Proveedores de servicio elegibles para el SAQ - Para su uso con la Versión 3.2 de las PCI DSS - Abril de 2016

Aug 30, 2026

Subido por Rizky

El documento define el SAQ D para proveedores de servicios elegibles según una marca de pago y describe cómo realizar la autoevaluación del cumplimiento con las PCI DSS versión 3.2. Incluye el proceso para confirmar la delimitación del alcance, evaluar el entorno frente a los requisitos y completar las secciones correspondientes del cuestionario. Ofrece además orientación para identificar requisitos no aplicables, y explica diferencias entre “No corresponde” y “No probado”, junto con estructura de validación y atestación, controles y anexos de apoyo.

IdiomaSpanish

CategoríaFormularios

FormatoDOCX

Páginas115

Tiempo de lectura40 min

AccesoGratis para descargar

Tabla de contenidos

Pasos para la realización de la autoevaluación de las PCI DSS

Antes de comenzar

Comprensión del cuestionario de autoevaluación

Pruebas esperadas

Respuestas del cuestionario de autoevaluación

Guía para la no aplicabilidad de ciertos requisitos específicos

Comprensión de la diferencia entre No corresponde y No probado

Excepción legal

Sección 1: Información sobre la evaluación

Sección 2: Cuestionario de autoevaluación D para proveedores de servicios

Desarrolle y mantenga redes y sistemas seguros

Proteger los datos del titular de la tarjeta

Cifrar la transmisión de los datos del titular de la tarjeta

Mantener un programa de administración de vulnerabilidad

Proteger sistemas y aplicaciones seguros

Implementar medidas sólidas de control de acceso

Restringir y autenticar el acceso

Restringir el acceso físico

Supervisar y evaluar las redes

Probar periódicamente los sistemas y procesos de seguridad

Mantener una política de seguridad de información

Mantener una política que aborde la seguridad de la información para todo el personal

Anexo A: Requisitos adicionales de las PCI DSS

Anexo B: Hoja de trabajo de controles de compensación

Anexo C: Explicaciones de no aplicabilidad

Anexo D: Explicación de los requisitos No probados

Sección 3: Detalles de la validación y la atestación

Industria de Tarjetas de Pago (PCI)Norma de seguridad de datosCuestionario de autoevaluación D y Atestación de cumplimiento paraProveedores de servicios Proveedores de servicio elegibles para el SAQ Para su uso con la Versión 3.2 de las PCI DSS Abril de 2016 Modificaciones realizadas a los documentos Índice TOC \o "2-3" \h \z \u \t "Heading rule,1" HYPERLINK \l "_Toc453154574" Modificaciones realizadas a los documentos PAGEREF _Toc453154574 \h ii HYPERLINK \l "_Toc453154575" Antes de comenzar PAGEREF _Toc453154575 \h v HYPERLINK \l "_Toc453154576" Pasos para la realización de la autoevaluación de las PCI DSS PAGEREF _Toc453154576 \h v HYPERLINK \l "_Toc453154577" Comprensión del cuestionario de autoevaluación PAGEREF _Toc453154577 \h v HYPERLINK \l "_Toc453154578" Pruebas esperadas PAGEREF _Toc453154578 \h vi HYPERLINK \l "_Toc453154579" Respuestas del cuestionario de autoevaluación PAGEREF _Toc453154579 \h vi HYPERLINK \l "_Toc453154580" Guía para la no aplicabilidad de ciertos requisitos específicos PAGEREF _Toc453154580 \h vii HYPERLINK \l "_Toc453154581" Comprensión de la diferencia entre No corresponde y No probado PAGEREF _Toc453154581 \h vii HYPERLINK \l "_Toc453154582" Excepción legal PAGEREF _Toc453154582 \h viii HYPERLINK \l "_Toc453154583" Sección 1: Información sobre la evaluación PAGEREF _Toc453154583 \h 1 HYPERLINK \l "_Toc453154584" Sección 2: Cuestionario de autoevaluación D paraproveedores de servicios PAGEREF _Toc453154584 \h 7 HYPERLINK \l "_Toc453154585" Desarrolle y mantenga redes y sistemas seguros PAGEREF _Toc453154585 \h 7 HYPERLINK \l "_Toc453154586" Requisito 1: Instalar y mantener una configuración de firewall para proteger los datos PAGEREF _Toc453154586 \h 7 HYPERLINK \l "_Toc453154587" Requisito 2: No utilizar contraseñas de sistemas y otros parámetros de seguridad provistos por los proveedores PAGEREF _Toc453154587 \h 13 HYPERLINK \l "_Toc453154588" Proteger los datos del titular de la tarjeta PAGEREF _Toc453154588 \h 21 HYPERLINK \l "_Toc453154589" Requisito 3: Proteger los datos almacenados del titular de la tarjeta PAGEREF _Toc453154589 \h 21 HYPERLINK \l "_Toc453154590" Requisito 4: Cifrar la transmisión de los datos del titular de la tarjeta en las redes públicas abiertas PAGEREF _Toc453154590 \h 31 HYPERLINK \l "_Toc453154591" Mantener un programa de administración de vulnerabilidad PAGEREF _Toc453154591 \h 33 HYPERLINK \l "_Toc453154592" Requisito 5: Proteger todos los sistemas de malware y actualizar los programas o software antivirus regularmente PAGEREF _Toc453154592 \h 33 HYPERLINK \l "_Toc453154593" Requisito 6: Desarrolle y mantenga sistemas y aplicaciones seguros PAGEREF _Toc453154593 \h 35 HYPERLINK \l "_Toc453154594" Implementar medidas sólidas de control de acceso PAGEREF _Toc453154594 \h 46 HYPERLINK \l "_Toc453154595" Requisito 7: Restringir el acceso a los datos del titular de la tarjeta según la necesidad de saber que tenga la empresa. PAGEREF _Toc453154595 \h 46 HYPERLINK \l "_Toc453154596" Requisito 8: Identifique y autentique el acceso a los componentes del sistema. PAGEREF _Toc453154596 \h 49 HYPERLINK \l "_Toc453154597" Requisito 9: Restringir el acceso físico a los datos del titular de la tarjeta PAGEREF _Toc453154597 \h 58 HYPERLINK \l "_Toc453154598" Supervisar y evaluar las redes con regularidad PAGEREF _Toc453154598 \h 68 HYPERLINK \l "_Toc453154599" Requisito 10: Rastree y supervise todos los accesos a los recursos de red y a los datos de los titulares de las tarjetas PAGEREF _Toc453154599 \h 68 HYPERLINK \l "_Toc453154600" Requisito 11: Probar periódicamente los sistemas y procesos de seguridad PAGEREF _Toc453154600 \h 78 HYPERLINK \l "_Toc453154601" Mantener una política de seguridad de información PAGEREF _Toc453154601 \h 87 HYP

Preguntas frecuentes

A quién se aplica el SAQ D para proveedores de servicios?

Se aplica a todos los proveedores de servicios definidos por una marca de pago como elegibles para el SAQ.

Cuáles son los pasos principales para realizar la autoevaluación PCI DSS en este documento?

Primero se confirma la delimitación del alcance apropiada, luego se evalúa el entorno respecto del cumplimiento con los requisitos y se completan todas las secciones que correspondan.

Cómo se maneja la no aplicabilidad de ciertos requisitos en el SAQ D?

El documento indica que, según modelos de negocio específicos, algunos requisitos pueden no ser aplicables y remite a la directriz para excluir requisitos específicos. También aclara la diferencia entre “No corresponde” y “No probado”.

Aug 30, 2026

Subido por Rizky