PCI DSS Security Maturity Model·AWS v1.1.0

Arrastra para explorar · pellizca para ampliar
Inicio / Matriz / Requisito 11 / c11.1
Quick Wins Vulnerability ManagementDominio de seguridad de la perspectiva de seguridad del AWS Cloud Adoption Framework (CAF), usado para organizar los controles. 🤝 CompartidaModelo de Responsabilidad Compartida de AWS: quién implementa y opera este control. Cliente = es tuyo; AWS = lo opera AWS y tú lo heredas; Compartida = ambos tienen obligaciones.

c11.1 Escaneos de vulnerabilidades internos y externos

Ejecutar escaneos de vulnerabilidades internos y externos con regularidad y tras cambios significativos, atendiendo los hallazgos según el ranking de riesgo. Los escaneos externos ASV deben realizarse trimestralmente.

Quick Wins
Foundational
Efficient
Optimized
Esfuerzo: Bajo Impacto: Alto Aplica al CDE: Sí

Requisito 11

Test Security of Systems and Networks Regularly

Sub-requisitos PCI cubiertosCobertura mostrada por sub-control de PCI DSS v4.0.1. “Cubierto” = atendido por esta recomendación de AWS. “En roadmap” = técnico, planeado. “Tu responsabilidad” = control organizacional/de proceso. “Fuera de alcance” = control físico o de terceros no implementado en AWS.

11.3 Identificación y atención de vulnerabilidades mediante escaneos internos y externos
  • 11.3.1 Internal vulnerability scans performed and resolved Cubierto
  • 11.3.1.1 Non-high/critical vulnerabilities managed per risk Tu responsabilidad
  • 11.3.1.2 Internal scans via authenticated scanning Cubierto
  • 11.3.1.3 Internal scans after significant changes Cubierto
  • 11.3.2 External vulnerability scans performed quarterly by ASV Cubierto
  • 11.3.2.1 External scans after significant changes Cubierto

Cómo implementarlo en AWS

Cubrir el escaneo interno continuo con Amazon Inspector. Para el escaneo externo trimestral, contratar un Approved Scanning Vendor (ASV). Repetir escaneos tras cambios significativos. Rastrear la remediación hasta obtener un resultado aprobado. Consolidar en Security Hub.

Implementación práctica

Cómo se implementa este control en cada arquitectura de referencia:

Cubre el escaneo interno de forma continua con Inspector y satisface el escaneo externo trimestral con un Approved Scanning Vendor (ASV).

  1. Usa Amazon Inspector para el escaneo interno continuo de vulnerabilidades de EC2/ECR/Lambda, atendiendo los hallazgos altos/críticos por clasificación de riesgo.
    Detección en toda la cuenta Amazon Inspector
  2. Contrata un Approved Scanning Vendor (ASV) del PCI SSC para los escaneos externos trimestrales de tus endpoints expuestos a internet.
    Endpoints públicos
  3. Vuelve a escanear tras cambios significativos y rastrea la remediación hasta un resultado aprobatorio; consolida en Security Hub.
    Detección en toda la cuenta Security Hub

Cómo validar: Los escaneos internos ocurren al menos trimestralmente con los hallazgos altos/críticos resueltos, y existen reportes ASV aprobatorios de cada trimestre de un ASV del PCI SSC.

Evita: Tratar Inspector como el escaneo ASV. El escaneo externo trimestral debe venir de un proveedor aprobado; Inspector cubre el lado interno.

Una sola cuenta, 3 capas →

Ejecuta el escaneo interno en toda la organización y coordina los escaneos externos ASV trimestrales para cada endpoint del CDE expuesto a internet.

  1. Habilita Inspector en toda la organización (administrador delegado) para que todas las cuentas del CDE se escaneen internamente con hallazgos consolidados de forma central.
    Cuenta de herramientas de seguridad → OU de PCI Amazon Inspector AWS Organizations Security Hub
  2. Coordina escaneos externos ASV trimestrales para cada endpoint del CDE expuesto a internet en todas las cuentas.
    Endpoints públicos (por cuenta)
  3. Rastrea los re-escaneos tras cambios y la remediación hasta aprobar, de forma central.
    Cuenta de herramientas de seguridad Security Hub

Cómo validar: La cobertura de Inspector en toda la organización es completa, y cada endpoint del CDE expuesto a internet tiene reportes ASV trimestrales aprobatorios.

Evita: Escanear solo los endpoints de una cuenta. Cada endpoint del CDE expuesto a internet necesita su propia cobertura ASV trimestral.

Multi-cuenta con un OU dedicado a PCI →

Validación PCI

Métodos de comprobación: examine

Procedimientos de prueba

  • Examinar los reportes de escaneo interno de los últimos 12 meses para verificar que los escaneos ocurrieron al menos cada 3 meses y que se resolvieron todas las vulnerabilidades altas y críticas (11.3.1.a, 11.3.1.b).
  • Examinar los reportes de escaneo ASV para verificar que los escaneos externos ocurrieron al menos cada 3 meses, cumplieron los criterios de aprobación ASV y fueron realizados por un ASV de PCI SSC (11.3.2.a, 11.3.2.b, 11.3.2.c).

Evidencia en AWS

  • Reportes de escaneo interno de Amazon Inspector con evidencia de remediación.
  • Reportes ASV trimestrales aprobados (proveedor externo).
  • Registro de re-escaneos tras cambios significativos.

Enfoque personalizado

Requiere un análisis de riesgo dirigido (Req 12.3.2).

Objetivo del enfoque personalizado

  • 11.3 — La postura de seguridad de todos los componentes del sistema se verifica periódicamente con herramientas automatizadas diseñadas para detectar vulnerabilidades, y las vulnerabilidades detectadas se atienden según el riesgo.

Servicios AWS

Amazon Inspector AWS Security Hub

Recursos de aprendizaje

Referencias

  • PCI DSS v4.0.1 Requirement 11.3