Análisis de brechas de PCI DSS: guía de evaluación
Un análisis de brechas de PCI DSS es la forma de saber si puedes aprobar antes de que cuente. Compara tus controles actuales con los requisitos de la norma, saca a la luz las carencias y te da un plan de corrección, de modo que una evaluación formal o un cuestionario de autoevaluación (SAQ) pasa a ser una confirmación y no una apuesta. Todo el trabajo depende de acertar en una cosa: el alcance.
Paso 1: definir el alcance (el paso más importante)
PCI DSS se aplica al entorno de datos de titulares de tarjetas (CDE, cardholder data environment), los sistemas que almacenan, procesan o transmiten datos de titulares de tarjetas, más todo lo que está conectado a él o puede afectarle. Si defines un alcance demasiado estrecho, apruebas el análisis pero sigues sin cumplir donde importa; si es demasiado amplio, malgastas esfuerzo. Una buena segmentación de red reduce el alcance, y por eso la definición del alcance y la segmentación son la base de un programa PCI eficiente.
Paso 2: relacionar los controles con los requisitos
Recorre requisito por requisito y anota qué control tienes hoy, dónde están las pruebas y si cumple plenamente el requisito.
Checklist de evaluación de brechas de PCI DSS: los 12 requisitos
Una evaluación de brechas de PCI DSS (los términos gap analysis y gap assessment se usan indistintamente) recorre los 12 requisitos principales de PCI DSS v4.0.1 y registra, para cada uno, si tus sistemas dentro del alcance lo cumplen plenamente, en parte o no lo cumplen, y dónde están las pruebas:
- Instalar y mantener controles de seguridad de red.
- Aplicar configuraciones seguras a todos los componentes del sistema.
- Proteger los datos de cuenta almacenados.
- Proteger los datos de titulares de tarjetas con criptografía fuerte durante su transmisión por redes abiertas y públicas.
- Proteger todos los sistemas y redes frente al software malicioso.
- Desarrollar y mantener sistemas y software seguros.
- Restringir el acceso a los componentes del sistema y a los datos de titulares de tarjetas según la necesidad de conocer del negocio.
- Identificar a los usuarios y autenticar el acceso a los componentes del sistema.
- Restringir el acceso físico a los datos de titulares de tarjetas.
- Registrar y monitorizar todos los accesos a los componentes del sistema y a los datos de titulares de tarjetas.
- Probar con regularidad la seguridad de los sistemas y las redes.
- Respaldar la seguridad de la información con políticas y programas de la organización.
Hay dos cuestiones de versión que importan al definir el alcance del trabajo. PCI DSS v3.2.1 se retiró el 31 de marzo de 2024, y los requisitos que la v4.0 introdujo con fecha futura pasaron a ser obligatorios el 31 de marzo de 2025. Por tanto, una evaluación de brechas hoy debe hacerse frente a la v4.0.1 completa, incluidos los elementos que antes tenían fecha futura, como la MFA para todo acceso al entorno de datos de titulares de tarjetas y los análisis de riesgos específicos.
Paso 3: identificar y valorar las carencias
Enumera todos los requisitos que no cumples plenamente y valora cada carencia por riesgo y por esfuerzo de corrección para poder priorizar.
Paso 4: elaborar un plan de corrección
Asigna responsables y fechas objetivo a cada carencia, corrige primero los elementos de alto riesgo y bajo esfuerzo, y vuelve a comprobar las carencias cerradas antes de la evaluación formal.
Paso 5: después, completar el SAQ o la evaluación
Qué cuestionario de autoevaluación se aplica depende de cómo manejes los datos de tarjetas; el análisis de brechas te dice si puedes declarar el cumplimiento con honestidad y, si no, qué corregir primero.
Trabájalo con las herramientas de PCI DSS →, ejecuta el análisis de brechas de PCI interactivo y prepara la evaluación con la preparación de certificaciones.
Preguntas frecuentes
¿Qué es? Una evaluación previa que compara los controles actuales con los requisitos de PCI DSS para encontrar y cubrir las carencias antes de que cuente.
¿Por qué es clave el alcance? PCI se aplica al CDE y a los sistemas conectados; un alcance equivocado significa esfuerzo malgastado o incumplimientos ocultos; la segmentación lo reduce.
¿Cómo se ejecuta? Alcance, relacionar los controles con los requisitos, valorar las carencias, corregir con responsables y fechas, y volver a comprobar.
¿Qué relación tiene con el SAQ? El análisis de brechas te prepara para completar el SAQ con honestidad: ejecútalo, corrige y después declara.
Preguntas frecuentes
¿Qué es un análisis de brechas de PCI DSS?
Un análisis de brechas es un ejercicio de evaluación previa que compara los controles de seguridad actuales de tu organización con los requisitos de PCI DSS. Su finalidad es encontrar dónde aún no cumples la norma (antes de un Report on Compliance formal o de un cuestionario de autoevaluación) para que puedas corregir las carencias en lugar de suspender la evaluación. Produce una lista priorizada de lo que falta y de lo que hay que corregir.
¿Por qué es la definición del alcance el paso más importante?
PCI DSS se aplica al entorno de datos de titulares de tarjetas (CDE), los sistemas que almacenan, procesan o transmiten datos de titulares de tarjetas, más todo lo que está conectado a él o podría afectarle. Si defines un alcance demasiado estrecho, aprobarás un análisis de brechas pero seguirás sin cumplir donde importa; si es demasiado amplio, malgastarás esfuerzo evaluando sistemas fuera del alcance. Una segmentación bien diseñada reduce el alcance, y por eso la definición del alcance y la segmentación son la base de cualquier programa PCI eficiente.
¿Cómo ejecuto el análisis de brechas?
Define y confirma el alcance (el CDE y los sistemas conectados), relaciona tus controles actuales con cada requisito de PCI DSS, identifica los requisitos que no cumples plenamente, valora cada carencia por riesgo y esfuerzo, y elabora un plan de corrección con responsables y fechas objetivo. Después, vuelve a comprobar las carencias cerradas antes de la evaluación formal o del SAQ.
¿Qué relación tiene un análisis de brechas con el SAQ?
El cuestionario de autoevaluación (SAQ, Self-Assessment Questionnaire) es la autodeclaración formal de cumplimiento de PCI DSS para los comercios que pueden usarlo, y el tipo de SAQ aplicable depende de cómo manejes los datos de tarjetas. Un análisis de brechas es la preparación: te dice si puedes responder con honestidad que cumples los requisitos del SAQ y, si no, qué corregir primero. Ejecuta el análisis de brechas, corrige y después completa el SAQ.