Guía
Preparar la auditoría PCI DSS antes de que llegue el QSA
Preparar la auditoría PCI DSS en los dos últimos meses es logística. Los controles ya deberían funcionar: queda ordenar evidencias, agendar entrevistas y cerrar pendientes.
- Preparamos, un QSA evalúa
- Rangos de precio publicados
- Estimación por escrito, todo por correo
Qué implica preparar la auditoría PCI DSS en esta etapa
A estas alturas, el alcance está definido y el análisis de brechas cerrado. Pero el QSA aún necesita evidencias, entrevistas y observaciones: el trabajo es gestión de proyecto.
Nombre a una persona coordinadora, comparta un tablero y fije un plazo de respuesta al QSA. Así los días en sitio fluyen.
Ordene las evidencias por requisito
Archive las evidencias por número de requisito, para que el QSA rastree cada una sin preguntar. Añada un índice breve por carpeta.
| Carpeta | Contenido típico |
|---|---|
| Alcance | Diagrama de flujo de datos, diagrama de red, inventario |
| Políticas | Políticas aprobadas con fechas |
| Escaneos y pruebas | Cuatro escaneos trimestrales, prueba anual, repetición |
| Accesos | Listas de usuarios, revisiones, configuración de MFA |
| Registros | Constancias de revisión de logs |
| Proveedores | Lista de proveedores de servicios, AOC, matriz de responsabilidades |
Revisión para preparar la auditoría PCI DSS
Marque lo que está listo.
Su resultado aparece aquí a medida que marca las casillas, para que vea lo que sigue pendiente.
Preparar la auditoría PCI DSS: las entrevistas
El QSA entrevista a responsables y observa procesos. Informe a cada persona sobre su área, reserve suplentes y elija una sala tranquila o una videoconferencia estable.
No ensaye respuestas: funcionan mejor las breves y honestas.
Cómo cerrar los pendientes
Liste todo lo que siga abierto del análisis de brechas y decida qué puede cerrarse antes del trabajo de campo y qué necesita un plan documentado. Como las sorpresas cuestan tiempo, avise pronto al QSA de las brechas conocidas.
Revise también que el último escaneo trimestral aprobó y que la repetición de la prueba está hecha.
Errores comunes al preparar la auditoría PCI DSS
Reescribir políticas a última hora es común. Pero el QSA busca políticas que hayan funcionado, no nuevas. Otro error es que falten las AOC de los proveedores de servicios.
Reúna pronto los documentos de proveedores, porque dependen de otras empresas.
Dónde ayuda Ashcroft
Llevamos el seguimiento, preparamos a los responsables y revisamos las evidencias antes que el QSA. Nuestro análisis de brechas cuesta $8,000–$40,000. No somos un QSA, así que la evaluación la hace una empresa QSA independiente. La lista oficial de empresas QSA muestra quién puede evaluar.
Preguntas sobre cómo preparar la auditoría PCI DSS
¿Cuándo conviene empezar a preparar la auditoría PCI DSS?
La preparación empieza meses antes; la logística final, de seis a ocho semanas antes del trabajo de campo.
¿Quién dirige el trabajo para preparar la auditoría PCI DSS?
Una persona coordinadora, a menudo quien lidera cumplimiento o seguridad.
¿Preparar la auditoría PCI DSS es distinto con un SAQ?
Sí. Con un SAQ, usted completa el cuestionario, aunque las evidencias siguen importando.
¿Debemos avisar al QSA de las brechas?
Sí. Avisar pronto ayuda a planear la evaluación.
Guías relacionadas
Empiece a tiempo a preparar la auditoría PCI DSS
Indíquenos la fecha de su evaluación y su alcance. Le enviamos una estimación por escrito, normalmente en un día hábil.
Quiero mi estimación por escrito