Retail: segmentar la red de tienda entre pagos e IoT

Redes · 4 min

Sector de actividad: Retail y distribución

Terminales de pago, etiquetas electrónicas, cámaras y Wi-Fi de clientes coexisten en las redes de las tiendas. Descubra cómo separar zonas, controlar accesos y validar el aislamiento.

Retail: segmentar la red de tienda entre pagos e IoT

TL;DR

Una red de tienda sin un aislamiento adecuado puede permitir que equipos menos protegidos creen vías de acceso a los sistemas de pago.
PCI DSS no exige segmentación en todos los casos, pero un aislamiento eficaz puede reducir el alcance de la evaluación.
La segmentación debe tener en cuenta funciones, niveles de confianza y flujos de comunicación autorizados, con bloqueo por defecto entre zonas.
Los modelos de red por tipología de tienda y las políticas centralizadas facilitan la aplicación coherente de los controles.
El aislamiento debe validarse periódicamente y tras cualquier cambio en los mecanismos de segmentación.

La tienda se ha convertido en una red con muchos inquilinos

En el retail y la distribución, una tienda puede integrar en la misma infraestructura de comunicaciones cajas y terminales de pago, básculas, etiquetas electrónicas de estantería, cámaras de videovigilancia, sistemas de frío y climatización, Wi-Fi para clientes y equipos gestionados de forma remota por proveedores. En muchas cadenas, esta diversidad es el resultado de sucesivas implantaciones, reformas e integraciones tecnológicas. El reto para los equipos de TI y de cumplimiento es organizar la red de modo que se impida que un equipo vulnerable, o el acceso indebido de un técnico externo, abra una vía hacia los sistemas de pago. Al mismo tiempo, la arquitectura debe seguir siendo operativamente viable para decenas o cientos de tiendas, con necesidades y equipos diferentes.

En PCI DSS, la segmentación define el perímetro de la evaluación

PCI DSS es un estándar de seguridad de la industria de tarjetas de pago, cuya aplicación se deriva de las reglas de las entidades participantes en el ecosistema de pagos y de los respectivos acuerdos. La forma de validación depende, entre otros factores, del modelo de aceptación de pagos y de los criterios aplicables a la organización, que deben confirmarse con el adquirente o con el evaluador competente. La segmentación de red no es obligatoria en todos los escenarios, pero puede reducir el alcance de la evaluación cuando aísla eficazmente el entorno de datos de titulares de tarjetas (CDE) del resto de los sistemas. Sin embargo, es importante considerar también los sistemas conectados al CDE o capaces de influir en su seguridad. Crear VLAN separadas no es suficiente: se necesitan controles efectivos de los flujos de comunicación y la validación del aislamiento implantado.

Zonas diseñadas por función y por nivel de confianza

Un enfoque recomendado consiste en agrupar los equipos según su función, criticidad y nivel de confianza, en lugar de considerar únicamente el tipo de conexión. Los puntos de venta y los sistemas asociados al procesamiento de pagos pueden integrar una zona específica; los equipos de operación de tienda, como básculas y etiquetas electrónicas, otra; los sistemas del edificio, como climatización y energía, una tercera; y la videovigilancia, una zona propia. El Wi-Fi de clientes debe tener acceso restringido a los servicios necesarios, normalmente Internet. Entre zonas, la regla de base debe ser bloquear las comunicaciones por defecto y autorizar únicamente los flujos necesarios, debidamente documentados y justificados. En un proyecto de redes LAN y SD-WAN, este diseño debe definirse antes de la selección de los equipos y validarse en función de las necesidades de cada tienda.

Un modelo replicable en todas las tiendas

La segmentación resulta más fácil de gestionar a escala cuando existe un modelo de referencia por tipología de tienda, ya sea hipermercado, tienda de proximidad o almacén, con direccionamiento coherente, zonas de seguridad definidas y políticas gestionadas de forma centralizada. Cuando la conexión entre tiendas y sede utiliza una arquitectura como la descrita en SD-WAN y SASE como alternativa al MPLS, los controles deben mantenerse coherentes también en las comunicaciones con los servicios centrales y la cloud. Los equipos desconocidos pueden someterse a una política de acceso restringido, recurriendo a mecanismos de control de acceso a la red (NAC), como 802.1X, cuando sean compatibles. Para los dispositivos que no lo soportan, pueden ser necesarias medidas complementarias, debidamente evaluadas. El acceso remoto de proveedores debe ser autorizado, limitado a las necesidades de la intervención, autenticado y registrado, evitando conexiones permanentes no controladas a la red de la tienda.

Demostrar que la separación sigue funcionando

Un diagrama documenta el aislamiento previsto; las pruebas demuestran si los controles funcionan en la práctica. En PCI DSS v4.0.1, cuando se utiliza la segmentación para aislar el CDE y reducir el alcance de la evaluación, el requisito 11.4.5 prevé pruebas de penetración a los controles de segmentación al menos una vez cada 12 meses y tras cambios en dichos controles o métodos. Para los proveedores de servicios sujetos al requisito 11.4.6, la periodicidad mínima es de seis meses, además de las pruebas tras cambios. En el retail, las aperturas de tiendas, las reformas, los nuevos quioscos y las sustituciones de equipos pueden introducir conexiones no previstas. Integrar verificaciones en la apertura de tiendas, comparar configuraciones con el modelo de referencia y revisar periódicamente las reglas entre zonas ayuda a identificar desviaciones. Persisten limitaciones, como equipos antiguos que dependen de comunicaciones abiertas o proveedores que exigen accesos permanentes. Estas situaciones deben evaluarse individualmente y tratarse con medidas de mitigación adecuadas, sin presumir que los controles alternativos eximen automáticamente de los requisitos aplicables.

Una decisión de arquitectura más que de cumplimiento

Segmentar la red de una tienda puede reducir el alcance de la evaluación PCI DSS y limitar la propagación de determinados incidentes de seguridad, siempre que los controles sean eficaces y estén debidamente validados. El resultado depende de la arquitectura de pagos, de los equipos existentes, de las dependencias entre sistemas y de la disciplina con la que se apliquen las políticas en cada ubicación. Tratar la segmentación como una arquitectura de referencia, sujeta a mantenimiento, monitorización y pruebas, es más sostenible que abordarla como un proyecto puntual. De este modo, la red puede evolucionar con nuevas tiendas, dispositivos y servicios sin perder el control sobre las comunicaciones y los riesgos asociados.