- SAQ A:
- Clarificaciones generales y resolución de erratas.
- Inclusión del campo “Before You Begin” en los requerimientos 2 y 8, para clarificar el porqué de su inclusión en el SAQ.
- SAQ A-EP:
- Clarificaciones generales y resolución de erratas.
- SAQ B:
- Actualización de la numeración de versión para alinearla con los otros documentos SAQ.
- SAQ B-IP:
- Clarificaciones generales y resolución de erratas.
- Inclusión del campo “Before You Begin”, para aclarar que los comercios que utilicen terminales SCR (Secure Card Reader) no quedan bajo el ámbito de aplicación de dicho SAQ.
- Inclusión del requerimiento 8.3.1, añadiendo la necesidad del uso de autenticación multi-factor (MFA) para todo acceso al CDE que no se realice por consola física.
- Inclusión del requerimiento 11.3.4, añadiendo la necesidad de realización de tests de intrusión para verificar la segmentación del entorno, siempre que el comercio haga uso de dicha segmentación.
- SAQ C:
- Clarificaciones generales y resolución de erratas.
- Inclusión del campo “Before You Begin”, para clarificar los sistemas permitidos bajo el alcance de dicho SAQ.
- Resolución de erratas en los checkbox en los requerimientos 8.1.6 y 11.3.4.
- SAQ C-VT:
- Clarificaciones generales y resolución de erratas.
- Inclusión del campo “Before You Begin”, para clarificar los sistemas permitidos bajo el alcance de dicho SAQ.
- Inclusión del requerimiento 8.3.1, añadiendo la necesidad del uso de autenticación multi-factor (MFA) para todo acceso al CDE que no se realice por consola física.
- Inclusión del requerimiento 11.3.4, añadiendo la necesidad de realización de pruebas de intrusión para verificar la segmentación del entorno, siempre que el comercio haga uso de dicha segmentación.
- SAQ P2PE:
- Actualización de la tabla de cambios del documento.
- SAQ D Merchant:
- Actualización de la numeración de versión para alinearla con los otros documentos SAQ.
- SAQ D Service Provider:
- Actualización de la numeración de versión para alinearla con los otros documentos SAQ.
Hay que observar que los cambios más destacables se producen en los SAQ B-IP y SAP C-VT, con la inclusión de los requerimientos 8.3.1 y 11.3.4, cosa que llevará a los comercios bajo el alcance de dichos documentos a la inclusión de cambios significativos en sus entornos de cumplimiento.
En Internet Security Auditors contamos con un equipo de expertos en las normativas del PCI SSC altamente cualificado, a la disposición de los comercios afectados para ayudarles en todas las tareas relacionadas con la adecuación a los nuevos documentos SAQ.
Referencias
https://www.pcisecuritystandards.org/document_library?category=saqs
Autor: Guillem Fàbregas - PCI QSA, PCIP, CISSP, CISA, CISM, CRISC, ISO 27001 L.A.
Departamento de Consultoría.