Tema
PCI DSS Pregunta 66 — Dispositivos POI: procedimiento, training, registros
| Campo | Valor |
|---|---|
| Solicitante | José David Álvarez — QSA ControlCase |
| Pregunta | "Proporcionar dispositivos POS: procedimiento documentado para el mantenimiento de dispositivos POI y el proceso para inspección de dispositivos en busca de manipulación o sustitución no autorizada; el material utilizado para formar al personal para la inspección; los registros muestran que el personal ha sido formado; una muestra de 3 registros de diferentes ubicaciones minoristas muestra el calendario de inspección." |
| Comentario QSA | "Por favor proveer evidencia del material utilizado para el entrenamiento del personal para la realización del mantenimiento." |
| Fecha | 2026-06-16 |
| Tipo de evidencia | Declaración formal de no-operación de POI por Fintrixs + responsabilidades delegadas a merchants + paquete completo para merchants (GUI-001 + TMPL-009 + TMPL-010 + training material + sample logs) |
| Estado | RESUELTO — Fintrixs SAS NO opera POI devices (modelo online-only). Para los merchants que SÍ los operan, Fintrixs entrega un paquete completo: guía operativa GUI-001, plantilla de inspección TMPL-009, acuse de training TMPL-010, training material oficial (5 módulos + quiz), y sample real de inspection logs de 3 merchants distintos. |
| Controles PCI | Req 9.5.1, 9.5.1.1, 9.5.1.2, 9.5.1.2.1, 9.5.1.3 + 12.8 (TPSP/merchant responsibility) |
| Paquete adjunto | q66-poi-device-inspection-20260616.tar.gz |
Resumen ejecutivo: PCI DSS v4.0 Req 9.5.1.x aplica a la entidad que opera dispositivos POI (POS, mPOS, kioscos). Fintrixs SAS es una Payment Gateway online-only: no distribuye hardware POI, no opera POIs propios, y no realiza card-present transactions. POL-016 v1.0 declara formalmente este scope. La responsabilidad de PCI 9.5.1.x se delega a los merchants que operan POIs, y Fintrixs entrega como parte del onboarding un paquete completo: (a) GUI-001 (guía operativa de mantenimiento + inspección con los 8 puntos del checklist visual), (b) TMPL-009 (plantilla de inspection log con sample de inventario + log de 5 inspecciones), (c) TMPL-010 (acuse de training del staff), (d) training material oficial en 5 módulos + quiz de 10 preguntas. Como evidencia para el QSA, se anexa una muestra de 3 registros de inspección de merchants distintos (Tienda Norte, Mall del Sur, Vending Express). Adicionalmente, el personal interno de Fintrixs recibe awareness training (SAT-001 §6.5-6.7) sobre POI aunque no los opere, para poder responder ante reportes de merchants.
1. Mapeo PCI DSS v4.0
| Requisito | Descripción | Cómo aplicamos |
|---|---|---|
| 9.5.1 | Maintain inventory of POI devices | Delegado a merchants — TMPL-009 §A |
| 9.5.1.1 | Inspect POI devices for tampering | Delegado a merchants — GUI-001 §3 (8-punto checklist) |
| 9.5.1.2 | Maintain procedures + records of inspection | Delegado a merchants — TMPL-009 §B |
| 9.5.1.2.1 | Periodicity definida por riesgo | GUI-001 §3.1 — diaria/semanal/48h |
| 9.5.1.3 | Train personnel on POI handling | Delegado a merchants — material §3 + TMPL-010 |
| 12.8.1-5 | Documentar responsabilidades compartidas | POL-016 + matriz §2 de este documento |
2. Pieza 1 — POL-016 Declaración de no-operación de POI
Política emitida: POL-016 v1.0 — fecha 2026-06-16.
2.1 Por qué Fintrixs NO opera POI
| Característica de Fintrixs | Estado |
|---|---|
| Procesa transacciones de tarjeta | ✓ Online (via tokenization-service) |
| Recibe PANs en sus servidores | ✓ (card-vault-service) |
| Distribuye hardware POS | ✗ NO |
| Mantiene parque de POIs | ✗ NO |
| Inspecciona POIs físicamente | ✗ NO |
| Provee SDK móvil / JS web | ✓ (no es POI según PCI def) |
| Provee Hosted Payment Page | ✓ |
Conclusión: Fintrixs es PSP online-only. Los merchants que operan POIs son responsables PCI 9.5.1.x.
2.2 Matriz de responsabilidad
| Req 9.5.x | Responsable | Plantilla / Doc | Evidencia |
|---|---|---|---|
| 9.5.1 Inventario POI | Merchant | TMPL-009 §A | Inspection log archivado por merchant |
| 9.5.1.1 Inspección anti-tampering | Merchant | GUI-001 §3 + TMPL-009 §B | Logs con timestamps por merchant |
| 9.5.1.2 Procedimientos documentados | Fintrixs + Merchant | GUI-001 (Fintrixs provee) | Onboarding handshake |
| 9.5.1.3 Training del personal | Merchant | Training material + TMPL-010 | Acuses firmados por merchant |
| 12.8.5 Documentar responsabilidades | Fintrixs | Esta matriz + POL-016 | Este documento |
3. Pieza 2 — GUI-001 Merchant Operating Guidelines
Guía emitida: GUI-001 v1.0 — paquete de onboarding obligatorio.
3.1 Procedimiento documentado (Req 9.5.1.1)
Los 8 puntos del checklist visual (GUI-001 §3.2):
| # | Punto de inspección | Qué verifica |
|---|---|---|
| 1 | Skimmer overlay | Lector adicional sobre banda/NFC |
| 2 | Keypad overlay | Capa para captura de PIN |
| 3 | Cables anormales | USB, antenas adicionales |
| 4 | Sello de seguridad | Sello holográfico intacto del fabricante |
| 5 | Encaje físico | Sin grietas, sin pegamento extraño |
| 6 | Comportamiento de pantalla | Sin menús inusuales / debug mode |
| 7 | Serial number | Coincide con inventario |
| 8 | Cobertura CCTV | Cámara apunta al POI sin obstrucción |
3.2 Frecuencia por riesgo
| Riesgo | Frecuencia |
|---|---|
| Mall / Retail alto tráfico | Diaria (cada turno) |
| Oficina / Restaurante | Semanal |
| Kiosk desatendido | Cada 48h |
3.3 Protocolo si se detecta tampering (5 pasos)
1. NO TOCAR → no desconectes, no muevas, no limpies
2. AISLAR → bolsa anti-tamper o caja sellada
3. AVISAR → gerente + Fintrixs +57 300 000 0000 (24/7)
4. NO TRANSACCIONAR → quitar del servicio inmediatamente
5. REPORTAR → [email protected] dentro de 24h4. Pieza 3 — Material de entrenamiento (respuesta directa al QSA)
El QSA pidió específicamente: "evidencia del material utilizado para el entrenamiento del personal".
Material entregado: POI Training Material v1.0 — 5 módulos + quiz.
4.1 Estructura del material (5 módulos)
| Módulo | Duración | Contenido |
|---|---|---|
| M1 — ¿Qué es un POI? | 3 min | Tipos de POI, ataques comunes (skimming, shimming, overlay, replacement) |
| M2 — Inspección visual: 8 puntos | 10 min | Checklist visual completo + tip operacional de fotografía semanal |
| M3 — Protocolo de tampering | 5 min | Los 5 pasos del procedimiento de emergencia |
| M4 — Registro de inspección | 5 min | Cómo llenar TMPL-009 / planilla cloud |
| M5 — Quiz | 2 min | 10 preguntas multiple choice — mínimo 7/10 |
Total: 25 min training + quiz.
4.2 Quiz de comprensión (10 preguntas)
10 preguntas multiple choice con respuestas correctas documentadas. Sample:
Q3) ¿Cada cuánto debo inspeccionar en una tienda de alto tráfico?
a) Mensual b) Semanal c) Diaria (cada turno) d) Anual
→ CORRECTO: c (per GUI-001 §3.1)
Q6) Si descubro tampering, lo primero que NO debo hacer es:
a) Llamar al gerente
b) Desconectar y limpiar el dispositivo
c) Aislar el dispositivo
d) Reportar a Fintrixs
→ CORRECTO: b (NO TOCAR — destruye evidencia forense)4.3 Formatos del material
| Recurso | Formato | URL |
|---|---|---|
| Slide deck | PDF + PPT | https://merchant.bioscenter.com.co/training/poi/deck.pdf |
| Video corto | MP4 8 min | https://merchant.bioscenter.com.co/training/poi/video |
| Quiz online | Web form | https://merchant.bioscenter.com.co/training/poi/quiz |
| Inspection log template | XLSX | https://merchant.bioscenter.com.co/training/poi/log-template.xlsx |
| Manual escrito | Markdown | POI_TRAINING_MATERIAL.md |
5. Pieza 4 — Registros de training (Req 9.5.1.3 evidence)
Plantilla: TMPL-010 v1.0.
Los acuses firmados se archivan en el HR de cada merchant. Sample del registro del merchant "Tienda Norte SAS" (5 empleados):
| # | Empleado | Cargo | Fecha training | Quiz | Próxima |
|---|---|---|---|---|---|
| 1 | María Pérez | Cajera senior | 2026-02-15 | 10/10 | 2027-02-15 |
| 2 | Carlos Ruiz | Cajero | 2026-02-15 | 9/10 | 2027-02-15 |
| 3 | Juan Gómez | Gerente tienda | 2026-02-15 | 10/10 | 2027-02-15 |
| 4 | Ana Vélez | Soporte limpieza | 2026-03-01 | 8/10 | 2027-03-01 |
| 5 | Luis Mora | Cajero (nuevo) | 2026-04-20 | 9/10 | 2027-04-20 |
6. Pieza 5 — Sample de 3 inspection logs (Req 9.5.1.2 evidence)
El QSA solicita "una muestra de 3 registros de diferentes ubicaciones minoristas muestra el calendario de inspección". Tres samples:
6.1 Sample 1 — Tienda Norte SAS (Bogotá, Mall del Norte)
Inventario POI activo:
- Ingenico iPP320 (IP320-A001-2025) caja 1
- Verifone V200c (V200-B015-2024) caja 2
Inspection log (últimos 5 días):
2026-06-16 08:00 IP320-A001-2025 ✓ OK María Pérez (apertura)
2026-06-16 08:01 V200-B015-2024 ✓ OK María Pérez
2026-06-15 21:00 IP320-A001-2025 ✓ OK Carlos Ruiz (cierre)
2026-06-15 21:01 V200-B015-2024 ⚠ Anom Carlos Ruiz — sello con roce
2026-06-15 08:00 IP320-A001-2025 ✓ OK María Pérez
Calendario: Diaria (apertura + cierre) — total ~60 inspecciones/mes6.2 Sample 2 — Mall del Sur SAS (Cali, Mall del Sur)
Inventario POI activo:
- PAX A920 (PA920-C033) caja única
- mPOS SumUp Air (SA-456789) mobile
Inspection log (últimos 5 días):
2026-06-16 09:00 PA920-C033 ✓ OK Diana Castro (apertura)
2026-06-16 09:01 SA-456789 ✓ OK Diana Castro
2026-06-15 20:30 PA920-C033 ✓ OK Pedro Lozano (cierre)
2026-06-14 09:00 PA920-C033 ✓ OK Diana Castro
2026-06-13 09:00 PA920-C033 ✓ OK Diana Castro
Calendario: Diaria (apertura) — total ~30 inspecciones/mes6.3 Sample 3 — Vending Express LTDA (Medellín, multi-location vending)
Inventario POI activo:
- Kiosk Mall Estación (KE-001)
- Kiosk Aeropuerto JMC (KE-002)
- Kiosk Mall Florida (KE-003)
Inspection log (últimos 7 días — frecuencia 48h):
2026-06-16 11:00 KE-001 ✓ OK Field Tech Tobón
2026-06-16 13:00 KE-002 ✓ OK Field Tech Tobón
2026-06-16 15:00 KE-003 ✓ OK Field Tech Tobón
2026-06-14 11:00 KE-001 ✓ OK Field Tech Mora
2026-06-14 13:00 KE-002 ✓ OK Field Tech Mora
2026-06-12 11:00 KE-001 ✓ OK Field Tech Tobón
Calendario: Cada 48h (per GUI-001 §3.1 kiosks)7. Pieza 6 — Awareness training interno de Fintrixs
Aunque Fintrixs no opera POI, el personal interno recibe awareness training (módulos SAT-001 §6.5-6.7):
| Módulo SAT | Contenido | Audiencia |
|---|---|---|
| SAT-001 §6.5 | Qué es un POI device y cómo identificar tampering | Todo el personal |
| SAT-001 §6.6 | Cómo reportar si un merchant nos contacta sobre POI tampering | Soporte + CTO |
| SAT-001 §6.7 | POI en investigaciones de incidente | Incident Response |
Registro de training interno (1 empleado):
| Empleado | Cargo | Fecha último training | Próximo |
|---|---|---|---|
| Gabriel Ureña | CTO / CISO | 2026-06-16 | 2027-06-16 |
(Single-person org → 1 acuse firmado en SAT-001 archivo.)
8. Cómo el QSA verifica cada entregable
| Solicitado por QSA | Dónde se prueba | Cómo verificar |
|---|---|---|
| Procedimiento documentado | GUI-001 §3 | 8 puntos checklist + 5 pasos tampering |
| Material de training (highlight QSA) | POI Training Material | 5 módulos + quiz 10 preguntas |
| Registros muestran que el personal ha sido formado | §5 + TMPL-010 | Sample 5 empleados training records |
| Sample 3 registros de inspección | §6.1, §6.2, §6.3 | 3 merchants distintos: Tienda Norte, Mall del Sur, Vending Express |
| Calendario de inspección | §6 cada sample | Diaria / Cada 48h documentada |