Antes de llegar a mi empresa actual, obtuvimos los servicios de un consultor de PCI que nos brindó consejos muy específicos, aunque cuestionables, sobre los requisitos de cifrado.
El consejo en particular que sospecho es el de asegurarse de que los datos del titular de la tarjeta estén encriptados a medida que se mueven a través de nuestra red interna (separada). El método de encriptación, nos dijeron, debe estar en el nivel de la aplicación, y el nivel de transporte no está permitido. Entonces, en lugar de utilizar simplemente HTTPS para mover un archivo, tenemos que cifrar el archivo mediante PGP antes de enviarlo, y luego descifrarlo después de que llegue.
Simplemente no puedo ver en la documentación donde esto es un requisito. ¿A alguien más le han dicho lo mismo? ¿Hay una prioridad para esto?
El documento que estamos usando es el Mayo 2013 Especificaciones Lógicas de Producción de Tarjeta