PCI DSS (Payment Card Industry Data Security Standard) es
el estándar del PCI Security Standards Council que aplica a
cualquier organización que almacene, procese o transmita
datos de titular de tarjeta o
datos de autenticación sensibles. La versión vigente es
v4.0.1 (junio de 2024), con todos los
requerimientos de v4.0 ya obligatorios desde el
31 de marzo de 2025.
El coste real de PCI no está en el número de controles, sino en el
tamaño del alcance. Trabajamos primero sobre el
Cardholder Data Environment: flujos de datos,
segmentación, tokenización y minimización. Cuando el CDE queda
correctamente acotado, los 12 requerimientos aterrizan con mucho menos
esfuerzo y riesgo.
Somos partner de implantación, no QSA. Eso significa que
implantamos, documentamos, generamos evidencia y acompañamos
hasta la auditoría formal, pero la firma del
Report on Compliance la hace un QSA acreditado por el PCI SSC.
Si todavía no tienes QSA, te ayudamos a elegirlo y a preparar la relación.
Punto clave:
El 80 % del coste y del riesgo de un proyecto PCI DSS se decide en las
primeras semanas, cuando se fija el alcance. Lo que se haga mal ahí lo
pagas durante los siguientes años.
Alcance bien acotado desde el minuto uno
El coste y el riesgo de PCI DSS dependen del alcance. Reducimos el CDE (Cardholder Data Environment) con segmentación, tokenización y minimización real del dato antes de tocar un control.
12 requerimientos, 300+ sub-controles
Mapeamos cada requerimiento de PCI DSS v4.0.1 a controles técnicos y organizativos, con responsables, evidencias y frecuencia de revisión. Nada de plantillas genéricas.
Evidencia audit-ready
Dejamos registros, métricas, procedimientos y pruebas trazables que resisten la revisión de un QSA o la autoevaluación de un SAQ, sin maquillaje de última hora.
Customized Approach de v4.0
Cuando el control por defecto no encaja con tu arquitectura, diseñamos el Customized Approach con objetivo, análisis de riesgo, diseño, pruebas y mantenimiento documentados como pide el estándar.
