Lo que entregamos
FF Tech ayuda a los equipos de tecnología y seguridad a organizar el alcance, los controles, las evidencias y el plan de acción antes de auditorías y revisiones alineadas con PCI DSS (los requisitos de la industria de pagos para proteger los datos de tarjetas). El foco está en lo que tiene que salir del papel: definición del alcance del entorno de datos de tarjetas, controles de acceso, registros de auditoría, hardening, monitoreo, documentación y tratamiento de brechas. No reemplazamos al evaluador calificado (QSA), pero preparamos el terreno para que la auditoría transcurra con menos sorpresas y con evidencia trazable.
El problema que resuelve
Organizaciones que procesan, almacenan o transmiten datos de tarjetas y necesitan prepararse para auditorías PCI DSS, pero no saben por dónde empezar o tienen brechas técnicas por resolver.
CISOs, responsables de seguridad, responsables de cumplimiento y equipos técnicos involucrados en el cumplimiento de PCI DSS.
Antes de auditorías PCI DSS, cuando hay brechas conocidas en los controles, cuando hay que definir o revisar el alcance del entorno de datos de tarjetas, o cuando el equipo necesita apoyo técnico para organizar las evidencias.
Alcance del trabajo
Entregables
Cómo se desarrolla el trabajo, en la práctica
Primero el alcance
El PCI DSS se aplica a todo lo que almacena, procesa o transmite datos de tarjetas y a todo lo que se conecta a ese entorno o puede afectar su seguridad. El primer paso es mapear el flujo del número de tarjeta (PAN) por sistemas, redes, personas y proveedores. Reducir el alcance, con segmentación de red, tokenización, cifrado punto a punto o tercerización del pago a un proveedor en cumplimiento, suele ser la decisión más económica, porque cada sistema dentro del alcance necesita controles y evidencias. La segmentación, sin embargo, debe validarse mediante pruebas, no solo diseñarse.
Requisitos que más trabajo exigen
Controles de red (requisito 1), protección de los datos almacenados (3), configuración segura y gestión de vulnerabilidades, identificación y autenticación, incluida la MFA (8), registro y monitoreo de accesos (10) y pruebas de seguridad, como escaneos y pruebas de penetración (11). Puntos comunes de falla: PAN visible en logs, contraseñas predeterminadas, cuentas compartidas, logs sin revisión y escaneos sin tratamiento de los hallazgos. La versión vigente es la 4.0.1, y los nuevos requisitos de la 4.0 que se consideraban buenas prácticas pasaron a ser obligatorios el 31 de marzo de 2025.
Evidencia y papel del evaluador
Auditar es probar: cada control necesita evidencia organizada por requisito, como configuraciones, registros, políticas y muestras de logs, y no basta con que exista. La evidencia debe cubrir todo el período evaluado, no solo el día de la auditoría. El QSA (evaluador de seguridad calificado del PCI) es quien valida el cumplimiento y emite el informe (ROC); según el tipo de entidad y las exigencias de quien requiere el cumplimiento, algunas organizaciones pueden usar el cuestionario de autoevaluación (SAQ). La preparación existe para llegar a esa etapa sin sorpresas y con un plan de acción, con responsables, para las brechas.
Diferenciales
- Un enfoque técnico, no solo documental
- Foco en la implementación real de controles, no solo en listas de verificación
- Experiencia en entornos cloud e híbridos
Metodología
Definición del alcance y del entorno de datos de tarjetas
Análisis de brechas frente a los requisitos
Priorización y plan de acción
Implementación de controles
Organización de evidencias
Preparación final y apoyo al evaluador calificado
Destacados
Preguntas frecuentes
¿Listos para avanzar?
Cuéntenos sobre su contexto y sus desafíos. Respondemos con una propuesta clara.