c11.2 Detección de puntos de acceso inalámbrico no autorizados
Detectar y gestionar la presencia de puntos de acceso inalámbrico (autorizados y no autorizados). En un entorno AWS puro no hay infraestructura wireless propia, lo que debe documentarse en el alcance.
Requisito 11
Test Security of Systems and Networks Regularly
Sub-requisitos PCI cubiertosCobertura mostrada por sub-control de PCI DSS v4.0.1. “Cubierto” = atendido por esta recomendación de AWS. “En roadmap” = técnico, planeado. “Tu responsabilidad” = control organizacional/de proceso. “Fuera de alcance” = control físico o de terceros no implementado en AWS.
11.2 Detección y monitoreo de puntos de acceso inalámbrico no autorizados
- 11.2.1 Authorized and unauthorized wireless access points managed Cubierto
- 11.2.2 Inventory of authorized wireless access points maintained Tu responsabilidad
Cómo implementarlo en AWS
Para despliegues 100% AWS, documentar que no existen redes inalámbricas dentro del alcance del cliente. En entornos híbridos, mantener un inventario de puntos de acceso autorizados y procesos de detección de no autorizados; centralizar la evidencia y su revisión periódica.
Implementación práctica
Cómo se implementa este control en cada arquitectura de referencia:
Para un despliegue puramente en AWS, el trabajo táctico es documentar la no aplicabilidad de wireless, o ejecutar detección trimestral donde exista wireless híbrido.
- Confirma que no hay infraestructura wireless del cliente en el alcance de AWS (AWS gestiona el wireless del centro de datos).
- Registra la no aplicabilidad de 11.2 para el alcance del cliente, con justificación, en el documento de alcance PCI.
- Si existe wireless híbrido, mantén un inventario de APs autorizados (con justificación de negocio) y registros de detección trimestral de APs no autorizados.
Cómo validar: El documento de alcance indica la aplicabilidad de 11.2 con justificación; donde exista wireless, el inventario de APs y los registros de detección trimestral están vigentes.
Evita: Omitir 11.2 en silencio en AWS. Documenta la no aplicabilidad de forma explícita; un evaluador necesita la justificación en archivo.
Decide la aplicabilidad de wireless una vez a nivel de organización y, donde se conecte wireless híbrido, ejecuta la detección desde la cuenta de red central.
- Documenta la no aplicabilidad de wireless una vez a nivel de organización para que cada cuenta herede la postura.
- Para entornos híbridos, gestiona la detección de APs no autorizados desde la cuenta de red central.Cuenta de red/inspección
Transit Gateway - Registra los resultados de detección contra la matriz de responsabilidad compartida de forma central.Almacén de evidencia a nivel de organización
Amazon S3
Cómo validar: El documento de alcance a nivel de organización aborda 11.2, y cualquier wireless híbrido tiene registros de detección trimestral vigentes referenciados desde la matriz.
Evita: Documentar la aplicabilidad de wireless de forma inconsistente por cuenta. Decídela una vez a nivel de organización.
Validación PCI
Procedimientos de prueba
- Examinar la metodología y la documentación y entrevistar al personal para verificar que los procesos detectan e identifican puntos de acceso inalámbrico autorizados y no autorizados al menos cada 3 meses (11.2.1.b, 11.2.1.c).
- Examinar la documentación para verificar que se mantiene un inventario de puntos de acceso inalámbrico autorizados con justificación de negocio (11.2.2). En AWS esto suele ser gestionado por AWS; documentar la no aplicabilidad para el alcance del cliente cuando corresponda.
Evidencia en AWS
- Documento de alcance PCI indicando aplicabilidad o no aplicabilidad de wireless.
- Cuando aplique: inventario de APs autorizados y registros de detección trimestral.
Enfoque personalizado
Requiere un análisis de riesgo dirigido (Req 12.3.2).
Objetivo del enfoque personalizado
- 11.2 — Los puntos de acceso inalámbrico no autorizados se identifican y atienden periódicamente.
Servicios AWS
AWS Config Recursos de aprendizaje
Referencias
- PCI DSS v4.0.1 Requirement 11.2