Cumplimiento de PCI DSS a través de la segmentación de redes: un recorrido técnico completo

La norma PCI DSS es un estándar de seguridad que abarca no solo el nivel de control, sino también los aspectos arquitectónicos de la infraestructura. No hay muchas decisiones que afecten directamente al alcance del cumplimiento, y la segmentación de la red es una de ellas.

Cada nuevo sistema que se añade al alcance de PCI plantea nuevos retos, como un mayor número de controles que auditar, más registros que revisar y otros. Un servidor DNS olvidado puede hacer que la mitad de la red entre en el ámbito de aplicación.

En este caso, las pruebas de segmentación de red son extremadamente importantes, ya que actúan como un límite estratégico que marca dónde empieza y dónde termina el cumplimiento.

Definición de las pruebas de segmentación de red  

Las pruebas de segmentación de red pueden describirse como un proceso para verificar que todos los controles, como los cortafuegos, las listas de control de acceso (ACL) y las reglas nativas de la nube, estén aislados en el CDE (entorno de datos del titular de la tarjeta) del resto de la red. Este enfoque garantiza que no se produzcan comunicaciones no deseadas entre los sistemas del CDE y los que no pertenecen al CDE.

La importancia de las pruebas de segmentación de red

Minimizar activamente la superficie de auditoría de PCI

Con la ayuda de la segmentación de red, es posible redefinir el alcance de la auditoría PCI, y solo hay unas pocas opciones que pueden aplicarse a nivel arquitectónico. Este enfoque se basa en límites precisos alrededor del CDE, lo que permite minimizar directamente la superficie de auditoría.

Si se dispone de una implementación híbrida o a gran escala, este método también puede reducir la fricción operativa, el tiempo de cumplimiento normativo y los gastos generales de ingeniería. Esto puede ser un factor significativo para los entornos en los que el coste de los recursos y la complejidad de la auditoría son elevados.

Frenar a los atacantes

En las redes planas, los atacantes disponen de numerosas vías de acceso al sistema, mientras que las redes segmentadas son mucho más seguras.

En caso de que la validación de la segmentación forme parte actualmente de su estrategia de seguridad, los problemas ajenos al CDE no se convertirán en incidencias relacionadas con la normativa PCI. Esto puede considerarse una medida de contención previa a una brecha de seguridad. Para la mayoría de los proveedores de servicios de SDD (Seguridad de Datos de Tarjetas de Pago) de la normativa PCI, este es un factor crucial que puede demostrar la madurez de la estrategia de seguridad.

Privilegios mínimos a nivel de red

La segmentación puede caracterizarse como la última línea de defensa. Esto significa que, incluso cuando los roles están mal configurados, la segmentación garantiza que los sistemas solo puedan comunicarse entre sí cuando esté explícitamente permitido.

Con este enfoque, es posible aplicar el modelo «zero trust» en grupos de seguridad y VLAN, además de ofrecer la posibilidad de un registro de auditoría físico. La mayoría de las principales empresas de auditores cualificados de PCI (QSA) esperan este nivel de registros de auditoría.

Lista de comprobación para la segmentación de la red

Antes de iniciar cualquier proceso, comprueba que:

• Se hayan identificado los sistemas de muestra para la zona necesaria.
• Los límites del CDE estén bien documentados.
• Se disponga de herramientas de prueba preparadas y operativas.
•  Se hayan comprobado todas las reglas de segmentación y las ACL.
• Se hayan capturado y registrado los resultados de las pruebas.

Proceso paso a paso de las pruebas de segmentación de la red

Determinación de las zonas segmentadas y del CDE

El primer paso consiste en identificar las áreas donde se procesa toda la información de los titulares de tarjetas. Una vez hecho esto, es fundamental determinar el mapa de los sistemas adyacentes, como servidores, bases de datos, DNS o herramientas de soporte.

A continuación, se determina qué sistemas deben segmentarse para quedar fuera del ámbito de aplicación y cuáles deben estar dentro de él.

Determinación de los sistemas para las pruebas

El siguiente paso es la selección de los sistemas de prueba, tanto los que quedan fuera del ámbito de aplicación como los que están dentro de él. Esto puede referirse a las diferentes redes, la nube y los centros de datos, concretamente aquellos que se ocupan de la gestión del sistema y la autenticación.

Prueba de acceso bidireccional

Este proceso implica el uso de diferentes herramientas, como traceroute o nmap. Serán necesarias para comprobar si los sistemas del CDE pueden iniciar la interacción con los externos.

Una vez finalizada esa etapa, debe asegurarse de que la interacción entre el CDE y los sistemas externos se realice únicamente cuando sea necesario y en un entorno totalmente controlado.

Comprobación de los servicios de soporte

Hay numerosos servicios que deben comprobarse una vez finalizadas las pruebas de acceso. Esto se refiere a syslog, DNS, Active Directory, NTP, servidores de copia de seguridad y otros que puedan unir zonas segmentadas. Deben comprobar que no se introduzcan rutas indirectas a través de ellos.

Documentación completa de los resultados

El proceso de documentación de todos los resultados es tan importante como los demás pasos mencionados anteriormente. Intenta guardar todos los detalles e incluso las capturas de pantalla que sean necesarias. Esto simplificará muchas tareas a los equipos de seguridad y cumplimiento normativo.

Registra todos los detalles relativos a las zonas, los nombres de host, las direcciones IP y las reglas de segmentación. A continuación, organiza toda la información en un formato estructurado. Además, la documentación debe vincularse al inventario del CDE.

Escenarios de prueba estándar

Ahora, pasemos a algunas de las estrategias de segmentación más utilizadas.

Solo VLAN

Para el cumplimiento de la norma PCI DSS, el uso exclusivo de la segmentación por VLAN ya no es suficiente. Solo debe utilizarse si se complementa con un cortafuegos, listas de control de acceso (ACL) u otros niveles de control adicionales. Por lo general, este tipo de segmentación presenta una configuración que carece de documentación o de control del tráfico, por lo que el sistema queda incluido en el ámbito de aplicación de la norma PCI.

Entornos en la nube

Azure, AWS y otras plataformas en la nube suelen utilizar listas de control de acceso de red (ACL), grupos de seguridad y grupos de seguridad de red (NSG). Este enfoque ofrece mayor flexibilidad y un alto grado de dinamismo, pero tiende a desviarse. Las tareas habituales, como el autoescalado y los cambios en las reglas, pueden afectar negativamente a todo el sistema y romper el aislamiento. Por eso se recomienda encarecidamente realizar una validación periódica de las reglas de salida y entrada.

Entorno híbrido

Cuando se combinan varios enfoques, los enlaces privados y los túneles VPN pueden afectar negativamente a la zona aislada. Por eso es necesario planificar una mejor aplicación de la segmentación en los extremos de los túneles. Este tipo de entorno requiere prestar más atención a las políticas de enrutamiento y a los flujos de tráfico.

¿Cómo seleccionar un socio adecuado para la validación de la segmentación?

Dado que el requisito 11.4.5 hace que la segmentación sea más importante que nunca, debe comprender claramente cómo elegir al socio adecuado. A continuación se indican algunos criterios importantes a los que hay que prestar atención:

Experiencia real en PCI DSS, no solo pruebas de seguridad aleatorias

El proveedor elegido debe conocer a fondo la norma PCI DSS v4.0, especialmente en lo que respecta a la defendibilidad ante auditorías, la reducción del alcance y la interpretación del requisito 11.4.5. Otro gran punto a favor será que el proveedor elegido también colabore en las auditorías.

Enfoque híbrido de las pruebas

Los problemas relacionados con la segmentación rara vez se detectan con las estrategias básicas de pruebas. Los problemas suelen detectarse en los fallbacks del DNS, las rutas de confianza implícitas y las reglas de firewall heredadas.

Una buena opción será un proveedor que utilice tanto la validación manual como las herramientas automatizadas. Las pruebas deben realizarse sobre los flujos de tráfico reales, lo que proporcionará una comprensión más profunda que el mero uso del escáner de cumplimiento de PCI.

Familiaridad con su infraestructura

El socio elegido debe tener experiencia práctica con su infraestructura, ya sea VLAN, en la nube o híbrida. Esto significa que dichos expertos comprenderán mejor qué áreas específicas deben someterse a pruebas más exhaustivas.

Disponibilidad de documentación adecuada

A la hora de buscar un proveedor, debe esperar que se realicen pruebas más exhaustivas y que se disponga de documentación estructurada que mencione todos los aspectos necesarios.

Deberías tener acceso a los resultados de los comandos, las definiciones de zonas, capturas de pantalla, la justificación de riesgos y mucho más.

Requisitos de segmentación de red de la norma PCI DSS

¿Por qué es necesaria la segmentación?

La segmentación no es un requisito obligatorio de la norma PCI DSS. Por eso debes comprender claramente por qué necesitas la segmentación. Este enfoque te permite entender mejor qué es lo que realmente debe auditarse, de modo que puedas centrarte más en aspectos específicos en lugar de en todo a la vez.

El requisito 11.4.5 introduce la segmentación

Con la versión 4.0 apareció un nuevo requisito, el 11.4.5. En él se establece que la segmentación debe verificarse al menos una vez cada seis meses. La validación no es solo una variante opcional, sino una exigencia.

La división lógica no es suficiente

El CDE no solo debe estar aislado conceptualmente, sino también técnicamente. Esto puede lograrse mediante diversas opciones, como cortafuegos, controles nativos de la nube (como Azure), VLAN o ACL. Debe haber pruebas reales del aislamiento, no solo planes e intenciones.

Excluir la interacción entre el CDE y los entornos no CDE

La situación más arriesgada es aquella en la que, a través de tu sistema, es posible acceder a áreas de las que no tienes conocimiento alguno. La principal prioridad es asegurarse de que no existan rutas no deseadas entre entornos no CDE y CDE. Esto puede estar relacionado con los servicios compartidos, como las redes de gestión, NTP y otros.  

Pruebas tras cada cambio

Las pruebas no deben realizarse solo dos veces al año, sino cada vez que se produzca un cambio en el entorno. Esto puede estar relacionado con la reestructuración de los recursos en la nube, las actualizaciones del cortafuegos, las zonas desactivadas y otros aspectos.

Métodos de validación para auditorías de segmentación

• Escaneos de puertos: herramientas como nmap deben identificar aquellas partes en las que se deniega la comunicación entre los sistemas. Los registros de escaneo o las capturas de pantalla deben especificar claramente los protocolos y los puertos bloqueados.
• Diagramas de red: deben especificar el enrutamiento real con las zonas segmentadas, las rutas de comunicación y los límites.
• Registros de acceso: deben incluir registros del sistema que especifiquen los accesos denegados. Esta información es necesaria para la validación de los controles de tráfico en tiempo real.
• Trazabilidad según PCI DSS 11.4.5: todo el proceso de documentación y las pruebas deben corresponderse con el requisito 11.4.5. Esto es necesario para que las auditorías puedan rastrear fácilmente las pruebas y comprender su relevancia.  

Observaciones finales

La segmentación de la red es uno de esos enfoques estratégicos que resulta beneficioso tanto para la seguridad como para la reducción del alcance de la auditoría. Cuando todo se planifique e implemente correctamente, se lograrán límites claros en torno a los sistemas más vulnerables.

La validación de la segmentación debe aceptarse como un cambio para reforzar el control, más que como una mera obligación.