño del alcance (CDE)
Cuantos más sistemas almacenan, procesan o transmiten datos de tarjeta, mayor el alcance. La segmentación reduce el CDE y, con él, el costo del pentest y de la evaluación.
Madurez de los controles
Entornos con gestión de vulnerabilidades, logs y MFA ya implementados llegan a la validación con menos remediación. Los gaps abiertos alargan el cronograma.
Arquitectura de pago
Aceptación presencial, e-commerce, tokenización o soluciones en dispositivos COTS (PCI MPoC) cambian los requisitos aplicables y la profundidad de las pruebas.
Dudas sobre PCI DSS
¿Quién debe cumplir PCI DSS?
¿Cuál es la versión actual del PCI DSS?
¿El pentest es obligatorio en PCI DSS?
¿Cuál es la diferencia entre ROC y SAQ?
¿Berghem emite el certificado PCI DSS?
¿Listo para iniciar la adecuación PCI DSS?
En una conversación mapeamos tu entorno de datos de tarjeta, definimos el alcance y diseñamos el camino a la validación — del gap analysis al pentest.
Contáctanos