Guía
Evidencias PCI DSS, por tipo
Las evidencias PCI DSS llegan en cuatro formas: documentos, registros, entrevistas y observaciones. El QSA las combina en cada requisito, así que un hueco en cualquiera frena la evaluación.
- Preparamos, un QSA evalúa
- Rangos de precio publicados
- Estimación por escrito, todo por correo
Los cuatro tipos de evidencias PCI DSS
Los documentos muestran lo que pretende hacer, como políticas y procedimientos. Los registros muestran lo que ocurrió, como bitácoras de revisión. Las entrevistas y observaciones muestran cómo trabaja de verdad la gente.
Por eso el QSA suele revisar más de una forma por requisito. Como deben coincidir, una política que nadie sigue se vuelve un hallazgo.
| Tipo | Ejemplos |
|---|---|
| Documentos | Políticas, procedimientos, diagramas |
| Registros | Logs, tickets, firmas de revisión, informes de escaneo |
| Configuración | Exportaciones de configuración y capturas con fecha |
| Entrevistas | Responsables que explican cómo funciona un control |
| Observación | El QSA ve ocurrir un proceso |
Cómo etiquetar las evidencias PCI DSS
Nombre cada archivo con el número de requisito y la fecha, y el QSA lo rastreará rápido. Lleve un índice por carpeta.
Exporte además los informes con filtros y marcas de tiempo visibles. Las capturas sin fecha suelen generar solicitudes adicionales.
Revisión de evidencias PCI DSS
Marque lo que su expediente ya cumple.
Su resultado aparece aquí a medida que marca las casillas, para que vea lo que sigue pendiente.
Muestras y poblaciones
El QSA toma muestras de elementos como cuentas de usuario, cambios y sistemas, así que tenga listas completas a mano. Un elemento que falte en la lista puede invalidar la muestra.
Luego reúna rápido los registros de cada elemento muestreado.
Evidencias PCI DSS de los proveedores de servicios
Algunos requisitos los cumplen sus proveedores. Reúna la AOC de cada proveedor y la matriz de responsabilidades, y muestre cómo los monitorea según el 12.8.
Como dependen de otras empresas, pídalas pronto.
Cuánto tiempo conservar las evidencias de la evaluación
Conserve las evidencias al menos durante el periodo de la evaluación, y tanto como diga su política. Conserve también los registros de auditoría como fija el requisito 10.
Así, la evaluación del próximo año puede compararse con el expediente de este.
Dónde ayuda Ashcroft
Armamos la estructura de evidencias y revisamos los archivos antes que el QSA. Nuestro análisis de brechas cuesta $8,000–$40,000, y el trabajo de políticas y documentación, $10,000–$30,000. No somos un QSA. La norma está en la biblioteca de documentos del PCI SSC.
Preguntas sobre las evidencias PCI DSS
¿Cuántas evidencias PCI DSS bastan?
Las suficientes para cada requisito del alcance, en las formas que pide el QSA.
¿Las evidencias PCI DSS pueden ser capturas de pantalla?
Sí, si tienen fecha y son claras. Las exportaciones suelen ser mejores.
¿Quién guarda las evidencias PCI DSS?
Cada responsable de control, con una persona coordinadora que lleva el índice.
¿Las entrevistas cuentan?
Sí, junto con documentos y registros.
Guías relacionadas
Ordene sus evidencias PCI DSS
Indíquenos su alcance y la fecha de su última evaluación. Le enviamos una estimación por escrito, normalmente en un día hábil.
Quiero mi estimación por escrito