Guía
Verificación de antecedentes PCI DSS: a quién y cómo
La verificación de antecedentes PCI DSS está en el requisito 12.7. Exige verificar a las personas antes de que accedan al entorno de tarjetas, dentro de la ley local. La regla trata del acceso, no del puesto.
- Preparamos, un QSA evalúa
- Rangos de precio publicados
- Estimación por escrito, todo por correo
Qué dice el requisito 12.7
Se verifica antes de contratar a quien tendrá acceso al entorno de tarjetas, para reducir el riesgo interno. Las leyes locales limitan qué se permite. El texto está en la biblioteca de documentos del PCI SSC.
Quién necesita verificación de antecedentes PCI DSS
Céntrese en el acceso. Liste los roles que llegan a datos de tarjetas o a los sistemas que los rodean.
- Administración de sistemas del entorno de tarjetas
- Desarrollo con acceso a producción
- Soporte que puede ver datos de tarjetas
- Personal de finanzas que maneja registros de pago
Revisión de verificación de antecedentes PCI DSS
Marque lo que ya tiene.
Su resultado aparece aquí a medida que marca las casillas, para que vea lo que sigue pendiente.
La ley local define la verificación de antecedentes PCI DSS
Lo verificable cambia según el país y el estado. Por ejemplo, la consulta de antecedentes penales está restringida en algunos lugares. Diseñe la verificación con asesoría legal y documente por qué es adecuada.
| Tema | Enfoque habitual |
|---|---|
| Alcance de la verificación | Según el rol y la ley local. |
| Momento | Antes de otorgar el acceso. |
| Registros | Prueba de que se verificó, guardada de forma segura. |
Verificación de antecedentes PCI DSS para contratistas
El personal de proveedores también puede llegar a su entorno de tarjetas. Exija la verificación por contrato, o confirme el proceso propio del proveedor.
La evaluación del proveedor o el contrato pueden servir de evidencia, si cubren a las personas que de verdad acceden a sus sistemas.
Nuestro papel
Ayudamos a definir qué roles requieren verificación y qué evidencias guardar. Las decisiones legales son de su asesoría jurídica, y no somos un QSA.
Repita además la revisión cuando cambian los roles. Por ejemplo, quien pasa a un puesto con acceso a producción puede necesitar verificación entonces, aunque haya entrado años antes en otro puesto.
Preguntas sobre la verificación de antecedentes PCI DSS
¿La verificación de antecedentes PCI DSS aplica a todo el personal?
No. Aplica a las personas que tendrán acceso al entorno de tarjetas.
¿Y si la ley local prohíbe una verificación?
El requisito contempla la ley local, así que documente los límites.
¿Los contratistas necesitan verificación de antecedentes PCI DSS?
Si acceden al entorno de tarjetas, sí, por contrato o por el proceso del proveedor.
¿Qué evidencias quiere ver un evaluador?
Prueba de que se verificó antes del acceso, no los detalles de la verificación.
Guías relacionadas
Cierre las brechas del lado de las personas
Indíquenos qué roles llegan a datos de tarjetas. Le enviamos una estimación de preparación por escrito.
Quiero mi estimación por escrito