| Requisito 1 Install and Maintain Network Security Controls Build and Maintain a Secure Network and Systems 1 Quick Wins, 2 Foundational, 1 Efficient, 1 Optimized 1211 | c1.1 Cerrar puertos abiertos de riesgo en Security Groups PCI 1.2, 1.3, 1.4 Compartida | c1.2 Limitar el acceso de red hacia y desde el CDE PCI 1.3, 1.4 Compartida c1.3 Segmentación de red con VPCs y arquitectura multi-cuenta PCI 1.2, 1.3 Compartida | c1.4 Inspección de tráfico con AWS Network Firewall en el perímetro del CDE PCI 1.3, 1.4 Compartida | c1.5 Control de tráfico saliente y automatización de la corrección de desviaciones de red PCI 1.3, 1.4, 1.5 Compartida |
| Requisito 2 Apply Secure Configurations to All System Components Build and Maintain a Secure Network and Systems 1 Quick Wins, 2 Foundational, 1 Efficient, 0 Optimized 1210 | c2.1 Eliminar credenciales y configuraciones por defecto PCI 2.2 Compartida | c2.2 Definir y aplicar estándares de configuración segura (hardening) PCI 2.2 Compartida c2.3 Cifrar y endurecer accesos administrativos non-console PCI 2.2 Compartida | c2.4 Detectar puntos de acceso inalámbrico y validar configuraciones wireless PCI 2.3 Cliente | — |
| Requisito 3 Protect Stored Account Data Protect Account Data 1 Quick Wins, 3 Foundational, 1 Efficient, 1 Optimized 1311 | c3.1 Habilitar cifrado en reposo por defecto (EBS, S3, RDS) PCI 3.5 Cliente | c3.2 Minimizar el almacenamiento de datos de cuenta y no retener SAD PCI 3.2, 3.3 Cliente c3.3 Enmascarar el PAN al mostrarse PCI 3.4 Cliente c3.6 Gestiona el ciclo de vida de las claves criptográficas con AWS KMS PCI 3.6, 3.7 Compartida | c3.4 Proteger claves criptográficas con AWS KMS PCI 3.6, 3.7 Compartida | c3.5 Descubrimiento continuo de datos de cuenta y prevención de fugas PCI 3.2, 3.5 Cliente |
| Requisito 4 Protect Cardholder Data with Strong Cryptography During Transmission Over Open, Public Networks Protect Account Data 1 Quick Wins, 1 Foundational, 1 Efficient, 0 Optimized 1110 | c4.1 Forzar TLS fuerte en endpoints públicos (ALB, CloudFront, API Gateway) PCI 4.2 Cliente | c4.2 Inventariar y validar certificados y confianza de las conexiones PCI 4.2 Cliente | c4.3 Monitoreo continuo de la postura de cifrado en tránsito PCI 4.2 Cliente | — |
| Requisito 5 Protect All Systems and Networks from Malicious Software Maintain a Vulnerability Management Program 1 Quick Wins, 1 Foundational, 1 Efficient, 1 Optimized 1111 | c5.1 Habilitar detección de malware con Amazon GuardDuty PCI 5.2, 5.3 Compartida | c5.2 Desplegar anti-malware/EDR mantenido y monitoreado en instancias PCI 5.2, 5.3 Compartida | c5.3 Protección frente a phishing con controles de correo y navegación PCI 5.4 Compartida | c5.4 Respuesta automatizada ante detección de malware PCI 5.2, 5.3 Compartida |
| Requisito 6 Develop and Maintain Secure Systems and Software Maintain a Vulnerability Management Program 1 Quick Wins, 2 Foundational, 1 Efficient, 1 Optimized 1211 | c6.1 Escaneo automatizado de vulnerabilidades con Amazon Inspector PCI 6.3 Compartida | c6.2 Gestión de parches y cambios controlados PCI 6.3, 6.5 Compartida c6.3 Proteger aplicaciones web públicas con AWS WAF PCI 6.4 Compartida | c6.4 Seguridad integrada en el pipeline (DevSecOps) PCI 6.2, 6.3 Compartida | c6.5 Detección y remediación automatizada de vulnerabilidades a escala PCI 6.3, 6.5 Compartida |
| Requisito 7 Restrict Access to System Components and Cardholder Data by Business Need to Know Implement Strong Access Control Measures 1 Quick Wins, 1 Foundational, 1 Efficient, 0 Optimized 1110 | c7.1 Aplicar mínimo privilegio con políticas IAM PCI 7.2, 7.3 Compartida | c7.2 Centralizar el acceso con IAM Identity Center y permisos por función PCI 7.2, 7.3 Compartida | c7.3 Revisión y refinamiento automatizado de accesos PCI 7.2 Compartida | — |
| Requisito 8 Identify Users and Authenticate Access to System Components Implement Strong Access Control Measures 2 Quick Wins, 2 Foundational, 1 Efficient, 0 Optimized 2210 | c8.1 Exigir MFA para todo acceso a la consola y al CDE PCI 8.4, 8.5 Compartida c8.5 Aplica políticas de contraseña y controles de bloqueo de cuenta PCI 8.3 Cliente | c8.2 Identidad única y ciclo de vida de usuarios federado PCI 8.2 Compartida c8.3 Eliminar credenciales de larga vida con acceso temporal PCI 8.3, 8.6 Compartida | c8.4 Protección avanzada de identidades privilegiadas y detección de anomalías PCI 8.3, 8.5 Compartida | — |
| Requisito 9 Restrict Physical Access to Cardholder Data Implement Strong Access Control Measures 1 Quick Wins, 1 Foundational, 0 Efficient, 0 Optimized 1100 | c9.1 Heredar los controles físicos de AWS mediante los reportes de cumplimiento PCI 9.2, 9.3 AWS | c9.2 Gestionar el alcance físico de los componentes propios (híbrido/POI) PCI 9.4, 9.5 Compartida | — | — |
| Requisito 10 Log and Monitor All Access to System Components and Cardholder Data Regularly Monitor and Test Networks 3 Quick Wins, 1 Foundational, 1 Efficient, 1 Optimized 3111 | c10.1 Habilitar CloudTrail en toda la organización PCI 10.2 Compartida c10.3 Sincronización de tiempo confiable (10.6) PCI 10.6 Compartida c10.6 Mantén los relojes del sistema consistentes con Amazon Time Sync PCI 10.6 Compartida | c10.2 Centralizar y proteger los logs frente a alteración PCI 10.3, 10.5 Compartida | c10.4 Revisión automatizada de logs y detección de anomalías PCI 10.4 Compartida | c10.5 Detección y alertamiento oportuno de fallas en controles críticos PCI 10.7 Compartida |
| Requisito 11 Test Security of Systems and Networks Regularly Regularly Monitor and Test Networks 1 Quick Wins, 2 Foundational, 2 Efficient, 0 Optimized 1220 | c11.1 Escaneos de vulnerabilidades internos y externos PCI 11.3 Compartida | c11.2 Detección de puntos de acceso inalámbrico no autorizados PCI 11.2 AWS c11.3 Detección de intrusiones en la red PCI 11.5 Compartida | c11.4 Detección de cambios no autorizados en páginas de pago PCI 11.6 Compartida c11.5 Pruebas de penetración internas y externas PCI 11.4 Compartida | — |
| Requisito 12 Support Information Security with Organizational Policies and Programs Maintain an Information Security Policy 2 Quick Wins, 3 Foundational, 1 Efficient, 0 Optimized 2310 | c12.1 Definir el alcance del CDE y mantener el inventario con AWS Config PCI 12.5 Cliente c12.2 Establecer políticas de seguridad y de uso aceptable PCI 12.1, 12.2 Cliente | c12.3 Formalizar la gestión de riesgos (análisis de riesgo dirigido) PCI 12.3 Cliente c12.4 Programa de concientización en seguridad PCI 12.6 Cliente c12.5 Gestión del riesgo de proveedores de servicio (TPSP) y responsabilidad compartida PCI 12.8 Cliente | c12.6 Plan de respuesta a incidentes automatizado PCI 12.10 Cliente | — |
PCI DSS Security Maturity Model·AWS v1.1.0