Las necesarias hacen funcionar el sitio. Las demás miden qué páginas ayudan y qué anuncios traen a quien necesita a DM11. Tú eliges, y puedes revisarlo desde el pie de página.
Gobernanza y cumplimiento
Primero reducimos el alcance. Después protegemos lo que quedó.
La mayor ganancia en PCI DSS rara vez es un control nuevo: es sacar sistemas del alcance. Antes de proteger cualquier cosa, mapeamos por dónde pasa el dato de tarjeta, con diagrama de red, y reducimos el territorio que la norma alcanza. Cada sistema que sale del alcance es un control que no necesitas implementar ni evidenciar todos los años.
Con el alcance reducido, cerramos las brechas de lo que quedó y organizamos el expediente de evidencia. No necesitas saber de antemano qué autoevaluación aplica a tu caso: la identificamos por tu flujo de pago. También entregamos la matriz de responsabilidad entre tú, tus clientes y tus proveedores, porque en tarjetas casi ninguna exigencia es de una sola empresa.
De tu parte, el proyecto pide acceso a quien conoce la arquitectura, a los diagramas y contratos existentes y al flujo real de pago. Tú eliges hasta dónde llegamos: solo el diagnóstico con plan de acción, la adecuación completa o el acompañamiento hasta el final, con ensayo antes de la validación formal. Quien emite el certificado o el informe formal de conformidad es siempre el QSA, contratado por ti.
Las etapas y los entregables de abajo describen la modalidad Adecuación completa. Las demás modalidades aparecen cuando pides la propuesta.
Definición de alcance
Cerramos por escrito qué entra y qué queda afuera, y por qué. Un alcance mal definido es la causa más común de un proyecto que revienta el plazo.
Reducción de alcance
Antes de proteger, sacamos del alcance todo lo que no necesita estar ahí. Es donde vive el mayor ahorro, y casi nadie lo hace primero.
Diagnóstico de brechas
Comparamos lo que existe hoy con lo que exige la referencia, punto por punto, y clasificamos cada brecha por riesgo y por esfuerzo de corrección. El resultado sale en orden de ataque: qué hacer primero y por qué, en lugar de un inventario de todo lo que está mal.
Implantación
Ponemos los controles en pie junto con tu equipo, escribimos lo que debe existir en papel y formamos a quien va a operarlos. Nada se da por implantado sin estar funcionando en la práctica y sin alguien de tu lado capaz de sostenerlo.
Rutina de evidencias
Armamos cómo cada control prueba que funcionó, con responsable y frecuencia, para que la auditoría no se vuelva una carrera.
Suele venir junto
No es paquete y no cambia lo que ya elegiste. Es lo que suele aparecer justo después, en la experiencia de quien ya pasó por esto.