Guía
Controles compensatorios PCI DSS, bien usados
Los controles compensatorios PCI DSS permiten cumplir un requisito de otra forma cuando una restricción legítima impide el enfoque indicado. Necesitan una razón documentada, una hoja de trabajo y la aceptación del QSA.
- Preparamos, un QSA evalúa
- Rangos de precio publicados
- Estimación por escrito, todo por correo
Cuándo aplican los controles compensatorios PCI DSS
Aplican cuando una restricción técnica o de negocio legítima impide cumplir un requisito tal como está escrito, por ejemplo, un sistema heredado que no admite cierta configuración.
Sin embargo, no son un atajo. Como la alternativa debe cumplir la intención del requisito original, la exigencia es alta.
Qué muestra la hoja de controles compensatorios PCI DSS
Cada control compensatorio necesita una hoja de trabajo escrita. La tabla muestra sus partes habituales.
| Parte | Contenido |
|---|---|
| Restricción | Por qué el requisito no puede cumplirse tal como está |
| Objetivo | La intención del requisito original |
| Riesgo | El riesgo añadido por no cumplirlo |
| Control | Lo que hace en su lugar |
| Validación | Cómo se probó |
| Mantenimiento | Cómo se mantiene funcionando |
Revisión de controles compensatorios PCI DSS
Marque lo que es cierto para cada uno.
Su resultado aparece aquí a medida que marca las casillas, para que vea lo que sigue pendiente.
Quién acepta los controles compensatorios PCI DSS
El QSA revisa la hoja de trabajo y las evidencias, y decide si el control cumple la intención. Involucre al QSA pronto, antes de construir la alternativa.
Espere además que la revisión se repita en cada evaluación.
Cómo mantenerlos bajo control
Dé seguimiento a cada uno con un responsable y un plan para eliminar la restricción cuando se pueda. Como se renuevan cada año, una lista larga resulta costosa.
Por eso, el mejor plan suele ser retirar la restricción misma.
Errores comunes
Usar un control que ya existe para otro requisito no cuenta, y las hojas de trabajo vagas se rechazan. Entonces el requisito sigue abierto.
Además, un control compensatorio que no se mantiene se vuelve un hallazgo.
Dónde ayuda Ashcroft
Evaluamos si un control compensatorio es realista, redactamos la hoja de trabajo y preparamos las evidencias para el QSA. Nuestro análisis de brechas cuesta $8,000–$40,000. No somos un QSA, así que la aceptación es decisión del QSA. La norma está en la biblioteca de documentos del PCI SSC.
Avise además a su adquirente cuando un control compensatorio cubra un requisito importante. Como los adquirentes fijan las reglas de validación, quizá quieran saberlo, así que revise pronto su guía. Guarde la hoja de trabajo junto con el expediente de la AOC.
Preguntas sobre controles compensatorios PCI DSS
¿Quién aprueba los controles compensatorios PCI DSS?
El QSA, durante la evaluación.
¿Los controles compensatorios PCI DSS duran para siempre?
No. Se revisan en cada evaluación.
¿Los comercios con SAQ pueden usar controles compensatorios PCI DSS?
Sí, con la hoja de trabajo adjunta al SAQ.
¿El costo es una restricción válida?
Háblelo con su QSA. Una simple preferencia de costo normalmente no basta.
Guías relacionadas
Maneje bien los controles compensatorios PCI DSS
Describa la restricción que enfrenta. Le enviamos una estimación por escrito, normalmente en un día hábil.
Quiero mi estimación por escrito