¿Precedente para un servidor interno de información de titulares de tarjetas?

No tengo ningún recurso específico al que apuntar porque, para bien o para mal, el consejo de PCI por lo general apunta a los QSA en lugar de intentar cubrir cada escenario que una organización encuentra.

Su QSA es responsable de determinar exactamente lo que necesita hacer para segmentar adecuadamente otras aplicaciones que desea mantener fuera del alcance. La segmentación generalmente requiere colocar el sistema en diferentes subredes con un firewall en medio. La medida en que los flujos de datos entre las subredes deben restringirse entre las dos redes es una buena discusión para tener con su QSA.

Como QSA, no estoy de acuerdo con su declaración de que sus servidores de aplicaciones "no pueden conectarse a nada en el CDE". Mi interpretación es que el tráfico debe estar muy limitado y tener una fuerte necesidad comercial. El DSS utiliza una red plana como ejemplo de no segmentación, donde no hay control de acceso entre dos redes en absoluto. Por otro lado, utiliza el ejemplo de "enrutadores con fuertes listas de control de acceso" como ejemplo de segmentación de red.

Si bien es probable que el tráfico entrante requiera cierta información de su QSA, el tráfico saliente es un poco más flexible. Si puede estructurar su red de manera que las conexiones se inicien desde dentro del CDE y salgan a través del firewall, tendrá una seguridad mucho mejor y un tiempo mucho más fácil para justificar el tráfico.

Sólo mis pensamientos.