Tema
Diagrama de Red PCI DSS - Fintrixs Pay
Direccionamiento corregido el 2026-08-16 · AVISO-SUBREDES-2026-08
Este documento describía subredes por función —10.100.10.0/24, 10.100.20.0/24 y similares— que no existen en la infraestructura. La red de producción es plana, 10.100.0.0/16, con todos los sistemas en 10.100.0.x.
Las referencias se han sustituido por el mecanismo de separación real: cortafuegos aplicados por etiqueta y políticas de red del orquestador con denegación por defecto. Las zonas funcionales sí existen; su direccionamiento no.
Descripción completa en Arquitectura de red — descripción verificada.
Última revisión: 2026-02-04 Próxima revisión programada: 2027-02-04
Este documento responde a las Preguntas 7 y 12 de ControlCase PCI DSS.
1. Diagrama de Arquitectura de Red
2. Detalle de VLANs/Segmentos
| VLAN/Segmento | CIDR | Tipo | Función | PCI Scope |
|---|---|---|---|---|
| dmz | balanceadores publicados | Pública | Load Balancer, WAF | Sí (boundary) |
| cde | etiqueta fintrix-cde | Privada | Servicios PCI, DB managed | Sí |
| app | etiqueta fintrix-app | Privada | Microservicios no-PCI | No |
| mgmt | acceso administrativo | Privada | Monitoring, Admin | No |
3. Reglas de Firewall por Segmento
3.1 DMZ Firewall (dmz-fw)
| Dirección | Protocolo | Puerto | Origen | Destino | Acción |
|---|---|---|---|---|---|
| Ingress | TCP | 443 | 0.0.0.0/0 | DMZ | ALLOW |
| Ingress | TCP | 80 | 0.0.0.0/0 | DMZ | ALLOW (redirect) |
| Egress | TCP | 8000-8443 | DMZ | CDE | ALLOW |
| Egress | * | * | DMZ | Internet | DENY |
3.2 CDE Firewall (cde-fw)
| Dirección | Protocolo | Puerto | Origen | Destino | Acción |
|---|---|---|---|---|---|
| Ingress | TCP | 8000 | DMZ | CDE | ALLOW |
| Ingress | TCP | 3600-3700 | App, CDE | CDE | ALLOW |
| Egress | TCP | 25060-25061 | CDE | Managed PG | ALLOW |
| Egress | TCP | 9092-9093 | CDE | App (Kafka) | ALLOW |
| Egress | * | * | CDE | Internet | DENY |
3.3 App Firewall (app-fw)
| Dirección | Protocolo | Puerto | Origen | Destino | Acción |
|---|---|---|---|---|---|
| Ingress | TCP | 3000-4200 | CDE, DMZ, App | App | ALLOW |
| Egress | TCP | 3600-3700 | App | CDE | ALLOW |
| Egress | TCP | 443 | App | Internet | ALLOW |
| Egress | * | * | App | * | DENY |
4. Controles de Segmentación
4.1 Cloud Firewall (Digital Ocean)
- Implementados via Terraform
- Reglas deny-all por defecto
- Logging habilitado
4.2 Kubernetes NetworkPolicy
- Default deny en namespaces CDE y App
- Políticas explícitas por servicio
- Aislamiento por label selector
4.3 Verificación de Segmentación
- Escaneo de puertos trimestral
- Pruebas de penetración anual
- Validación automática en CI/CD
5. Historial de Revisiones
| Fecha | Revisor | Cambios |
|---|---|---|
| 2026-02-04 | Sistema (Terraform) | Documento inicial |