PCI DSS 4.0 / 4.0.1: controles técnicos para fintech y e-commerce en Latinoamérica

PCI DSS (Payment Card Industry Data Security Standard) es el estándar internacional que deben cumplir las empresas que almacenan, procesan o transmiten datos de tarjetas de pago. La versión 4.0 fue publicada en marzo de 2022 y la versión 4.0.1 en junio de 2024, como revisión menor de aclaraciones. PCI DSS v4.0.1 es la única versión activa desde el 31 de diciembre de 2024. Respecto a v3.2.1, los cambios principales para ingeniería son: MFA obligatorio para todo acceso al CDE (no solo administradores), controles de scripts en páginas de pago (requisitos 6.4.3 y 11.6.1), contraseñas de mínimo 12 caracteres, revisión automática de logs, mecanismos anti-phishing y un enfoque formal de análisis de riesgo dirigido (Targeted Risk Analysis).

Los 51 requisitos que en 2022 fueron marcados como buenas prácticas diferidas pasaron a ser obligatorios el 31 de marzo de 2025. Toda evaluación PCI DSS realizada desde esa fecha debe considerarlos. PCI DSS v3.2.1 quedó retirado el 31 de marzo de 2024.

Depende de tu situación. El 30 de enero de 2025, el PCI SSC actualizó el SAQ A y eliminó los requisitos 6.4.3 y 11.6.1 del cuestionario. Los comercios que validan con SAQ A ya no deben responder directamente esos requisitos, pero el SAQ A actualizado incluye un nuevo criterio de elegibilidad: confirmar que el sitio no es susceptible a ataques de scripts. El PCI SSC publicó una guía que señala que implementar los controles de 6.4.3 y 11.6.1 es una forma de cumplir ese criterio. Si eres un proveedor de servicios de pago o validas con SAQ A-EP, SAQ D o con un ROC, sigues obligado a cumplir 6.4.3 y 11.6.1 en su totalidad.

Un QSA (Qualified Security Assessor) es un auditor certificado por el PCI SSC para realizar evaluaciones presenciales de cumplimiento. Las marcas de tarjetas (Visa, Mastercard y otras) definen los niveles de comercio según el volumen anual de transacciones: los comercios de Nivel 1, generalmente los que superan los 6 millones de transacciones anuales según Visa, y algunos de Nivel 2 requieren una auditoría presencial por un QSA. Los comercios de niveles 3 y 4 generalmente pueden autoevaluarse con un SAQ. Consulta con tu adquirente los umbrales exactos para tu nivel y marca.

El Customized Approach es una opción introducida en PCI DSS v4.0 que permite implementar controles alternativos que cumplen el objetivo del requisito de una forma diferente a los controles definidos por defecto (Defined Approach). Para usarlo se debe realizar un Targeted Risk Analysis para cada requisito, documentar el diseño del control alternativo, obtener aprobación de dirección senior y tener el control evaluado por un QSA. Es relevante para fintechs con arquitecturas innovadoras, pero agrega carga documental significativa.

Sereno implementa los controles técnicos del estándar en tu infraestructura: MFA, segmentación de red, CSP y SRI en páginas de pago, SIEM, gestión de secretos, y organiza la evidencia técnica para tu proceso de evaluación. Comenzamos con una auditoría de infraestructura de dos semanas con acceso de solo lectura. Sereno no es un QSA ni emite reportes ni certificaciones PCI DSS. No reemplazamos a tu equipo de compliance ni a tu auditor: trabajamos junto a ellos.