Cumplimiento de PCI DSS v4.0.1 en la infraestructura de red
PCI DSS v4.0.1 introduce cambios importantes en los controles de seguridad de red, entre ellos el nuevo enfoque personalizado y requisitos actualizados de segmentación de red, reglas de firewall y configuraciones seguras. ConnectMyAssets le ayuda a cumplir los controles de red de los requisitos 1, 2, 10 y 11 que protegen los entornos de datos de titulares de tarjetas, con evidencias listas para su QSA.
La zona de datos de titulares de tarjeta, bajo control.
Por qué PCI DSS v4.0.1 cambia el cumplimiento en la red
PCI DSS v4.0 sustituyó a la v3.2.1 el 31 de marzo de 2024, y su revisión v4.0.1 es la versión vigente desde finales de 2024; los requisitos con fecha futura son obligatorios desde el 31 de marzo de 2025. Los controles de red son la base de la protección de los datos de titulares de tarjetas.
Requisito 1, controles de seguridad de red
El requisito 1 (antes «Instalar y mantener un firewall») exige ahora «controles de seguridad de red» (NSC), un término más amplio que abarca firewalls, grupos de seguridad en la nube, NDR y políticas SDN. Todos los conjuntos de reglas NSC deben revisarse cada seis meses (1.2.7) y documentarse con una justificación de negocio para cada regla de permiso.
Requisito 2, configuraciones seguras
El requisito 2 exige cambiar los valores predeterminados del fabricante, eliminar los servicios innecesarios y configurar de forma segura todos los componentes del sistema. El nuevo subrequisito 2.2.7 impone el cifrado de todo acceso administrativo que no sea de consola. Los estándares de configuración deben revisarse cuando se identifican nuevas vulnerabilidades.
Requisito 10, registro y supervisión
El requisito 10 exige registrar todo acceso a los componentes del sistema y a los datos de titulares de tarjetas. Novedad en v4.0.1: mecanismos automatizados para detectar y alertar sobre fallos de los registros de eventos de seguridad (10.7.2) y revisión de todos los demás tipos de registro al menos una vez cada 12 meses (10.4.1.1).
Requisito 11, pruebas de seguridad
El requisito 11 exige pruebas de seguridad periódicas, incluidos análisis de vulnerabilidades internos y externos, pruebas de penetración y detección de intrusiones en la red. Novedad en v4.0.1: los análisis de vulnerabilidades internos deben ser autenticados (11.3.1.2) y los mecanismos de detección de cambios deben ejecutarse semanalmente sobre los scripts de las páginas de pago (11.6.1).
Funciones de cumplimiento de PCI DSS v4.0.1 para la red
Funciones de red que le ayudan a cumplir los requisitos 1, 2, 10 y 11 de PCI DSS v4.0.1.
Revisión de reglas de firewall (1.2.7)
Recopile las bases de reglas de Fortinet, Palo Alto Networks, Cisco, Check Point y Juniper (reglas de seguridad, NAT, objetos, zonas, servicios, VDOM/vsys) y analícelas: reglas ensombrecidas, duplicadas y en conflicto, reglas any/any, servicios inseguros, reglas sin registro, riesgo por regla. Añada sus propias comprobaciones con el lenguaje de condiciones. Su revisión semestral parte de hechos.
Estándares de configuración segura (2.2)
Exprese sus estándares de configuración como políticas de cumplimiento: catálogo integrado más cualquier regla que necesite. Detecte protocolos de administración inseguros, servicios innecesarios y puertos abiertos prohibidos. Las políticas se ponderan de 0 a 100, se heredan por grupos de equipos y se evalúan de forma continua.
Apoyo a la segmentación del CDE (1.3, 1.4)
Coloque los equipos del CDE en su propio grupo de equipos con políticas más estrictas y bloqueadas. Revise las reglas de firewall entre zonas, las VLAN de cada switch y los puertos auditados, y use las reglas de análisis para controlar exactamente qué subredes puede descubrir o recopilar ConnectMyAssets.
Registro de cambios de configuración (10.2)
Cada versión de la configuración se conserva con un diff línea a línea. Soron señala en el siguiente análisis los cambios realizados fuera de ConnectMyAssets. El registro de auditoría guarda cada acción en ConnectMyAssets y el bastión graba cada sesión SSH. Los registros se envían a su SIEM por syslog o webhook HTTPS (CEF, LEEF, ECS, GELF).
Vulnerabilidades y TLS (6.3, 11.3)
Cruce el firmware de cada equipo con las CVE, enriquecidas con CISA KEV, EPSS y EUVD, y clasifíquelas (urgente, riesgo aceptado con fecha de fin). La auditoría de certificados TLS señala las versiones antiguas del protocolo (TLS 1.0, 1.1) y los certificados caducados y autofirmados en cada puerto auditado.
Evidencias para su QSA
Imprima o guarde en PDF las vistas y los paneles de cumplimiento, exporte en CSV y NDJSON y programe informes por correo electrónico por grupo de equipos. Los 365 días de historial de cumplimiento muestran a su evaluador cómo se ha mantenido cada control a lo largo del año.
Tres pasos hacia el cumplimiento de PCI DSS v4.0.1 en su red
Evaluar: alcance y brechas
Despliegue ConnectMyAssets, descubra las subredes dentro del alcance y recopile los equipos por SSH. Las políticas integradas, el análisis de firewall y la correlación de CVE le dan una primera visión puntuada de las brechas respecto a los requisitos 1 y 2.
Implantar: bastionar y aplicar
Escriba sus estándares de configuración como reglas, bloquéelas en el grupo del CDE, haga pasar la administración por el bastión con SSO y MFA, y corrija las brechas con scripts personalizados: vista previa, reglas de riesgo y diff antes/después en cada equipo.
Mantener: validación continua
Los análisis periódicos y la evaluación continua detectan las desviaciones en cuanto se producen. Vuelva a lanzar el análisis de firewall antes de cada revisión semestral, mantenga al día la clasificación de las vulnerabilidades y entregue exportaciones e informes a su QSA.
Preguntas frecuentes sobre PCI DSS v4.0.1 en la red
Preguntas habituales sobre el cumplimiento de PCI DSS v4.0.1 en la infraestructura de red.
¿Cuáles son los principales cambios de PCI DSS v4.0.1 para la seguridad de red?
Entre los cambios principales: el requisito 1 habla ahora de «controles de seguridad de red» en lugar de «firewalls» para cubrir las arquitecturas modernas (grupos de seguridad en la nube, SDN). Nuevos subrequisitos imponen restricciones al tráfico entrante y saliente (1.3.1/1.3.2), revisiones semestrales de reglas con justificación de negocio (1.2.7), acceso administrativo cifrado fuera de consola (2.2.7) y análisis de vulnerabilidades internos autenticados (11.3.1.2).
¿Cuándo deben las organizaciones cumplir PCI DSS v4.0.1?
PCI DSS v3.2.1 se retiró el 31 de marzo de 2024 y la v4.0 el 31 de diciembre de 2024: las evaluaciones utilizan ahora la v4.0.1. Los requisitos con fecha futura (considerados buenas prácticas hasta el 31 de marzo de 2025) pasaron a ser obligatorios el 31 de marzo de 2025. Las organizaciones deben verificar que cumplen todos los requisitos de la v4.0.1, incluidos estos antiguos requisitos con fecha futura.
¿Qué es el enfoque personalizado de PCI DSS v4.0.1?
El enfoque personalizado es una novedad de la v4.0.1 y permite a las organizaciones cumplir el objetivo de seguridad de un requisito con controles alternativos. En lugar de seguir el enfoque definido (controles prescriptivos), las entidades documentan su control personalizado, realizan un análisis de riesgos específico y su QSA valida que se cumple el objetivo. Resulta útil en arquitecturas de red modernas donde los controles tradicionales no siempre se aplican directamente.
¿Con qué frecuencia deben revisarse las reglas de firewall/NSC según PCI DSS v4.0.1?
El requisito 1.2.7 exige revisar los conjuntos de reglas NSC al menos una vez cada seis meses. Cada revisión debe confirmar que las reglas siguen siendo necesarias, que están documentadas con una justificación de negocio y que las ha aprobado personal autorizado. Las reglas del tráfico hacia y desde el CDE deben examinarse con especial atención. ConnectMyAssets prepara cada revisión con un análisis actualizado de cada base de reglas: reglas ensombrecidas, duplicadas y en conflicto, reglas any/any, servicios inseguros y reglas sin registro.
¿Qué segmentación de red exige PCI DSS?
Aunque PCI DSS no exige estrictamente la segmentación de red, se recomienda encarecidamente para reducir el alcance de la evaluación del CDE. El requisito 1.4 especifica que deben implantarse NSC entre las redes de confianza y las que no lo son. Si se utiliza la segmentación para reducir el alcance, el requisito 11.4.5 exige pruebas de penetración de la segmentación cada seis meses y después de cualquier cambio en los controles de segmentación.
¿Cómo ayuda ConnectMyAssets con el requisito 2 de PCI DSS v4.0.1?
ConnectMyAssets ayuda con el requisito 2 convirtiendo sus estándares de configuración (2.2.1) en políticas de cumplimiento evaluadas de forma continua en cada equipo, señalando los servicios innecesarios y los puertos abiertos prohibidos encontrados en los puertos auditados (2.2.4) y detectando el acceso administrativo inseguro fuera de consola, como Telnet o la administración en HTTP (2.2.7). Cualquier comprobación que necesite puede escribirse con el lenguaje de condiciones, y Soron le alerta cuando un análisis detecta una desviación.
Alcance el cumplimiento de PCI DSS v4.0.1 en su red
Descubra cómo ConnectMyAssets le ayuda a cumplir los controles de red de PCI DSS v4.0.1, con evidencias listas para su próxima evaluación QSA.