Inventario y autorización de scripts: cómo crearlos y justificarlos

Para qué sirve el inventario

No se puede autorizar, comprobar ni monitorear lo que no se sabe que está ahí. El inventario es la referencia común para tres tareas: decidir qué se permite en una página de pago, detectar lo que no se permite y demostrar a un evaluador que usted hace ambas cosas. El requisito 6.4.3 pide un inventario de todos los scripts de la página de pago con una justificación comercial o técnica escrita para cada uno; vea PCI DSS 6.4.3 explicado.

Qué registrar de cada script

Un ejemplo de buena justificación

«Carga la biblioteca de campos alojados del proveedor de pagos; es necesaria para mostrar los campos de la tarjeta; la suministra el proveedor y está fijada con un hash de integridad; se revisa cada vez que el proveedor anuncia una versión nueva». Dice qué hace el script, por qué lo necesita la página y cómo se controla. Compárese con «pagos», que no le dice nada a un revisor.

Cómo descubrir lo que realmente se ejecuta

1. Use un navegador real. Abra el flujo de pago y mire los paneles de red y de código fuente de las herramientas de desarrollo del navegador, o use un navegador automatizado que registre cada script que carga y ejecuta. Hágalo para cada paso del flujo, no solo para la página con el formulario de tarjeta.
2. Siga la cadena. Para cada script, anote lo que carga a su vez. Los gestores de etiquetas y los widgets suelen cargar varios más.
3. Capture los scripts en línea, que no tienen dirección: registre su contenido o un hash.
4. Cubra las variaciones. Revise el flujo como cliente con sesión iniciada, como invitado, con distintos países, dispositivos e idiomas, y con y sin el aviso de consentimiento aceptado, porque los scripts pueden diferir.
5. Use el modo solo informe para atrapar el resto. Una Política de Seguridad de Contenido en modo solo informe enumera los orígenes que una página usa realmente; vea Política de Seguridad de Contenido para páginas de pago.
6. Compare con sus fuentes de verdad: el repositorio de código, la lista de etiquetas del gestor de etiquetas y las listas de sus propios proveedores. Las diferencias son hallazgos.

Una comprobación manual única es un comienzo; el inventario solo sigue siendo cierto si el descubrimiento se repite automáticamente y se revisa cualquier diferencia. Vea cómo detectar la manipulación del lado del cliente.

Autorizar scripts y mantener veraz el inventario

• Designe al aprobador. Decida quién puede aprobar un script para una página de pago (normalmente alguien de seguridad o de ingeniería que conozca la necesidad del negocio) y registre su decisión con la fecha.
• Exija un motivo. Ninguna entrada sin una justificación escrita. Si nadie puede escribirla, el script probablemente no pertenece a la página.
• Vuelva a aprobar cuando cambie. Una versión nueva, un origen nuevo o una forma nueva de cargarse es un cambio y necesita una decisión nueva, porque la aprobación era para la cosa tal como era.
• Revise periódicamente. Elimine las entradas cuya finalidad haya terminado y confirme que los responsables siguen en su puesto.
• Trate de forma especial los gestores de etiquetas. Cada etiqueta cuenta como un script; vea riesgo de los gestores de etiquetas.

Qué suele pedir ver un evaluador

Las prácticas varían según el evaluador, así que pregunte al suyo. La evidencia que suele solicitarse incluye el inventario actual de cada página de pago, la justificación escrita y la aprobación de cada script, una descripción de cómo se asegura la integridad y la prueba de que funciona, evidencia de que el inventario coincide con lo que cargan las páginas (por ejemplo, una comparación reciente) y registros que muestren que los cambios se tratan entre revisiones. Una instantánea tomada para la auditoría es más débil que un historial que muestre el proceso funcionando durante todo el período.