El día que el auditor pidió los accesos

Una plataforma de pagos con 5.600 comercios adheridos. La certificación anual llega en once semanas y el auditor mandó por adelantado tres preguntas. Las tres se responden con el mismo diagrama.

La primera: ¿cómo entran los comercios? Por una puerta que le pregunta a un directorio heredado, donde el segundo factor es opcional. El 62 % de los comercios nunca lo activó. Esa misma puerta emite sesiones que no caducan. La plataforma compró un proveedor nuevo, con segundo factor obligatorio y rotación de sesión, y lo dejó conectado a nada.

La segunda: ¿qué sale de la plataforma hacia el procesador de tarjetas? El procesador necesita el número de tarjeta y el monto. Recibe el registro completo de la operación, con el documento del comprador, porque el mensaje lo arma el mismo servicio que tiene todo delante.

La tercera: ¿quién accedió a un dato de tarjeta en los últimos dos años? La certificación exige dos años. Los registros del servicio de pagos rotan cada 30 días. Para una operación de hace catorce meses, la plataforma puede demostrar que ocurrió, pero no quién la miró.

El equipo de negocio pone una condición y es razonable: nada de esto puede dejar de cobrar. Ya hubo un intento de endurecer el acceso de comercios en 2024 que se revirtió a las cuarenta y ocho horas, y volvió todo al estado que este ejercicio tiene que corregir.

Y hay un límite que no se negocia: el equipo tiene 6 unidades operativas y el diseño de hoy usa exactamente 6. Cualquier pieza nueva entra sacando otra.

Rearmá el sistema para responder las tres preguntas del auditor al mismo tiempo: que ninguna entrada acepte identidad sin segundo factor, que lo que sale hacia afuera no lo arme el componente que tiene el registro completo, y que quede un archivo de accesos que dure lo que la certificación pide, sin apagar el cobro y sin pasarte del presupuesto.