PCI DSS y seguridad de pagos
Tu QSA hace las preguntas. Nosotros construimos los controles que las responden: segmentación, logs, escaneo de vulnerabilidades, hardening, control de cambios y protección de la página de pago.
Implantamos y documentamos los controles técnicos de PCI DSS 4.0.1 para empresas de pagos, fintechs y comercios que tratan datos de tarjeta o alojan páginas de pago. No somos QSA ni certificamos: hacemos que tu evaluación vaya bien. Los proyectos parten de 4.500 € y suelen llevar 2–4 semanas.
Leemos tu última evaluación o SAQ, mapeamos los flujos de datos de tarjeta y listamos las carencias técnicas.
Un plan de alcance cerrado y por prioridades, acordado contigo y, si quieres, con tu QSA.
Controles construidos como código mediante pull requests: segmentación, logs, escaneos, hardening y control de scripts.
Capturas, configuraciones, informes y procedimientos reunidos por requisito, y una sesión de repaso con tu equipo.
La mayoría de las empresas ya tienen las políticas. Lo que les falta es evidencia técnica de que los controles funcionan: logs que de verdad se recogen y se revisan, escaneos que se ejecutan según calendario con resultados archivados, una segmentación que existe en el firewall y no solo en un diagrama. Eso es trabajo de ingeniería, y es lo que hacemos.
Desde el 31 de marzo de 2025, los requisitos 6.4.3 y 11.6.1 se aplican a cualquier página que recoja datos de tarjeta o cargue un formulario de pago. Un checkout típico carga analítica, chats, tests A/B y gestores de etiquetas. Cualquiera de ellos puede modificarse para robar números de tarjeta. Te ayudamos a:
Los controles se construyen como código: Terraform para los límites de red, Ansible o una golden image de Packer para el hardening, y pull requests de Git para cada cambio. Así la evidencia sale sola: el historial del repositorio muestra quién cambió qué, cuándo y quién lo aprobó.
No realizamos la evaluación, no firmamos un Report on Compliance ni emitimos una Attestation of Compliance. Trabajamos junto a tu QSA, no en su lugar.
Una fintech europea que procesa pagos, tarjetas y cripto, con entre 20 y 50 personas y un núcleo regulado. Llevamos su DevOps a largo plazo: infraestructura como código, controles PCI DSS, conectividad de pagos y recuperación ante desastres.
Podemos construir y documentar los controles técnicos, que son la mayor parte del trabajo de ingeniería. El cumplimiento lo confirma tu QSA (o tu cuestionario de autoevaluación). No somos QSA y no emitimos certificados.
6.4.3: debes mantener un inventario de todos los scripts que se ejecutan en la página de pago, con el motivo de cada uno, y confirmar que están autorizados y no se han modificado. 11.6.1: debes detectar cambios no autorizados en la página y en sus cabeceras de seguridad. Ambos son obligatorios desde el 31 de marzo de 2025. Montamos el inventario, el proceso de aprobación y la detección de cambios.
Desde 4.500 € sin IVA para un conjunto acotado de controles. Un entorno más grande, con muchos sistemas en el alcance, cuesta más, y el presupuesto cerrado explica exactamente por qué.
Normalmente 2–4 semanas para los controles técnicos. Si la fecha de tu evaluación ya está fijada, dínoslo en la primera llamada y planificamos hacia atrás desde ella.
Sí. Nuestros ingenieros dirigieron el DevOps de una fintech europea de pagos y procesamiento de tarjetas: Terraform en AWS y EKS, un SIEM con Wazuh, escaneo de vulnerabilidades programado, WAF, conexión con HSM por enlace privado y conectividad con los esquemas de tarjetas. Mira el caso.
No. Trabajamos con tu hosting actual: AWS, otras nubes, servidores dedicados o una mezcla. Lo que importa son los controles, no el proveedor.
Mándanos tus últimos hallazgos o una breve descripción de tu entorno. Te diremos qué arreglaríamos primero y cuánto costaría.