Segmentación de red para PCI DSS: cómo reducir el alcance
Aperio Security · Actualizada el
PCI DSS no exige segmentar la red, pero lo recomienda porque reduce el alcance: si el entorno de datos de tarjeta (CDE) está bien aislado, solo esos sistemas y los conectados a ellos entran en la evaluación. A cambio, la norma pide demostrar con pruebas de penetración que la segmentación funciona, al menos cada año y después de cambios, y cada seis meses si eres proveedor de servicios.
Qué es el alcance y por qué importa
En PCI DSS, el alcance incluye todos los sistemas que almacenan, procesan o transmiten datos de tarjeta, más todos los que pueden conectarse con ellos o afectar su seguridad. En una red plana, eso puede ser prácticamente toda la empresa: cada laptop que puede llegar por la red a un servidor del CDE entra en alcance. Segmentar bien hace que el alcance sea solo lo que realmente toca tarjetas, lo que reduce el costo de la evaluación y la superficie que hay que proteger.
Qué dice la norma sobre la segmentación
- Segmentar es opcional, pero si lo usas para reducir alcance, debe funcionar. Los controles deben impedir realmente que los sistemas fuera de alcance se comuniquen con el CDE.
- Requisito 11.4.5: si se usa segmentación para aislar el CDE, se confirma con pruebas de penetración al menos una vez cada doce meses y después de cualquier cambio en los controles o métodos de segmentación.
- Requisito 11.4.6: para proveedores de servicios, esas pruebas son al menos cada seis meses.
- Requisito 1: los controles de seguridad de red deben estar definidos, documentados y revisados, con justificación de negocio para cada servicio, protocolo y puerto permitido.
Las referencias corresponden a PCI DSS v4.0.1, la versión vigente. Para interpretar casos concretos, consulta a tu evaluador calificado (QSA).
Cómo diseñar la segmentación del CDE
- Encuentra el CDE real. Con un mapa de dependencias, identifica qué sistemas tocan datos de tarjeta y cuáles se conectan con ellos. Suele haber sorpresas.
- Encierra el CDE en su propio segmento con una política de denegar por defecto.
- Permite solo lo justificado: cada entrada con su origen, destino, puerto y razón de negocio documentada.
- Separa la administración: el acceso administrativo al CDE solo desde equipos dedicados, con autenticación multifactor.
- Prueba como lo haría el evaluador: desde cada segmento fuera de alcance, intenta llegar al CDE. Nada debe responder.
La evidencia que conviene tener lista
- Diagrama de red y de flujos de datos de tarjeta actualizado.
- Lista de reglas del CDE con justificación de negocio.
- Registro de conexiones bloqueadas hacia el CDE.
- Resultados de las pruebas de segmentación y de su repetición después de cambios.
Cómo lo hace Aperio
Con Aperio Security el CDE puede ser un círculo con denegar por defecto: el mapa muestra con proceso qué se conecta a él, la política documenta cada entrada permitida y el registro de lo bloqueado sirve como evidencia. Los mismos datos responden lo que pregunta una auditoría: quién habla con quién, qué se permite y qué se bloqueó. Aplica también para otros marcos como HIPAA o SWIFT CSP.
Preguntas frecuentes
¿PCI DSS obliga a segmentar la red?
No. La segmentación no es obligatoria, pero sin ella toda la red queda dentro del alcance de la evaluación. La norma la recomienda como forma de reducir alcance y riesgo.
¿Cada cuánto hay que probar la segmentación en PCI DSS?
Al menos cada doce meses y después de cualquier cambio en los controles de segmentación; los proveedores de servicios, al menos cada seis meses.
¿La microsegmentación es válida para PCI DSS?
Sí, siempre que impida efectivamente la comunicación de los sistemas fuera de alcance con el CDE y se demuestre con pruebas. El método no está prescrito; lo que se evalúa es que funcione.