Su banco fijó una fecha límite. Esto es lo que implica de verdad una auditoría PCI DSS.
Una auditoría PCI DSS explicada en palabras simples, con los precios publicados en lugar de escondidos detrás de un formulario. Después, si lo desea, una estimación por escrito para prepararse, normalmente en menos de un día hábil.
Lea esto primero. Una auditoría PCI DSS formal solo la puede realizar un Evaluador de Seguridad Calificado, o QSA. No somos un QSA y no realizamos auditorías. Lo que hacemos es preparar a su empresa para la auditoría, de modo que la apruebe cuando llegue su QSA. Si necesita un QSA, le presentamos uno.
Cinco preguntas, alrededor de un minuto. No pedimos su número de teléfono ni hacemos presión comercial.
Cuánto cuesta una auditoría PCI DSS
Rangos publicados del mercado de EE. UU. para una auditoría PCI DSS en 2026, en USD. Casi nadie los pone en una página, pero aquí están.
La tarifa del evaluador es solo una parte de una auditoría PCI DSS. La preparación y la remediación suelen ser la mitad más grande, porque ahí ocurre el trabajo real.
Calcular el precio de mi alcanceLos equipos a los que preparamos para una auditoría PCI DSS
Equipos de finanzas, ingeniería y cumplimiento trabajan con nosotros para llegar preparados a su auditoría PCI DSS, de modo que el evaluador encuentre un entorno ordenado en lugar de prisas de última hora.
Los logotipos pertenecen a sus respectivos propietarios.
Qué es realmente una auditoría PCI DSS
Su banco le envió una carta con una frase que asusta. Así que esto es lo que significa realmente una auditoría PCI DSS, sin tecnicismos.
Una auditoría PCI DSS es una revisión independiente de si su empresa maneja con seguridad los datos de tarjetas de crédito. Piense en una inspección sanitaria de un restaurante, solo que aquí se inspeccionan los datos de pago y no una cocina.
Las reglas que se revisan son las de PCI DSS. Las escribieron las marcas de tarjetas y son doce. Por eso una auditoría PCI DSS recorre esas doce, pide evidencias y deja por escrito lo que encuentra.
Lo que más sorprende es quién hace la inspección. Solo un Evaluador de Seguridad Calificado puede realizar una auditoría PCI DSS formal y firmar el informe que su banco acepta. Es un rol acreditado, y no cualquier consultoría puede asumirlo, aunque muchas den a entender lo contrario.
Su auditoría PCI DSS ahora incluye 51 requisitos nuevos
La fecha límite de PCI DSS v4.0.1 fue el 31 de marzo de 2025 y ya pasó. Toda evaluación desde esa fecha debe incluir los requisitos nuevos, así que una empresa que no ha revisado esto desde 2024 casi seguro incumple hoy mismo.
Cada script de su página de pago
Ahora debe saber con exactitud qué scripts se ejecutan en la página donde su clientela escribe el número de tarjeta, autorizar cada uno y demostrar que ninguno cambió sin que usted lo notara.
Lo que una auditoría PCI DSS revisa ahora contra manipulaciones
Necesita algo que vigile de forma activa esa página de pago ante cambios inesperados. Un firewall no cubre esto, aunque muchas empresas suponen que sí.
Autenticación multifactor en todo
La autenticación multifactor (MFA) ahora es obligatoria para todo acceso al entorno de datos del tarjetahabiente, no solo para administradores que entran desde fuera.
Dos de esos requisitos se eliminaron por completo del SAQ A. Así que, si ha confiado en el formulario de autoevaluación más corto y supone que su proveedor de pagos cubre los scripts, conviene revisar esa suposición antes de su próxima auditoría PCI DSS.
Quién puede realizar una auditoría PCI DSS
Esto es lo más útil que puede entender antes de gastar dinero en una auditoría PCI DSS. Es decir, le dice qué está comprando y a quién.
| Documento | En palabras simples | Quién puede firmarlo |
|---|---|---|
| Informe sobre Cumplimiento (ROC) | El informe completo de la auditoría, a menudo de cientos de páginas. | Solo un QSA. Los evaluadores internos pueden firmar para comercios, pero nunca para proveedores de servicios. |
| Atestación de Cumplimiento (AOC) | El resumen breve que en realidad entrega a su banco. | Un QSA junto con una persona de su alta dirección, o solo esa persona en la vía de autoevaluación. |
| Cuestionario de Autoevaluación (SAQ) | Un formulario de sí y no que usted completa por su cuenta. | Usted. Una consultoría puede ayudarle a entenderlo, pero lo firma su alta dirección. |
| Informe de escaneo ASV | Un escaneo trimestral de todo lo suyo que está expuesto a internet. | Solo un proveedor que figure en la lista oficial de Proveedores Aprobados de Escaneo (ASV). |
Así que el resumen honesto es breve. En una auditoría PCI DSS un QSA evalúa y firma, mientras los demás preparan, corrigen y documentan. Quien difumina esa línea actúa con descuido o espera que usted no pregunte.
Qué ocurre durante una auditoría PCI DSS
Una auditoría PCI DSS se desarrolla en seis etapas. La mayoría de las empresas no reprueban por ser inseguras, sino porque no estaban listas para la etapa tres.
El alcance de su auditoría PCI DSS
Se determina qué sistemas, personas y procesos tocan datos de tarjetas. Como todo lo que queda dentro de ese límite se prueba, esta etapa decide la mayor parte de lo que cuesta una auditoría PCI DSS.
Recopilación de evidencias
Capturas de pantalla, configuraciones, registros, políticas y documentos. Aquí las empresas sin preparación pierden semanas, porque nadie reunió nada por adelantado.
La auditoría PCI DSS en sí
Su evaluador recorre los requisitos, entrevista al personal y examina lo que usted entregó. Hace pruebas, pero no corrige nada.
Hallazgos
Una lista de todo lo que no cumple un requisito. Sin embargo, un hallazgo no significa reprobar automáticamente, siempre que pueda cerrarlo a tiempo.
Remediación
Usted corrige lo encontrado y genera evidencias nuevas. Por eso, cuanto más corta sea esta lista, antes termina todo.
El cierre de la auditoría PCI DSS
Su QSA redacta el informe y firma la atestación. Esa página firmada es lo que su banco quería desde el principio.
Qué determina el precio de una auditoría PCI DSS
En este mercado nadie publica cuánto cuesta una auditoría PCI DSS. Sin embargo, creemos que eso está al revés, así que aquí tiene el rango y la razón detrás de él.
| Factor | Cuánto mueve el precio |
|---|---|
| Volumen de transacciones | Entre dos y diez veces. Esto define su nivel de comercio y, por lo tanto, si se necesita un QSA o no. |
| Qué formulario aplica | Entre tres y ocho veces. La autoevaluación más corta tiene pocas páginas, pero la más larga supera las 300 preguntas. |
| Tamaño del entorno de tarjetas | Hasta cinco veces. Cada sistema adicional dentro del límite es una cosa más que probar. |
| Cómo recibe los pagos | Hasta tres veces. Un checkout alojado es lo más económico, mientras que los pedidos por teléfono son lo más caro. |
| Separación de la red | Hasta el doble. Sin ella, toda su red queda dentro del límite. |
| Primera vez o renovación | El segundo año suele costar entre el 40 y el 60 por ciento del primero, porque la documentación ya existe. |
Seis señales de que su empresa no está lista para una auditoría PCI DSS
Cada una le costará tiempo en una auditoría PCI DSS. Además, varias harán que repruebe directamente.
Sin inventario de scripts antes de su auditoría PCI DSS
No puede enumerar cada script que se ejecuta en su página de pago. Ese es el requisito 6.4.3, y ya es obligatorio.
Nada vigila los cambios
Ningún monitoreo le avisa cuando se modifica esa página de pago. El requisito 11.6.1 pide justamente eso.
Autenticación multifactor solo para administradores
El requisito 8.4.2 ahora aplica a todo acceso al entorno de tarjetas, así que una cobertura parcial es un hallazgo.
Tratar la auditoría PCI DSS como algo anual
Un solo puerto mal configurado lo rompe. Como v4.0.1 espera evidencias continuas, la carrera de una vez al año ya no basta.
Nadie sabe definir el alcance
Si dos personas de su empresa trazan el límite de forma distinta, su auditoría PCI DSS lo detectará de inmediato.
Las evidencias viven en la cabeza de las personas
Si la prueba existe pero nadie la ha reunido, pasará el periodo de evaluación buscando capturas de pantalla en lugar de aprobar.
Qué hacemos, y dónde empieza su auditoría PCI DSS
La mayoría de las firmas son vagas sobre esto. Sin embargo, preferimos ponerlo en una tabla, porque el límite es el punto central.
Lo que hace Ashcroft
- Análisis de brechas frente a cada requisito aplicable
- Definición del alcance, y reducción de ese alcance cuando es posible
- Plan de remediación e implementación práctica
- Políticas, procedimientos y el paquete de evidencias
- Ayuda para entender y completar su propio cuestionario
- Presentación de firmas QSA independientes, y coordinación con ellas
Lo que Ashcroft nunca hace
- Realizar la auditoría, ni nada que equivalga a una evaluación
- Firmar un Informe sobre Cumplimiento ni emitir una atestación
- Presentarse como QSA, porque no lo somos
- Hacer los escaneos trimestrales, que requieren un proveedor aprobado
- Certificar o validar nada, porque esa es una función del QSA
- Prometer que aprobará. Ninguna firma seria puede prometerlo.
Cómo preparamos a su empresa para la auditoría PCI DSS
Cinco etapas de preparación antes de que empiece su auditoría PCI DSS. Así siempre sabe en cuál está.
Definir y reducir el alcance
Trazamos cada camino que siguen los datos de tarjetas en su empresa y luego buscamos cómo hacer ese mapa más pequeño. Como el alcance determina el costo, esta etapa suele pagarse sola.
Análisis de brechas frente a cada requisito de la auditoría PCI DSS
Comparamos lo que tiene con cada requisito que le aplica, incluidas las adiciones de v4.0.1, y le entregamos una lista priorizada en lugar de un muro de texto.
Remediación
Corregimos junto con su equipo en lugar de entregar un informe y retirarnos. Así los puntos incómodos se cierran en vez de posponerse.
Las evidencias que su auditoría PCI DSS necesita
Reunimos la documentación que pedirá su evaluador, organizada como la espera. Aquí es donde normalmente se pierde la mayor parte de la semana de evaluación.
Entrega al QSA
Trabajamos junto al evaluador que usted elija, o le presentamos uno, y seguimos disponibles mientras transcurre su auditoría PCI DSS.
De dónde viene el apoyo para su auditoría PCI DSS
Usted contrata con Ashcroft Payment Security sin importar dónde se realice el proyecto. Como el trabajo se coordina en horarios de EE. UU. y del Reino Unido, las preguntas hechas por la mañana suelen responderse el mismo día hábil.
Boston
Massachusetts, Estados Unidos
1 Beacon StreetBoston, Massachusetts
Estados Unidos
Hora del Este · proyectos en EE. UU.
Londres
Reino Unido
169 PiccadillyLondon W1J 9EH
Reino Unido
Hora del meridiano de Greenwich · proyectos en el Reino Unido y la UE
Preguntas sobre la auditoría PCI DSS que se hacen primero
¿Ustedes realizan la auditoría PCI DSS?
No. Solo un QSA puede realizar una auditoría PCI DSS formal y firmar el informe que su banco aceptará. No somos un QSA. Preparamos a su empresa para la evaluación y, cuando esté lista, podemos presentarle firmas QSA independientes.
¿Pueden certificar que cumplimos?
No, y nadie fuera de un QSA puede hacerlo. Certificar y validar son funciones del evaluador. Lo que sí podemos hacer es cerrar las brechas que de otro modo le harían reprobar, para que el evaluador encuentre muy poco que reportar.
Usamos Stripe; ¿eso significa que ya cumplimos?
No del todo. El cumplimiento de su procesador cubre sus propios sistemas, pero no cubre su página de checkout, sus scripts, sus registros ni su personal. Los requisitos 6.4.3 y 11.6.1 son específicamente suyos. Usar un checkout alojado reduce mucho el trabajo, aunque no lo elimina.
PCI no es una ley, ¿alguien puede obligarnos de verdad?
No es una ley, pero está en el contrato que firmó con su banco para aceptar tarjetas. Si incumple ese contrato, su banco puede multarle, subirle las comisiones o dejar de procesar sus pagos por completo. En la práctica obliga tanto como una ley.
¿Cuánto costará nuestra auditoría PCI DSS?
Un comercio electrónico típico de Nivel 2 gasta entre $85,000 y $190,000 durante todo el primer año, y la tarifa del QSA es solo una parte. Envíenos cinco respuestas y le daremos un rango para su propio alcance, normalmente en un día hábil.
¿Pueden prometer que aprobaremos la auditoría PCI DSS?
No, y desconfíe de quien diga lo contrario. Su evaluador llega a su propia conclusión independiente. Lo que sí nos comprometemos a hacer es cerrar las brechas que encontremos y tener listas las evidencias antes de que llegue.
¿Qué fue la fecha límite de marzo de 2025?
Fue cuando los 51 requisitos con fecha futura de PCI DSS v4.0.1 se volvieron obligatorios, y ya pasó. Toda evaluación desde esa fecha debe incluirlos, y las empresas que no han revisado sus controles desde 2024 suelen incumplir sin darse cuenta.
¿Por qué no hay un número de teléfono en este sitio?
Porque cinco preguntas por escrito nos dicen más sobre su alcance que una reunión de diagnóstico, y además respetan su tiempo. Respóndalas y recibirá un rango por escrito en lugar de un enlace a un calendario.
Calcule la preparación de su auditoría PCI DSS en cinco preguntas
Estas cinco respuestas son lo que cualquiera necesita para estimar la preparación de una auditoría PCI DSS. Así podemos enviarle un rango sin pedirle antes una reunión.
Guías de PCI DSS
Guías para su auditoría PCI DSS, un tema por guía
Cada guía cubre un requisito, un cuestionario o un informe, y deja claro dónde termina nuestro trabajo y empieza el del QSA.
- 12 requisitos PCI DSS
- PCI DSS 4.0
- Tipos de SAQ PCI DSS
- SAQ A de PCI DSS
- SAQ A-EP de PCI DSS
- SAQ D de PCI DSS
- SAQ B de PCI DSS
- SAQ C de PCI DSS
- Escaneo ASV
- AOC de PCI
- ROC de PCI
- PCI DSS nivel 1 y niveles de comercio