Fintech · Pagos y tarjetas
Liderazgo DevOps para la infraestructura PCI DSS de una fintech de pagos
Una fintech europea que procesa pagos, tarjetas y cripto, con entre 20 y 50 personas y un núcleo regulado. Llevamos su DevOps a largo plazo: infraestructura como código, controles PCI DSS, conectividad de pagos y recuperación ante desastres.
La situación
Una fintech europea de pagos procesa pagos, tarjetas y cripto. Tiene entre 20 y 50 personas, un conjunto creciente de microservicios y una plataforma de procesamiento de tarjetas que está en alcance PCI DSS.
Una empresa así no responde solo ante sus propios ingenieros. Las marcas de tarjetas, los bancos con los que trabaja y los auditores hacen las mismas preguntas: quién tiene acceso a qué, qué cambió y cuándo, cómo se detectan y corrigen las vulnerabilidades y qué pasa si se pierde un centro de datos. La infraestructura tiene que dar esas respuestas como algo rutinario.
Nos encargamos de su liderazgo DevOps a largo plazo.
Qué hicimos
Infraestructura como código.
- Los entornos de AWS están descritos en Terraform y Terragrunt: los cambios se revisan en pull requests y los entornos se pueden reproducir.
- Los microservicios corren en EKS: KYC, control AML, monederos de clientes, el libro contable, exchange, facturación y conectores bancarios.
- ArgoCD despliega desde Git, Kyverno aplica las políticas del clúster y KEDA escala las cargas según la demanda.
- Una imagen base con Packer da a cada servidor el mismo punto de partida bastionado.
- Ansible configura la plataforma de procesamiento de tarjetas.
Seguridad y controles PCI DSS.
- Un SIEM con Wazuh recoge y correlaciona los eventos de seguridad.
- Gestión de dispositivos con FleetDM.
- Escaneo de vulnerabilidades programado con Greenbone. El escáner solo está activo durante los escaneos, los informes se archivan, las alertas llegan al chat del equipo y el CISO tiene un procedimiento escrito para tratar los hallazgos.
- Un WAF con un manual de remediación.
- Las políticas de acceso de la VPN mallada se cambian mediante pull requests, así que cada cambio de acceso queda revisado y registrado.
Conectividad de pagos.
- Un HSM conectado a AWS por un enlace privado (Direct Connect).
- Conectividad con las marcas de tarjetas para una suite externa de procesamiento de tarjetas.
- Un despliegue de cobro con el móvil (SoftPOS).
Bases de datos y recuperación ante desastres.
- Oracle Enterprise Edition con Data Guard, RMAN y TDE.
- Un diseño de recuperación ante desastres entre zonas de disponibilidad, con copias en otra región.
- El wallet de TDE se guarda lejos de los datos, así que una copia robada no se puede descifrar por sí sola.
Libro contable y núcleo. Dimos soporte a un libro contable financiero y a un middleware interno que sustituyó un producto de core bancario de un proveedor.
Resultado
La fintech opera su infraestructura regulada como código. Los cambios de acceso, las políticas del clúster y las imágenes de servidor pasan por revisión. El escaneo de vulnerabilidades, la monitorización de eventos y la gestión de dispositivos funcionan de forma programada y dejan rastro. El camino de procesamiento de tarjetas, las bases de datos y el plan de recuperación están documentados y se pueden repetir.
Cuando un auditor o un banco pregunta cómo se controla algo, la respuesta está en Git.
Nosotros implementamos y documentamos los controles técnicos. La certificación la hace un QSA.