PCI DSS v4.0.1
Obligatorio si almacena, procesa o transmite datos de tarjeta. Reducimos el alcance al mínimo y preparamos el SAQ o la auditoría con QSA.
PCI Security Standards Council
- Qué se juega
- Obligatorio si procesa tarjetas de pago
A quién aplica
- Comercios online y físicos
- Pasarelas y proveedores de pago
- Centros de llamadas que cobran por teléfono
Plazo habitual
3 a 6 meses
PCI Security Standards Council
En detalle
Si toca datos de tarjetas, tiene que cumplir.
PCI DSS es el estándar de seguridad creado por Visa, Mastercard, American Express, Discover y JCB. Se aplica a cualquier entidad que almacene, procese o transmita datos de titulares de tarjetas, desde un comercio online hasta un procesador de pagos.
La versión vigente, 4.0.1, incluye 12 requisitos agrupados en seis objetivos. Desde el 31 de marzo de 2025 son obligatorios los requisitos que antes eran recomendados, como la autenticación multifactor para todo acceso al entorno de datos de tarjetas y la protección de scripts en páginas de pago.
El nivel de validación depende del volumen de transacciones: los comerciantes grandes necesitan un informe de un QSA, mientras que los pequeños pueden usar un cuestionario de autoevaluación (SAQ).
Casos reales
Donde solemos ayudar.
Reducir el alcance
Tokenizar o externalizar el pago a una pasarela puede reducir el cumplimiento de cientos de controles a unas pocas decenas.
Skimming en la web
Los requisitos 6.4.3 y 11.6.1 exigen inventariar y vigilar los scripts de la página de pago para evitar ataques tipo Magecart.
Elegir el SAQ correcto
Hay nueve tipos de cuestionario. Elegir el equivocado es uno de los errores más comunes y costosos.
Qué recibe
Lo que tendrá al terminar.
- Definición y reducción del alcance
- Análisis de brecha frente a PCI DSS 4.0.1
- Segmentación de red verificada
- Pentest interno y externo del entorno
- Escaneos ASV trimestrales
- SAQ o acompañamiento al ROC con QSA
Cómo trabajamos
Tres formas de abordarlo.
Análisis de brecha
Sepa exactamente qué le falta.
- 2 a 3 semanas
- Informe priorizado
- Presupuesto cerrado
- Más elegido
Implantación completa
Le llevamos hasta la auditoría.
- Políticas y controles
- Evidencias preparadas
- Acompañamiento en auditoría
Mantenimiento
Para que siga cumpliendo cada año.
- Auditoría interna anual
- Seguimiento de cambios
- Soporte ante el auditor
PCI DSS
En qué nos centramos
- 01
Reducción y segmentación del alcance
- 02
Escaneos ASV trimestrales
- 03
Pentest anual y tras cambios
- 04
Requisitos nuevos de la versión 4.0
PCI DSS v4.0.1
Cómo trabajamos
- 1
Diagnóstico
Gap analysis frente al marco y priorización por riesgo.
- 2
Plan
Hoja de ruta con responsables, presupuesto y calendario.
- 3
Implantación
Políticas, controles técnicos y evidencias, con su equipo.
- 4
Auditoría
Preauditoría interna y acompañamiento ante el auditor.
FAQ
Preguntas frecuentes
¿Cuánto cuesta prepararse para PCI DSS v4.0.1?
Depende del alcance y de su punto de partida. Tras la primera llamada le damos un presupuesto cerrado, sin sorpresas.
¿Puedo combinarlo con otros marcos?
Sí. Reutilizamos los controles comunes para que cada certificación adicional cueste mucho menos.
Uso Stripe o Redsys, ¿tengo que cumplir?
Sí, pero mucho menos. Si el pago se hace en una página o iframe del proveedor, normalmente basta con el SAQ A, que tiene pocos requisitos.
¿Qué pasa si no cumplo?
El banco adquirente puede aplicarle penalizaciones, subir las comisiones o retirarle la capacidad de cobrar con tarjeta, y en caso de brecha responderá de los costes.
Servicios
Siguiente paso
¿Hablamos de su caso?
30 minutos con un socio, no con un comercial. Sin compromiso.