PCI DSS 11.6.1: la evidencia que debe preparar para su evaluador

Las seis cosas que debe tener listas

Cada parte del requisito 11.6.1 sugiere una pieza de evidencia. El evaluador decide qué es suficiente para su entorno, así que tómelo como una forma de organizar su evidencia y confirme los detalles con su evaluador.

1. Una descripción del mecanismo. Qué es, dónde se ejecuta (dentro de la página, fuera de su red, en un proxy) y quién es su responsable.
2. La lista de páginas de pago que cubre. Todas las páginas incluidas en el alcance, también los pasos de pago detrás de un inicio de sesión y las páginas que incorporan el formulario de pago de un proveedor, y quién mantiene la lista al día.
3. La prueba de lo que evalúa. El requisito se refiere a las cabeceras HTTP y al contenido de las páginas de pago tal como las recibe el navegador del consumidor; demuestre que el mecanismo mira lo que recibe un navegador y no solo su código fuente o su servidor.
4. Un historial fechado de ejecuciones. Los resultados de cada ejecución, con fechas, que cubra todo el período que examina la evaluación.
5. Un registro de las alertas y de lo que ocurrió después. Quién recibe el aviso, cómo se clasifican las alertas y la decisión tomada ante cada cambio (autorizado o no, y por qué).
6. El análisis de riesgos específico, si no lo ejecuta semanalmente. El requisito admite una frecuencia distinta de cada siete días solo si procede de un análisis de riesgos específico realizado conforme al requisito 12.3.1.

La evidencia para cada parte del requisito

Preguntas que hacerse antes de la evaluación

Son los puntos donde la evidencia suele quedarse corta, como lista práctica y no como afirmación sobre ningún evaluador:

• ¿Conserva los resultados o solo ejecuta la comprobación? Un mecanismo sin historial guardado de ejecuciones es difícil de demostrar después.
• ¿Está realmente cubierto el paso de pago? Si el formulario de pago está detrás de un inicio de sesión o aparece a mitad del flujo, una comprobación solo de las páginas públicas puede no evaluar la página que importa.
• ¿Está cada alerta asignada a una persona? El requisito trata de avisar al personal, así que alguien debe estar designado, localizable y poder decir qué hizo.
• ¿Está al día la lista de páginas? Los nuevos pasos de pago y las nuevas páginas de pago deben añadirse cuando aparezcan.
• ¿Cambió la frecuencia? Si dejó de ser semanal, ¿está el análisis de riesgos específico por escrito y revisado?
• ¿Puede mostrar el tratamiento de un cambio no autorizado? Un ejemplo registrado, de una prueba si no ha habido ningún cambio real, demuestra que el proceso funciona.

El requisito 11.6.1 es obligatorio desde el 31 de marzo de 2025. Conserve la evidencia durante todo el período de la evaluación, en un formato que pueda exportar y fechar.

Mantener la evidencia lista para auditoría

Decida dónde vive la prueba antes de que empiece la evaluación. Una sola carpeta o sistema que reúna la descripción, la lista de páginas, el historial de ejecuciones, las alertas y las decisiones evita prisas después. Feche todo, conserve quién tomó cada decisión y revise la lista de páginas y los destinatarios de las alertas con una periodicidad (por ejemplo, cada trimestre y tras cualquier cambio en el proceso de pago).

La lista de verificación de seguridad del lado del cliente de PCI DSS sitúa juntos el 6.4.3 y el 11.6.1, y cómo detectar la manipulación del lado del cliente explica qué buscan las comprobaciones.