═══════════════════════════════════════════════════════════════════════════
  PCI DSS PREGUNTA 38 — PAQUETE DE EVIDENCIA
  Separación lógica entre entornos production y staging
═══════════════════════════════════════════════════════════════════════════

PCI DSS Q38 (PCI v4 Req 6.5.3 + 6.5.4) requiere:
  - Evidencia que entornos superiores (prod) y entornos inferiores
    (test/dev) están lógicamente separados

QSA solicitó: Pantallazos con las configuraciones de red que confirmen
              la independencia de ambientes

═══════════════════════════════════════════════════════════════════════════
ARQUITECTURA: 2 ENTORNOS SEPARADOS A NIVEL FÍSICO
═══════════════════════════════════════════════════════════════════════════

PRODUCTION                                  STAGING
────────────────────────────────────────────────────────────────────────
VPC fintrix-production-vpc                  VPC fintrix-staging-vpc
  CIDR: 10.100.0.0/16                         CIDR: 10.101.0.0/16
  ID: 402acbe1-...                            ID: 11e94855-...

Cluster fintrix-production-k8s              Cluster fintrix-staging-k8s
  K8s: 1.34.8-do.0                            K8s: 1.34.8-do.0
  6 nodos (cde+app+system)                    1 nodo (staging-pool)

DB fintrix-production-fintrix-pci           DB fintrix-staging-fintrix-pci
  PG 16 / db-s-2vcpu-4gb / 60GiB              PG 16 / db-s-1vcpu-1gb / 10GiB
  Trusted: prod cluster only                  Trusted: staging cluster only

Firewalls cluster-managed por DOKS           Firewalls cluster-managed por DOKS
+ Cloud Firewalls dedicados                  + fintrix-staging-app-fw

Data: Cardholder data REAL (PCI)             Data: Synthetic ONLY
                                              (NUNCA copy de prod)

═══════════════════════════════════════════════════════════════════════════
TEST DE AISLAMIENTO EJECUTADO (2026-05-27)
═══════════════════════════════════════════════════════════════════════════

Source: pod prod (10.100.0.16, cde-pool-node-01)
Target: nodo staging (10.101.0.3)

Test 1: ping ICMP
  Result: 3 packets, 100% loss → BLOQUEADO ✓

Test 2: TCP nc 10.101.0.3:22
  Result: Connection timed out → SIN RUTA ✓

Conclusion: DigitalOcean VPCs son redes L2 independientes en backplane
            privado. NO existe route propagation entre VPCs. NO se puede
            configurar VPC peering en DO. Aislamiento físico y lógico
            verificado en runtime.

═══════════════════════════════════════════════════════════════════════════
CUMPLIMIENTO PCI DSS
═══════════════════════════════════════════════════════════════════════════

PCI v4 Req                       Control                              Status
─────────────────────────────────────────────────────────────────────────
6.5.3.a Pre-prod separated       VPC + cluster + DB separados          ✓
6.5.3.b Live PANs NOT in pre-prod POL-005 + DB trusted sources         ✓
6.5.3.1 Separation of roles+data K8s RBAC + DB creds separados         ✓
6.5.4   Separate dev/test/prod   Synthetic data only en staging         ✓
6.4.6   Emergency changes        Branch protection + admin override    ✓
                                 auditado en commit msg

═══════════════════════════════════════════════════════════════════════════
COSTO INFRA STAGING
═══════════════════════════════════════════════════════════════════════════

Recurso                              Size              Cost
─────────────────────────────────────────────────────────────
VPC fintrix-staging-vpc              VPC nyc1          FREE
Cluster fintrix-staging-k8s (1 nodo) s-2vcpu-4gb       $24/mes
DB fintrix-staging-fintrix-pci       db-s-1vcpu-1gb    $15/mes
Cloud Firewall                       fintrix-staging-app-fw  FREE
─────────────────────────────────────────────────────────────
TOTAL                                                  ~$39/mes

═══════════════════════════════════════════════════════════════════════════
CONTENIDO DEL PAQUETE
═══════════════════════════════════════════════════════════════════════════

  00-README.txt              (este archivo)
  01-resource-comparison.txt VPCs + clusters + DBs prod vs staging
  02-k8s-clusters.json       JSON completo de DOKS clusters
  03-databases.json          JSON completo de databases
  04-vpcs.json               JSON completo de VPCs
  05-firewalls.json          JSON completo de Cloud Firewalls
  06-droplets.json           Droplets con su VPC assignment

═══════════════════════════════════════════════════════════════════════════
Fecha de extracción: 2026-05-27
Extraído por: Gabriel Ureña (CTO Fintrixs SAS)
═══════════════════════════════════════════════════════════════════════════
