El cumplimiento de PCI DSS es el proceso de satisfacer la Payment Card Industry Data Security Standard -actualmente la v4.0.1- para proteger los datos de titulares de tarjetas en todos los sistemas que los almacenan, procesan o transmiten. CyberXplore es una consultoría de seguridad (no un QSA ni un organismo de certificación) que prepara a las organizaciones para la auditoría mediante un análisis de brechas dirigido por consultores sénior, la definición del alcance del entorno de datos de titulares de tarjetas (CDE), la validación de la segmentación y las pruebas de penetración manuales del Requisito 11 que exige el estándar. Asignamos sus obligaciones al SAQ o ROC adecuado, elaboramos la evidencia que espera su evaluador y coordinamos el escaneo trimestral ASV a través de socios aprobados por PCI.
PCI DSS v4.0PCI SSCOWASPPTESNIST
Por qué CyberXplore
Solo evaluadores sénior (OSCP, CRTP, CREST)
Certificación ISO 27001 & ISO 9001
Retest gratuito + carta de certificación
Alcance y presupuesto a medida en 24 horas
Por qué es importante
El incumplimiento conlleva multas del banco adquirente, comisiones de transacción más altas y -tras una brecha- la pérdida de su capacidad para aceptar pagos con tarjeta.
PCI DSS v4.0 añadió requisitos con fecha futura que pasaron a ser obligatorios el 31 de marzo de 2025, incluidos los análisis de riesgo dirigidos, la autenticación ampliada y una definición de alcance más estricta que sorprende a muchos comercios.
Definir mal el alcance del entorno de datos de titulares de tarjetas es el error más común y costoso: demasiado estrecho y no supera la evaluación, demasiado amplio y gasta de más en controles para sistemas que nunca tocan datos de tarjetas.
El Requisito 11 exige pruebas de penetración internas y externas más pruebas de segmentación; unas pruebas débiles o de 'marcar la casilla' dejan rutas reales y explotables hacia el CDE que un evaluador -o un atacante- encontrará.
Alineado con los estándares del sector: PCI DSS v4.0 · PCI SSC · OWASP · PTES · NIST
Nuestra metodología
01
Alcance y análisis de brechas
Confirmamos su nivel de comercio, determinamos si necesita un SAQ (y de qué tipo) o un Report on Compliance completo, luego mapeamos el entorno de datos de titulares de tarjetas -cada sistema, flujo y componente conectado que almacena, procesa o transmite datos de tarjetas- y lo evaluamos frente a los 12 requisitos de PCI DSS v4.0.
02
Revisión de la segmentación
Validamos la segmentación de red que aísla su CDE del resto de la red corporativa, identificando los riesgos de red plana y reduciendo el alcance (y el coste) de la evaluación al confirmar que los sistemas fuera de alcance están realmente aislados.
03
Pruebas de penetración del Requisito 11
Nuestros testers cualificados con OSCP y CREST realizan las pruebas de penetración internas y externas que exige el Requisito 11.4, además de las pruebas de penetración de segmentación (11.4.5) para demostrar que los controles de aislamiento no pueden eludirse: todo hecho manualmente, no solo escaneado.
04
Escaneo ASV y gestión de vulnerabilidades
Coordinamos los escaneos de vulnerabilidades externos trimestrales exigidos por el Requisito 11.3.2 a través de un socio Approved Scanning Vendor del PCI SSC, le ayudamos a interpretar los hallazgos y construimos un ciclo sostenible de remediación y reescaneo.
05
Evidencia, remediación y soporte de auditoría
Recopilamos las políticas, configuraciones, análisis de riesgo dirigidos y resultados de pruebas que requiere su QSA o adquirente, guiamos la remediación de cada brecha y le acompañamos durante la atestación del SAQ o la evaluación ROC dirigida por el QSA.
Qué evaluamos
Descubrimiento del entorno de datos de titulares de tarjetas (CDE), mapeo de flujos de datos y definición del alcance
Determinación del nivel de comercio/proveedor de servicios y selección de la vía SAQ frente a ROC
Análisis de brechas frente a los 12 requisitos de PCI DSS v4.0 (enfoque definido y personalizado)
Revisión de la segmentación de red y pruebas de penetración de segmentación (Req. 11.4.5)
Pruebas de penetración internas y externas según el Requisito 11.4
Coordinación del escaneo ASV externo trimestral (Req. 11.3.2) a través de un proveedor aprobado
Escaneo de vulnerabilidades interno y revisión de configuración autenticada (Req. 11.3.1)
Análisis de riesgo dirigidos y revisión de configuración segura, registro y control de accesos
Preparación de políticas, procedimientos y paquete de evidencia para la evaluación
Verificación de preparación previa a la evaluación y soporte de enlace con el QSA / adquirente
Qué obtiene
Documento de alcance del CDE con diagramas anotados de los flujos de datos de titulares de tarjetas
Informe de análisis de brechas priorizado y asignado a cada requisito de PCI DSS v4.0
Informe de pruebas de penetración del Requisito 11 con hallazgos, evidencia y severidades CVSS
Resultados de las pruebas de segmentación que confirman el aislamiento del CDE
Hoja de ruta de remediación con orientación lista para desarrolladores e ingenieros
Reprueba de remediación gratuita y carta de atestación de la prueba de penetración
Paquete de evidencia listo para auditoría que respalda su SAQ o ROC dirigido por el QSA
Ejemplo de entregable
Qué verá en su informe
Cada proyecto concluye con un informe claro y priorizado: hallazgos clasificados por severidad con puntuaciones CVSS, activos afectados y estado de remediación - además de un retest gratuito. Las cifras siguientes son ilustrativas.
Hallazgos por severidad
14 total
Critical
0
High
4
Medium
6
Low
4
High · CVSS 7.6CX-1602
MFA not enforced for all CDE admin access
PCI 8.4.2Cardholder Data EnvironmentOpen
High · CVSS 7.4CX-1608
PAN not rendered unreadable at rest
PCI 3.5.1Payments databaseOpen
Ejemplo ilustrativo: pci dss gap assessment - anonimizado a example.com.
Medium · CVSS 5.5CX-1614
Audit logs not reviewed daily
PCI 10.4.1CDE systemsOpen
¿Quiere el informe de muestra anonimizado completo? Lo incluiremos con su presupuesto.
Cifras acumuladas del historial conjunto de proyectos de nuestro equipo
Compartido bajo NDA · detalles anonimizados
“Senior testers, fast turnaround, and a free retest that actually proved our fixes worked. They made our SOC 2 audit painless.”
SOC 2 passed first attempt
VE
VP of Engineering
Series B FinTech · Payments platform
FinTech
Certificaciones de nuestros testers
OSCP
CRTP
CREST
CEH
eWPTX
ISO 27001
ISO 9001
Preguntas frecuentes
No: somos una consultoría de seguridad, no un Qualified Security Assessor ni un organismo de certificación. Le preparamos para la auditoría: realizamos el análisis de brechas, la revisión de la segmentación y las pruebas de penetración del Requisito 11, y preparamos su evidencia para que su autoevaluación (SAQ) o el Report on Compliance (ROC) dirigido por el QSA transcurra sin problemas. Para el escaneo ASV trabajamos con un Approved Scanning Vendor del PCI SSC.
Llegue a su próxima auditoría con evidencias, no con promesas.
Indíquenos su marco y sus plazos: definiremos el alcance de su plan de preparación en 24 horas, desde el análisis de brechas hasta las evidencias listas para el auditor.
