Ingeniería PCI DSS para equipos de pagos: construimos los controles, tu evaluador los valida

El Requisito 1 cubre los controles de seguridad de red, el 1.2.4 pide un diagrama de flujo de datos preciso y el 12.5.2 un alcance documentado y confirmado al menos cada 12 meses. La ingeniería: infraestructura definida como código, para que la red sea el diagrama; rutas de denegación por defecto entre segmentos; y un mapa de flujo de datos guardado en el repositorio junto al código que lo cambia.

El 3.3.1 pide que los datos sensibles de autenticación no se almacenen tras la autorización, aunque estén cifrados, y el 3.5.1 que el PAN quede ilegible dondequiera que se almacene. El 4.2.1 pide criptografía fuerte y protocolos de seguridad cuando el PAN cruza redes públicas abiertas. La ingeniería: guardar solo lo necesario, tokenizar o truncar el resto, claves gestionadas, TLS en cada ruta y rutas de red privadas hacia los almacenes de datos.

Ningún paquete fijo cubre la criptografía y la protección de datos por sí solas. Las definimos en Discovery o con ingenieros por hora.

El 6.2.1 y el 6.2.4 piden desarrollo seguro y técnicas que prevengan los ataques de software comunes, el 6.3.2 un inventario del software a medida y de sus componentes de terceros, y el 6.5.1 cambios hechos con motivo, impacto de seguridad, aprobación y pruebas. El 6.4.3 pide que cada script cargado en una página de pago esté autorizado, con integridad verificada e inventariado, y el 11.6.1 detección de cambios y manipulación en las páginas de pago. La ingeniería: un pipeline cuyos controles pueden frenar una versión, inventarios de dependencias y de scripts, y versiones rastreables.

El Requisito 7 restringe el acceso según la necesidad de conocer, y el Requisito 8 pide identificación y autenticación, incluido el 8.4.2, MFA para todo acceso sin consola al entorno de datos del titular de la tarjeta. La ingeniería: identidades en tu SSO, MFA, mínimo privilegio, secretos en un almacén gestionado e identidad de workload para los servicios. Nuestros ingenieros usan tus cuentas, y el acceso se revoca cuando termina el contrato.

Ningún paquete fijo cubre el control de acceso por sí solo. Lo definimos en Discovery o con ingenieros por hora.

El 10.2.1 pide que los logs de auditoría estén habilitados y activos en todos los componentes y datos del titular, y el 10.5.1 que el historial se conserve al menos 12 meses con los últimos tres meses disponibles de inmediato para análisis. La ingeniería: logs de cada componente en un solo lugar, diseñados para que los números de tarjeta nunca terminen en una línea de log, alertas probadas hasta que disparan y un runbook.

El 11.3.1 pide escaneos internos de vulnerabilidades al menos cada tres meses con reescaneos hasta resolver los hallazgos críticos y de alto riesgo, el 11.4.1 una metodología de pruebas de penetración definida, y el 12.10.1 un plan de respuesta a incidentes que incluya avisar a las marcas de pago y a los adquirentes y cubra recuperación y backup de datos. La ingeniería: escaneos en el pipeline en cada cambio con excepciones que vencen, y un runbook que dice quién decide y a quién se avisa.

Las pruebas de penetración y los escaneos externos trimestrales los hacen terceros independientes y calificados. Nosotros construimos los escaneos que corren en tu pipeline.

Una construcción o rediseño de 2 semanas de tus pipelines de CI/CD y de tu infraestructura como código. Los controles que entran al pipeline, como un escaneo de vulnerabilidades, se acuerdan en el SOW.

Métricas, logs y trazas conectados, 3 SLOs definidos, alertas probadas hasta que disparan y un runbook.

Una suite de Playwright para tus 5 flujos críticos, corriendo en tu CI, con verificaciones de accesibilidad.

Discovery entiende tu producto y su configuración de punta a punta y entrega un roadmap con backlog, roles, cambios críticos y necesidades. Trae tu diagrama de alcance, los hallazgos del evaluador o las brechas de tu autoevaluación y los convertimos en trabajo de ingeniería.

Para el trabajo que sigue después de un paquete: Senior USD 45–⁠50 la hora, Lead o Arquitecto USD 55–⁠60, con mínimo de 6 meses, facturado por hora trabajada. Tú entrevistas al ingeniero que hará el trabajo.

• Cómo funciona el staff augmentation
• Seguridad y compras