He leído la descripción provista en PCI DSS 3.2.1 para el requisito 4, y me cuesta entender si es necesario tener un cifrado adicional sobre TLS 1.1 / 1.2 usando una configuración segura.
En las secciones de orientación de PCI DSS dice:
La transmisión segura de los datos del titular de la tarjeta requiere el uso de claves / certificados confiables, un protocolo seguro para el transporte y la fuerza de cifrado adecuada para cifrar los datos del titular de la tarjeta
De lo anterior, ¿TLS 1.1 / 1.2 cubre todos los puntos declarados? 1. Utilice solo claves / certificados de confianza (como lo firmen las autoridades de confianza) 2. Un protocolo seguro para el transporte. 3. Una fuerza de cifrado adecuada
Entonces mi pregunta sería: 1. ¿Usar solo TLS (1.1 o 1.2) con una configuración segura es suficiente para el cumplimiento (de este punto)? 2. Si lo anterior no es cierto, ¿el sistema debería incluir un cifrado adicional además de eso?