PCI DSS.
Delimitar los datos de pago y las dependencias, aclarar la responsabilidad operativa y acordar la acreditación adecuada con la entidad competente.
- PCI DSS v4.0.1 · PCI SSC
- Por Jonathan Bezdek
- Actualizado: 22/10/2026
- Tiempo de lectura: 9 min.
Respuesta breve.
PCI DSS es el estándar sectorial de protección de datos de tarjetas de pago. Afecta a comercios, proveedores y sistemas que los tratan o influyen en su seguridad. La versión actual es PCI DSS v4.0.1. Entorno de pago y función determinan el alcance; la acreditación, como SAQ o ROC, se acuerda con el adquirente o la marca de pago.
PCI DSS 4.0 y la versión actual.
PCI DSS conecta requisitos técnicos y operativos de seguridad para datos de pago. PCI Security Standards Council, abreviado PCI SSC, desarrolla el estándar y sus herramientas de apoyo. En cambio, las entidades competentes que aceptan la acreditación, normalmente adquirentes y marcas de pago, determinan cómo demostrar el cumplimiento en un programa de pago concreto; PCI SSC FAQ 1473 explica esta separación de funciones.
PCI DSS v4.0.1 es la versión recogida en la biblioteca oficial de documentos. Según la publicación de PCI SSC sobre la revisión, v4.0 se retiró el 31 de diciembre de 2024. La fecha del 31 de marzo de 2025 ya prevista para los nuevos requisitos de v4 no cambió. A la fecha de esta página, ese plazo ya ha pasado; no es una fecha futura de implantación.
Completar satisfactoriamente una acreditación no sustituye la protección continua. En la organización práctica, los cambios en vías de pago, aplicaciones y proveedores deben motivar una revisión del alcance acordado. Una nueva integración de pago puede crear dependencias distintas de la solución evaluada antes, aunque la misma empresa siga aceptando pagos.
A quién se aplica PCI DSS.
Según la página general de PCI SSC, PCI DSS no se dirige únicamente a organizaciones que almacenan, procesan o transmiten datos de tarjetas. También debe considerarse una posible influencia sobre la seguridad del entorno de datos de titulares de tarjetas, o Cardholder Data Environment (CDE). Por ello, comercios y proveedores deben describir primero su función concreta y los servicios realmente prestados.
Externalizar el procesamiento de pagos no supone una exención automática. PCI SSC FAQ 1092 distingue un alcance directo de requisitos posiblemente menor de la responsabilidad continuada sobre proveedores adecuados, responsabilidades acordadas y acreditación exigida. Incluso con un proceso de pago alojado externamente, aclare con la entidad competente qué condiciones debe cumplir la integración técnica elegida.
Los límites se acreditan mediante medidas eficaces, no solo con un nombre en un diagrama de arquitectura. PCI SSC FAQ 1115 explica que deben examinarse los sistemas conectados y la eficacia real de la segmentación. Excluir precipitadamente accesos administrativos, servicios de apoyo o interfaces puede dar lugar a un alcance de auditoría incompleto.
Organizar los requisitos de PCI DSS en la operación.
La implantación conecta la protección del entorno de pago con procedimientos operativos trazables. Los seis ámbitos siguientes son una orientación editorial para planificar, no una reproducción de los doce requisitos oficiales ni de puntos individuales de auditoría; su aplicabilidad concreta se examina sobre el alcance confirmado.
Hacer comprensibles los flujos de pago y el alcance.
Siga en la práctica dónde se genera la información de pago, qué componentes participan y qué personas o proveedores pueden influir en ella. Documente los límites confirmados junto con sus supuestos. Una descripción comprensible ayuda a desarrollo, operación y entidad receptora a hablar de la misma vía de pago.
Operar sistemas y cambios con seguridad.
Asigne responsables claros a las aplicaciones y los componentes de infraestructura participantes. Vincule los cambios con la pregunta de si nuevas conexiones, funciones o dependencias modifican el alcance confirmado. Para el día a día, un historial trazable de cambios resulta más útil que una instantánea preparada únicamente para la auditoría.
Limitar el uso y la transmisión de datos.
Como pregunta inicial práctica, examine qué datos de pago necesita realmente el procedimiento elegido y dónde pueden generarse copias. Considere exportaciones, registros y procesos de apoyo. La planificación detallada de seguridad debe ajustarse a los tipos de datos y la finalidad; una etiqueta general de confidencialidad todavía no explica esas decisiones.
Organizar los accesos de forma trazable.
Conecte las competencias funcionales con las posibilidades técnicas realmente concedidas. Considere, además del personal, las cuentas de servicio, los accesos administrativos y los proveedores. Para organizar el trabajo, conviene responder claramente quién aprueba un acceso, quién gestiona los cambios y cómo se reconoce que se retiró a tiempo.
Comprobar la operación y gestionar los hallazgos.
Planifique registros y pruebas adecuados con los responsables del entorno de pago. Un escaneo o una prueba de penetración individual solo describe su propio objeto. Ante hallazgos, documente qué cambio se deriva y cómo se comprobará su efecto, en lugar de equiparar un resultado de prueba con toda la acreditación PCI DSS.
Incluir proveedores e incidentes.
Defina los contactos operativos y el procedimiento ante anomalías. Para prestaciones externalizadas, las tareas propias deben seguir siendo comprensibles junto a los compromisos del proveedor. PCI SSC FAQ 1576 explica que una acreditación del proveedor debe cubrir los servicios utilizados; un documento empresarial cualquiera no basta automáticamente.
Implantar PCI DSS como tarea continua.
Acordar la función y la vía de acreditación.
Como primer paso práctico, aclare con el adquirente o la marca de pago su función, la acreditación esperada y la persona de contacto competente antes de elegir un formulario.
Registrar una vía de pago.
Describa los datos, las aplicaciones, los sistemas y los proveedores participantes desde el comienzo del pago hasta los registros operativos que permanecen.
Confirmar el alcance.
Examine las conexiones relevantes y los componentes que influyen en la seguridad y solicite una evaluación especializada de los límites, incluida la posible segmentación.
Afianzar las tareas en la operación.
Asigne las medidas de protección y las responsabilidades compartidas a personas concretas y conecte su implantación con registros adecuados.
Preparar evidencias coherentes.
Compruebe si la documentación exigida describe el mismo servicio, la misma función y el mismo alcance y si las decisiones pendientes se han tratado de forma trazable.
Seguir los cambios y las revisiones posteriores.
Acuerde los intervalos de acreditación necesarios y compruebe ante cambios si el alcance, las evidencias de proveedores y las responsabilidades operativas siguen siendo adecuados.
Certificación PCI y forma real de acreditación.
La acreditación PCI DSS reconocida utiliza los documentos oficiales previstos. Un SAQ documenta una autoevaluación admisible; un ROC, los resultados de la vía de auditoría correspondiente; y una AOC, la declaración asociada. Según PCI SSC FAQ 1220, los documentos cualesquiera denominados certificados de cumplimiento no sustituyen las plantillas oficiales.
La entidad receptora determina la vía exigida; en una auditoría correspondiente puede participar un Qualified Security Assessor, o QSA. Según PCI SSC FAQ 1473, el alcance y la aplicabilidad deben evaluarse correctamente. Por ello, elegir el nombre de un SAQ todavía no confirma que se cumplan sus criterios de elegibilidad ni que estén implantados todos los requisitos relevantes.
También debe utilizarse la versión actual de la plantilla adecuada. PCI SSC cambió las reglas de SAQ A el 31 de marzo de 2025 y aclaró expresamente que eliminar puntos individuales del cuestionario no suprime los requisitos subyacentes de PCI DSS. Acuerde para su caso los momentos de acreditación y las obligaciones posteriores, en lugar de asumir una vigencia general de certificado.
Entender otros marcos.
ISO 27001 aborda la gestión de seguridad de la información dentro de un ámbito definido; la acreditación PCI DSS es una decisión separada para el entorno de pago. CIS Controls apoya la priorización general del trabajo de seguridad, pero no establece una vía de validación PCI. El RGPD afecta al tratamiento de datos personales y debe seguir examinándose con independencia de la acreditación de datos de pago.
En Secani.
Secani ofrece un catálogo editorial empresarial propio sobre PCI DSS v4.0.1. El perfil recoge, entre otros datos, el alcance del CDE, la función de comercio o proveedor y la vía SAQ/ROC acordada. Estos datos de trabajo apoyan un enfoque estructurado; no sustituyen ni los documentos oficiales de auditoría, ni la confirmación de elegibilidad, ni el juicio de la entidad competente.
Empezar con una vía de pago concreta.
Elija una vía de pago realmente utilizada e identifique su responsabilidad funcional y técnica. Documente qué prestaciones realiza por sí mismo y cuáles asume un proveedor. Acuerde después la acreditación esperada con la entidad competente antes de planificar el esfuerzo según un cuestionario supuestamente adecuado.
Fuentes.
- PCI SSC: información general de PCI DSS y destinatarios
- PCI SSC: biblioteca oficial de documentos
- PCI SSC: publicación de PCI DSS v4.0.1
- PCI SSC FAQ 1473: entidades competentes y vía de acreditación
- PCI SSC FAQ 1092: procesamiento de pagos externalizado
- PCI SSC FAQ 1576: evidencias de proveedores
- PCI SSC FAQ 1220: documentos oficiales en lugar de certificados de cumplimiento
- PCI SSC FAQ 1115: sistemas conectados y segmentación
- PCI SSC: cambios de SAQ A del 31 de marzo de 2025
- PCI SSC: boletín SAQ del 15 de octubre de 2024
Preguntas frecuentes.
No automáticamente. La externalización puede modificar el alcance directo; la responsabilidad sobre proveedores adecuados, responsabilidades claras y acreditación exigida debe seguir considerándose por separado.
No únicamente según el esfuerzo deseado. Deben cumplirse los criterios de elegibilidad y la vía de acreditación exigida debe acordarse con la entidad receptora.
Los certificados de cumplimiento cualesquiera no son un sustituto reconocido de los documentos oficiales. Son determinantes la vía de auditoría acordada y los informes o declaraciones oficiales correspondientes.
No. Un certificado de SGSI se refiere al alcance indicado de su sistema de gestión; los requisitos y la vía de acreditación del entorno de pago deben aclararse por separado.
Delimitar la vía de pago.
Hable sobre cómo trabajar el alcance, las tareas y las evidencias en Secani.
Esta página explica PCI DSS con palabras propias y no sustituye los documentos oficiales de PCI SSC ni una evaluación especializada. Deben respetarse por separado los requisitos del programa de pago y las decisiones de la entidad competente.