Coste del test de penetración PCI DSS

Lo que dice realmente el requisito

PCI DSS es inusualmente específico sobre el testing de penetración, lo que lo convierte en uno de los marcos más fáciles de presupuestar. El requisito 11.4 en la versión 4.0 se divide en obligaciones distintas:

• 11.4.1 - una metodología de testing de penetración definida y documentada. Es papeleo, pero papeleo que un evaluador pedirá, y debería describir el enfoque, la cobertura del alcance, el testing desde dentro y desde fuera y cómo se tratan los hallazgos.
• 11.4.2 - testing de penetración interno, al menos una vez cada doce meses y tras cualquier cambio significativo de infraestructura o de aplicación.
• 11.4.3 - testing de penetración externo, con la misma cadencia y el mismo disparador por cambio.
• 11.4.4 - vulnerabilidades explotables y debilidades encontradas durante el testing corregidas, y el testing repetido para verificar la corrección. Aquí el retest no es opcional; está escrito en el requisito.
• 11.4.5 - cuando se usa segmentación para aislar el entorno de datos de titulares de tarjeta de otras redes, los controles de segmentación testeados al menos una vez cada doce meses.
• 11.4.6 - para proveedores de servicio, ese testing de segmentación pasa a al menos una vez cada seis meses.

Las versiones de PCI DSS y sus requisitos con fecha cambian con el tiempo. Confirme el texto aplicable vigente con su QSA en lugar de fiarse de cualquier resumen, incluido este.

Las tres cosas que compra realmente

La mayoría de los presupuestos PCI se tuercen porque se valora "un test de penetración" como una sola partida cuando el requisito describe tres ejercicios distintos.

Testing externo

Atacar el perímetro desde fuera: sistemas expuestos a internet, acceso remoto, cualquier cosa expuesta a la red pública que pudiera conducir hacia el entorno de datos de titulares de tarjeta. Dimensionado por el tamaño de la huella externa.

Testing interno

Asumir un punto de apoyo dentro de la red y ver hasta dónde llega. Para la mayoría de las organizaciones aquí están los hallazgos serios, porque las redes internas suelen ser más planas de lo que sugieren sus diagramas. Dimensionado por número de hosts, tamaño de dominio y relaciones de confianza. En la práctica esto es testing de red y Active Directory.

Validación de segmentación

La que se olvida. Aquí no se testean los sistemas, se intenta específicamente alcanzar el entorno de datos de titulares de tarjeta desde redes que se supone están fuera de alcance, para demostrar que el aislamiento se sostiene de verdad. Se exige por separado, toda su reducción de alcance depende de ello y, si es proveedor de servicio, lo debe dos veces al año en vez de una. Un fallo aquí es caro de una forma en que los otros no lo son, porque significa que su alcance estaba mal y que todo lo que estaba fuera puede estar ahora dentro.

Cómo cambia el precio la reducción de alcance

La forma más barata de reducir el coste del testing PCI es reducir el propio entorno de datos de titulares de tarjeta, y eso es una decisión de arquitectura y no de compras. Todo sistema que almacene, procese o transmita datos de titulares, y todo sistema conectado a ellos, está en alcance. La segmentación es lo que mantiene fuera al resto de su entorno.

Dos consecuencias prácticas. Primera: si la segmentación funciona, su alcance testeado es pequeño y el testing es barato en consecuencia, pero debe pagar la validación de segmentación para demostrarlo. Segunda: si no funciona, no tiene un problema de testing, tiene un problema de alcance, y ningún presupuesto de testing lo arregla. Descubrirlo durante una evaluación es considerablemente peor que descubrirlo durante un test.

Comercios y proveedores de servicio no son la misma compra

Los proveedores de servicio cargan con la obligación más pesada. La cadencia semestral de segmentación de 11.4.6 significa dos encargos al año donde un comercio tiene uno, y los proveedores multiinquilino tienen obligaciones adicionales en torno a dar soporte al testing de sus propios clientes. Si procesa en nombre de otros, presupueste esa cadencia desde el principio en lugar de descubrirla a mitad de año.

Los comercios que completan un cuestionario de autoevaluación están en otra situación. Los tipos de SAQ varían bastante en qué requisitos incorporan y no todos incluyen 11.4. Qué SAQ le aplica lo determinan su adquirente o su QSA, y esa determinación es de donde viene su respuesta. Conviene tenerla por escrito antes de comprar nada.

Lo que cuesta

Como PCI separa los ejercicios, conviene valorarlos igual. Un alcance de aplicación empieza en 500 $ cuando el entorno en alcance es una única aplicación de pago. El testing de red interno y externo, donde está realmente la mayoría de los entornos de datos de titulares, empieza en 1.500 $ y se dimensiona por número de hosts, tamaño de dominio y relaciones de confianza. La validación de segmentación se dimensiona junto al test interno, ya que usa el mismo acceso y la misma ventana, lo que hace comprarlos juntos bastante más barato que por separado.

El retest tras la remediación está escrito en 11.4.4 y está incluido en mis encargos en lugar de facturarse aparte, igual que el soporte de remediación y la carta de atestación. La página de servicio de test de penetración PCI DSS cubre la metodología, coste del test de penetración explica el modelo general y el informe de muestra enseña lo que recibirá un QSA.

Si además hay SOC 2 en juego, ambos comparten con frecuencia un único encargo cuando se dimensionan juntos desde el principio: vea coste del test de penetración SOC 2. Para regímenes regionales que se apilan sobre PCI, sobre todo en el Golfo, testing impulsado por cumplimiento cubre cómo funcionan los solapamientos.