Según entiendo los requisitos de las pruebas de penetración de PCI DSS 3.0 / 3.1, una compañía cumple con 11.3 si la prueba de penetración no devuelve ninguna vulnerabilidad de alto riesgo.
Sin embargo, ¿qué sucede si una vulnerabilidad de bajo riesgo identificada durante las pruebas de penetración afecta un requisito fuera de 11.3? ¿Se considera que la empresa no cumple?
Por ejemplo, descubrir una dirección IP interna es un riesgo bajo desde una perspectiva externa, sin embargo, esto afectaría el cumplimiento con 1.3.8, que establece que las direcciones privadas no deben ser divulgadas.