PCI DSS
PCI DSS v4.0.1 es la única versión vigente del estándar de seguridad para tarjetas de pago, y sus requisitos con fecha futura son obligatorios desde el 31 de marzo de 2025. Complyanz le ayuda a prepararse para su Cuestionario de Autoevaluación (SAQ) o su Informe de Cumplimiento (ROC): sugiere el SAQ que corresponde a la forma en que usted acepta pagos con tarjeta, muestra qué requisitos se aplican y por qué, y reúne en un solo lugar el alcance del entorno de datos del titular de la tarjeta (CDE), el calendario de pruebas, los controles compensatorios y los análisis de riesgo específicos.
Un estándar, preparado de principio a fin
Qué SAQ le corresponde y qué abarca
Cada SAQ abarca un conjunto fijo de requisitos. Una vez que usted confirma el suyo, Complyanz marca todos los demás requisitos como no aplicables, con el motivo escrito al lado, y nunca sobrescribe una decisión que usted haya tomado manualmente.
| Cuestionario | A quién corresponde | Requisitos |
|---|---|---|
| SAQ A | Comerciantes con tarjeta no presente que delegan todo el manejo de tarjetas a un proveedor validado y conservan, como máximo, registros en papel | 27 |
| SAQ A-EP (lista no verificada) | Comerciantes de comercio electrónico que subcontratan el procesamiento, pero cuyo propio sitio web entrega o controla parte de la página de pago | 139 |
| SAQ B (lista no verificada) | Comerciantes que usan solo impresoras manuales de tarjetas o terminales independientes con marcación telefónica, sin almacenamiento electrónico de tarjetas | 27 |
| SAQ B-IP | Comerciantes que usan solo terminales independientes aprobadas por PTS, con conexión IP a su procesador, separados de los demás sistemas | 50 |
| SAQ C | Comerciantes cuya aplicación de pago conectada a Internet funciona en una sola ubicación, segmentada de sus demás sistemas | 123 |
| SAQ C-VT | Comerciantes que ingresan los pagos uno por uno en una terminal virtual alojada por un proveedor, en un equipo aislado | 52 |
| SAQ P2PE | Comerciantes que aceptan tarjetas solo a través de las terminales de una solución de cifrado punto a punto validada | 19 |
| SAQ SPoC | Comerciantes que reciben pagos con tarjeta presente mediante una solución SPoC validada, un lector de tarjetas seguro vinculado a un teléfono o una tablet | 20 |
| SAQ D para comerciantes | Cualquier comerciante que no encaje en ninguno de los anteriores, por ejemplo, uno que almacene datos de tarjetas de forma electrónica | Requisitos 1 a 12 sin los elementos exclusivos de proveedores de servicios, más A2.1.1 |
| SAQ D para proveedores de servicios | Proveedores de servicios que su marca de pago autoriza a autoevaluarse, ya que todos los demás SAQ son solo para comerciantes | Requisitos 1 a 12 con los Apéndices A1 y A2 |
El SAQ A sigue su revisión de enero de 2025, que eliminó 6.4.3, 11.6.1 y 12.3.1 y añadió una verificación de elegibilidad de que su sitio web está protegido contra ataques de scripts (FAQ 1588 del PCI SSC). Las listas del SAQ A-EP y del SAQ B siguen los cuestionarios de la v4.0 porque sus ediciones v4.0.1 no pudieron verificarse, y Complyanz las señala como no verificadas. Los niveles de comerciante y de proveedor de servicios los fijan las marcas de pago y su adquirente; confirme con ellos qué validación esperan.
Todo lo que su evaluación le preguntará
Qué está dentro del alcance, y qué no
Empiece con cualquier marco y añada los demás más adelante
PCI DSS e ISO 27001 se superponen en control de acceso, registro de eventos, gestión de vulnerabilidades y respuesta a incidentes. Complyanz mantiene una correspondencia para cada grupo de requisitos, clasificada como parcial o relacionada, para que usted vea qué controles de la ISO se relacionan con el trabajo que ya realizó. Los mapeos son nuestra lectura, no una correspondencia oficial.
Incluido en Completo o como complemento
El módulo PCI DSS está incluido en el plan Completo y puede añadirse a cualquier otro plan, con precio según el número de personas dentro del alcance, como los propios planes.
Preguntas frecuentes sobre PCI DSS
¿Qué SAQ necesitamos?
Depende de cómo usted acepte tarjetas. El asistente de SAQ pregunta por sus canales de pago, por cómo llegan los datos de tarjeta a su proveedor y si usted los almacena, y sugiere un cuestionario con sus motivos. Si sus canales apuntan a SAQ distintos, sugiere el SAQ D y recomienda consultar a su adquirente si acepta cuestionarios separados. Usted confirma la elección, y la última palabra la tiene su adquirente.
¿Complyanz valida nuestro estado frente a PCI DSS?
No. Complyanz le ayuda a prepararse, pero no evalúa, no atesta ni firma nada. Usted valida con un SAQ que usted completa y firma, o con un ROC elaborado por un Asesor de Seguridad Calificado, o por un Asesor de Seguridad Interno cuando su marca de pago lo permite; cualquiera de los dos viene con una Atestación de Cumplimiento, y su adquirente o la marca de pago decide qué acepta.
¿Realizan escaneos ASV o pruebas de penetración?
No. Los escaneos externos debe ejecutarlos un Proveedor de escaneo aprobado (ASV) cada tres meses (11.3.2), y las pruebas de penetración internas y externas, un profesional de pruebas calificado y organizacionalmente independiente, que puede ser parte de su personal o de una empresa externa (11.4.2 y 11.4.3). Complyanz programa estas actividades, registra cada resultado con sus evidencias y mantiene pendiente una ejecución fallida hasta que se registre una ejecución aprobada o corregida.
¿Qué cambió en el SAQ A en enero de 2025?
La revisión 1 del SAQ A para la v4.0.1 eliminó 6.4.3, 11.6.1 y 12.3.1. A cambio, un comerciante de comercio electrónico ahora debe confirmar que su sitio web está protegido contra ataques de scripts que podrían llegar a su proceso de pago. La FAQ 1588 del PCI SSC explica que usted puede demostrarlo con protecciones que opera por su cuenta o a través de un tercero, o con una confirmación por escrito de su proveedor de pagos de que su formulario de pago incorporado las incluye cuando se configura según las instrucciones.
¿Podemos usar controles compensatorios o el enfoque personalizado?
Un control compensatorio exige una restricción legítima y documentada, debe cumplir la intención del requisito original e ir más allá de lo que ya exigen los demás requisitos, y se revisa cada año. El enfoque personalizado solo está disponible en un ROC y exige un análisis de riesgo específico para cada requisito (12.3.2). Ambos no pueden combinarse en el mismo requisito, y Complyanz rechaza esa combinación.
¿Se incluye el texto oficial de los requisitos?
No. El PCI SSC licencia el texto del estándar. Complyanz describe cada requisito con sus propias palabras y cita solo los ID de los requisitos y los nombres de los doce requisitos principales. Tenga a mano el estándar de la biblioteca de documentos del PCI SSC para consultar el texto oficial.
Prepárese para su evaluación de PCI DSS
Cree una organización, indique al asistente de SAQ cómo acepta pagos con tarjeta y vea qué requisitos le corresponden, y por qué.