¿Qué parte de PCI DSS v4.0.1 cubre realmente ISO 27001?
ISO 27001 y PCI DSS cubren muchos de los mismos temas, pero un SGSI deja sin cumplir la mayoría de los requisitos de PCI. El motivo no es la falta de temas, sino la falta de detalle.
Las organizaciones que aceptan pagos con tarjeta y ya operan un SGSI conforme a ISO 27001 suelen esperar que PCI DSS sea una pequeña ampliación. Las cifras dicen otra cosa. Aquí se muestra cómo se alinea ISO 27001 con todo PCI DSS v4.0.1, requisito a requisito, y por qué la brecha es mayor de lo que sugiere el solapamiento de temas.
La cifra principal
De los 260 requisitos de PCI DSS, 77 (30%) se corresponden con algo en ISO 27001, 76 solo guardan una relación tangencial y 107 no tienen correspondencia en nuestros datos. Abrir el informe de brechas →
Menos de un tercio de los requisitos de PCI DSS se correlaciona con algo en ISO 27001, y un número similar guarda solo una relación tangencial. Casi todos los temas de PCI aparecen en algún punto del Anexo A, así que esto no es una brecha de temas. Es una brecha de detalle.
Dónde está el solapamiento
| sección de PCI DSS | Correspondencia | Sin correspondencia | |
|---|---|---|---|
| Requirement 1: Install and maintain network security controls | 4 de 19 | 3 | 12 |
| Requirement 2: Apply secure configurations to all system components | 2 de 11 | 3 | 6 |
| Requirement 3: Protect stored account data | 8 de 29 | 7 | 14 |
| Requirement 4: Protect cardholder data with strong cryptography during transmission | 2 de 6 | 2 | 2 |
| Requirement 5: Protect all systems and networks from malicious software | 4 de 13 | 5 | 4 |
| Requirement 6: Develop and maintain secure systems and software | 10 de 19 | 3 | 6 |
| Requirement 7: Restrict access to system components and cardholder data by business need to know | 3 de 12 | 3 | 6 |
| Requirement 8: Identify users and authenticate access to system components | 6 de 29 | 15 | 8 |
| Requirement 9: Restrict physical access to cardholder data | 8 de 27 | 9 | 10 |
| Requirement 10: Log and monitor all access to system components and cardholder data | 6 de 27 | 10 | 11 |
| Requirement 11: Test security of systems and networks regularly | 3 de 21 | 6 | 12 |
| Requirement 12: Support information security with organizational policies and programs | 21 de 37 | 10 | 6 |
| Appendix A: additional requirements | 0 de 10 | 0 | 10 |
Tiene ISO 27001, necesita PCI DSS. Requisito por requisito: abrir el informe de brechas →
El solapamiento se concentra en las partes de PCI DSS que se parecen a cualquier norma de seguridad: políticas y roles al inicio de cada requisito, riesgo y gobernanza en el Requisito 12, principios de control de acceso en el Requisito 7 y respuesta a incidentes. El sistema de gestión de ISO 27001 y su Anexo A cubren bien esos aspectos.
Por qué la mayor parte de PCI DSS es trabajo nuevo
PCI DSS es prescriptiva, mientras que ISO 27001 es basada en riesgos. El Anexo A dice «gestionar las vulnerabilidades técnicas»; PCI DSS dice cómo, con qué frecuencia y con qué escáner. Las filas sin correspondencia están dominadas por requisitos como estos:
- Tratamiento de datos de titulares de tarjeta (Requisito 3): qué datos no se pueden almacenar nunca después de la autorización, el enmascaramiento del PAN al mostrarlo, su ilegibilidad en cualquier lugar donde se almacene y procedimientos detallados de gestión de claves.
- Frecuencias específicas: escaneos internos de vulnerabilidades cada tres meses y tras cambios significativos, escaneos externos realizados por un Proveedor Aprobado de Escaneo, revisiones de registros y revisiones de accesos cada seis meses.
- Configuraciones técnicas específicas: MFA para todo acceso al entorno de datos de titulares de tarjeta, tiempos de espera de sesión, longitudes de contraseña y umbrales de bloqueo.
- Controles específicos del pago: gestión de scripts en las páginas de pago y detección de manipulaciones, e inspección de los dispositivos lectores de tarjetas para detectar alteraciones.
- Análisis de riesgos dirigidos: la v4.0 introdujo análisis de riesgos que fijan la frecuencia de algunas actividades, que después deben documentarse.
ISO 27001 le permite decidir todo eso mediante el tratamiento de riesgos. PCI DSS decide por usted.
Lo que un SGSI aún le aporta
El tercio con correspondencia no es trivial. Un SGSI que incluye el entorno de datos de titulares de tarjeta en su alcance le proporciona el marco de políticas, la evaluación de riesgos, los roles, la gestión de proveedores, la respuesta a incidentes y la auditoría interna de los que depende el cumplimiento de PCI año tras año. El Requisito 12 se parece a un resumen de las cláusulas 4 a 10 de ISO, y las organizaciones con un SGSI suelen encontrar sencillo el lado de gobernanza de PCI DSS.
Cómo planificar
- Incluya el entorno de datos de titulares de tarjeta en el alcance del SGSI y añada PCI DSS a sus requisitos legales y contractuales (A.5.31).
- Ejecute el informe de brechas ISO 27001 → PCI DSS y trate cada requisito sin correspondencia como un control que diseñar, no como una correspondencia que encontrar.
- Reduzca el alcance antes de construir los controles: la segmentación, la tokenización y las páginas de pago externalizadas pueden sacar grandes partes de PCI DSS del alcance.
- Use las frecuencias de PCI en los controles de su SGSI, para que un solo control cumpla ambas normas: ISO se satisface con cualquier frecuencia bien justificada, así que elija la de PCI.
La comparativa ISO 27001 vs PCI DSS enumera todos los requisitos en ambos sentidos. El texto de PCI DSS está protegido por derechos de autor de PCI SSC, por lo que los títulos de requisitos de este sitio son resúmenes breves propios.
Preguntas
¿La certificación ISO 27001 cumple con PCI DSS?
No. Las marcas de tarjetas exigen la validación de PCI DSS (un Informe de Cumplimiento o un Cuestionario de Autoevaluación) independientemente de la certificación ISO. Un SGSI ayuda a gestionar el programa, pero la mayoría de los requisitos de PCI son más específicos que el Anexo A.
¿Qué requisitos de PCI DSS cubre mejor ISO 27001?
La gobernanza y las políticas (Requisito 12), los principios de control de acceso (7) y la respuesta a incidentes se correlacionan bien. Las brechas se concentran en configuraciones técnicas específicas, frecuencias y tratamiento de datos de titulares de tarjeta.
Datos a fecha de 2026-10-27: las cifras de esta entrada se calculan a partir de la correspondencia vigente y se actualizan cuando esta cambia. Correspondencia una tabla de correspondencias publicada (NIST, ENISA, CIS, PCI SSC) establece la relación · Editorial Criterio editorial de ControlMapping cuando no existe crosswalk; se muestra el motivo · solo comparte un resultado de CSF 2.0: conviene revisarlo, no es una asignación · Sin correspondencia en nuestros datos no hay nada asignado en nuestros datos; a menudo es trabajo nuevo, pero revisa las notas de cobertura. No es asesoramiento de cumplimiento.
Artículos relacionados
Análisis · 2026-10-27APRA CPS 234 y ISO 27001: qué cubre su SGSI y qué añade APRAUn SGSI conforme a ISO 27001 cubre casi todos los párrafos de la CPS 234 de APRA, pero APRA añade obligaciones del consejo de administración, garantías de terceros y plazos estrictos de notificación.
Análisis · 2026-10-27Cyber Essentials frente a Essential Eight: dos referencias nacionales comparadasEl Cyber Essentials del Reino Unido y el Essential Eight de Australia persiguen ambos los ataques más comunes, pero cubren terrenos distintos. Qué se solapa, qué no y por qué.
Análisis · 2026-10-27DORA frente a NIS2: qué cubre ya un programa NIS2DORA y NIS2 comparten casi todo su contenido de seguridad; DORA añade registro, cláusulas y pruebas basadas en amenazas. Qué se traslada, artículo por artículo.