PCI DSS Security Maturity Model·AWS v1.1.0

Arrastra para explorar · pellizca para ampliar
Inicio / Matriz / Requisito 10 / c10.5
Optimized Incident ResponseDominio de seguridad de la perspectiva de seguridad del AWS Cloud Adoption Framework (CAF), usado para organizar los controles. 🤝 CompartidaModelo de Responsabilidad Compartida de AWS: quién implementa y opera este control. Cliente = es tuyo; AWS = lo opera AWS y tú lo heredas; Compartida = ambos tienen obligaciones.

c10.5 Detección y alertamiento oportuno de fallas en controles críticos

Detectar, alertar y atender de forma oportuna las fallas de los controles de seguridad críticos (p. ej. logging, firewalls, anti-malware) para minimizar la ventana de exposición.

Quick Wins
Foundational
Efficient
Optimized
Esfuerzo: Alto Impacto: Medio Aplica al CDE: Sí

Requisito 10

Log and Monitor All Access to System Components and Cardholder Data

Sub-requisitos PCI cubiertosCobertura mostrada por sub-control de PCI DSS v4.0.1. “Cubierto” = atendido por esta recomendación de AWS. “En roadmap” = técnico, planeado. “Tu responsabilidad” = control organizacional/de proceso. “Fuera de alcance” = control físico o de terceros no implementado en AWS.

10.7 Detección, alertamiento y atención oportuna de fallas en controles críticos de seguridad
  • 10.7.1 Failures of critical security controls detected/alerted (SP only) Cubierto
  • 10.7.2 Failures of critical security controls detected, alerted, addressed Cubierto
  • 10.7.3 Failures of critical security controls responded to promptly Tu responsabilidad

Cómo implementarlo en AWS

Monitorear la salud de controles críticos (CloudTrail activo, GuardDuty habilitado, Config recording on, WAF activo) con AWS Config conformance packs y alarmas. Alertar automáticamente ante fallas vía EventBridge/SNS y crear incidentes. Documentar tiempos de respuesta y remediación.

Implementación práctica

Cómo se implementa este control en cada arquitectura de referencia:

Detecta y alerta con prontitud cuando un control de seguridad crítico falla o se deshabilita, y registra la falla de extremo a extremo.

  1. Monitorea la salud de los controles críticos (CloudTrail activo, Config grabando, GuardDuty habilitado, WAF activo) con conformance packs y reglas de AWS Config.
    Detección en toda la cuenta AWS Config
  2. Alerta automáticamente ante una falla mediante EventBridge a SNS y abre un incidente.
    Automatización de la cuenta EventBridge
  3. Registra cada falla con causa, hora de inicio/fin y remediación como evidencia de PCI 10.7.3.
    Registros de incidentes Amazon S3

Cómo validar: Deshabilitar un control (p. ej. detener CloudTrail) genera una alerta rápidamente, y la falla se documenta con causa, duración y remediación.

Evita: Asumir que los controles siguen activos. Se deshabilitan por error o por un atacante; monitorea su salud y alerta ante fallas.

Una sola cuenta, 3 capas →

Vigila la salud de los controles críticos en cada cuenta de forma central para que un control deshabilitado en cualquier lugar genere una alerta rastreada.

  1. Despliega los conformance packs de controles críticos en toda la organización y evalúa vía el agregador de Config en la cuenta de herramientas de seguridad.
    Cuenta de herramientas de seguridad → OU de PCI AWS Config AWS Organizations
  2. Genera una alerta central cuando cualquier cuenta del CDE deshabilite un control (EventBridge a SNS).
    Cuenta de herramientas de seguridad EventBridge
  3. Rastrea cada falla hasta su remediación con registros consolidados en la cuenta de log-archive.
    Cuenta de log-archive Amazon S3

Cómo validar: Un control deshabilitado en cualquier cuenta del CDE aparece de forma central y se rastrea hasta su remediación con un registro documentado.

Evita: Verificaciones de salud de control por cuenta sin consolidación. Una falla podría pasar desapercibida; agrega y alerta de forma central.

Multi-cuenta con un OU dedicado a PCI →

Validación PCI

Métodos de comprobación: examineobserve

Procedimientos de prueba

  • Examinar la documentación para verificar que hay procesos definidos para la detección y el reporte oportuno de fallas de controles de seguridad críticos, y observar los procesos de alertamiento para confirmar que una falla genera una alerta (10.7.2.a, 10.7.2.b).
  • Examinar los registros para verificar que las fallas se documentan con causa, duración (inicio/fin) y detalles de remediación, y que se responden conforme al requisito (10.7.3.a, 10.7.3.b).

Evidencia en AWS

  • Conformance packs / reglas de Config que monitorean el estado de controles críticos.
  • Reglas de EventBridge y notificaciones SNS ante fallas de controles.
  • Registros de incidentes y tiempos de remediación de fallas de controles.

Enfoque personalizado

Requiere un análisis de riesgo dirigido (Req 12.3.2).

Objetivo del enfoque personalizado

  • 10.7 — Las fallas en los sistemas de control de seguridad críticos se identifican y atienden con prontitud.

Servicios AWS

AWS Config Amazon EventBridge Amazon CloudWatch AWS Security Hub

Recursos de aprendizaje

Referencias

  • PCI DSS v4.0.1 Requirement 10.7