A lo que se refiere son las notas sobre SSL / TLS sobre varios requisitos, como 2.2.3 en PCI DSS v3.1 :
Nota : SSL y TLS anterior no se consideran criptografía fuerte y
no se puede utilizar como control de seguridad después del 30 de junio de 2016. Antes de
En esta fecha, las implementaciones existentes que usan SSL y / o TLS temprano deben
tener un plan formal de mitigación de riesgos y migración en su lugar.
Esto se vincula con el proceso de evaluación de riesgos en 12.2:
12.2 Implementar un proceso de evaluación de riesgos que:
- Se realiza al menos una vez al año y ante cambios significativos en el medio ambiente (por ejemplo,
adquisición, fusión, reubicación, etc.),
- identifica activos críticos,
amenazas y vulnerabilidades, y
- Resultados en un formal, documentado
análisis de riesgo.
Consulte esta guía para ver lo que significa TLS y SSL. En pocas palabras, desea que todas las comunicaciones SSL / TLS estén en TLS 1.1 y superiores.
No sé a qué se refiere con "bajar su puntaje", sin embargo, su plan de mitigación debe tener algo en su lugar para decir cómo se está deshaciendo de TLS 1.0 y antes de julio de 2016. Después de esta fecha, no debe usar TLS 1.0 y versiones anteriores, por lo tanto, cualquier auditoría que tenga lugar después de esta fecha fallará si lo está. Usted tiene razón, no hay un requisito inmediato para que se desactiven estos protocolos, siempre y cuando el plan esté allí.
Descargo de responsabilidad: no soy un QSA, ni su QSA