Guía
Cómo armar una matriz de responsabilidades PCI
Una matriz de responsabilidades PCI muestra, requisito por requisito, qué le toca a usted y qué a cada proveedor. El requisito 12.8 espera que lo sepa, así que el QSA suele pedirla.
- Preparamos, un QSA evalúa
- Rangos de precio publicados
- Estimación por escrito, todo por correo
Por qué importa una matriz de responsabilidades PCI
El hosting, las páginas de pago y las herramientas de soporte suelen estar en manos de proveedores. Algunos requisitos los cumplen ellos, otros usted y otros ambos. Sin una matriz, las brechas se esconden en las líneas compartidas.
Además, el 12.8 pide una lista de proveedores, acuerdos escritos y un registro de qué requisitos cubre cada uno.
Cómo se ve una matriz de responsabilidades PCI
Manténgala simple: una fila por requisito y una columna por proveedor. Luego marque cada celda.
| Área de requisitos | Usted | Proveedor de hosting | Proveedor de la página de pago |
|---|---|---|---|
| Controles de red | Compartida | Compartida | No |
| Scripts de la página de pago | Sí | No | Compartida |
| Acceso de su personal | Sí | No | No |
| Seguridad física | No | Sí | Sí |
| Registros | Compartida | Compartida | Compartida |
Revisión de su matriz de responsabilidades
Marque lo que contiene su expediente de proveedores.
Su resultado aparece aquí a medida que marca las casillas, para que vea lo que sigue pendiente.
Cómo obtener la parte del proveedor
Pida a cada proveedor su propia matriz y su AOC; muchos publican ambas. Luego compare su matriz con la de usted.
Como los proveedores describen sus responsabilidades en sus propios términos, tradúzcalas a números de requisito.
Cómo mantener al día la matriz de responsabilidades PCI
Revísela cada año y cada vez que cambie un proveedor, y revise las AOC nuevas cuando lleguen. Así la matriz sigue siendo un documento vivo.
Registre además quién la revisó y cuándo.
Responsabilidades compartidas
Las celdas compartidas requieren más cuidado. Escriba en una oración qué hace cada parte; por ejemplo, el proveedor mantiene el firewall y usted aprueba los cambios de reglas.
Así el QSA puede probar con claridad su mitad.
Dónde ayuda Ashcroft
Armamos la matriz, reunimos los documentos de proveedores y fijamos la revisión anual. Nuestro análisis de brechas cuesta $8,000–$40,000. No somos un QSA. La norma está en la biblioteca de documentos del PCI SSC.
Compare además los contratos con la matriz. Como el 12.8 espera acuerdos escritos, el contrato debe decir qué cubre el proveedor, así que el área legal y la de cumplimiento deben revisarlos juntas. Señale cualquier proveedor que no confirme su parte por escrito.
Preguntas sobre la matriz de responsabilidades PCI
¿La matriz de responsabilidades PCI es obligatoria?
El requisito 12.8 espera que sepa quién cubre qué, y una matriz es la forma habitual.
¿Quién redacta la matriz de responsabilidades PCI?
Usted, con los documentos de cada proveedor.
¿Cada cuánto debe cambiar la matriz de responsabilidades PCI?
Al menos cada año, y cuando cambian los proveedores.
¿La AOC del proveedor la reemplaza?
No. La AOC muestra su cumplimiento; la matriz muestra el reparto.
Guías relacionadas
Arme su matriz de responsabilidades PCI
Liste sus proveedores de pagos y de hosting. Le enviamos una estimación por escrito, normalmente en un día hábil.
Quiero mi estimación por escrito