PCI DSS Security Maturity Model·AWS v1.1.0

Arrastra para explorar · pellizca para ampliar
Inicio / Matriz / Requisito 11 / c11.5
Efficient Vulnerability ManagementDominio de seguridad de la perspectiva de seguridad del AWS Cloud Adoption Framework (CAF), usado para organizar los controles. 🤝 CompartidaModelo de Responsabilidad Compartida de AWS: quién implementa y opera este control. Cliente = es tuyo; AWS = lo opera AWS y tú lo heredas; Compartida = ambos tienen obligaciones.

c11.5 Pruebas de penetración internas y externas

Realizar pruebas de penetración internas y externas al menos anualmente y tras cambios significativos, incluyendo la validación de los controles de segmentación del CDE.

Quick Wins
Foundational
Efficient
Optimized
Esfuerzo: Alto Impacto: Medio Aplica al CDE: Sí

Requisito 11

Test Security of Systems and Networks Regularly

Sub-requisitos PCI cubiertosCobertura mostrada por sub-control de PCI DSS v4.0.1. “Cubierto” = atendido por esta recomendación de AWS. “En roadmap” = técnico, planeado. “Tu responsabilidad” = control organizacional/de proceso. “Fuera de alcance” = control físico o de terceros no implementado en AWS.

11.4 Pruebas de penetración externas e internas
  • 11.4.1 Penetration testing methodology defined and implemented Tu responsabilidad
  • 11.4.2 Internal penetration testing performed per methodology Tu responsabilidad
  • 11.4.3 External penetration testing performed per methodology Tu responsabilidad
  • 11.4.4 Exploitable vulnerabilities from pentests corrected and retested Tu responsabilidad
  • 11.4.5 Segmentation controls tested by penetration testing Cubierto
  • 11.4.6 Segmentation pentests at least every 6 months (SP only) Cubierto
  • 11.4.7 Multi-tenant SPs support customer external pentests (SP only) Tu responsabilidad

Cómo implementarlo en AWS

Definir una metodología de pentest y contratar equipos calificados. AWS permite pruebas de penetración del cliente sobre servicios permitidos sin aprobación previa (política de pentesting de AWS). Validar la segmentación (11.4.5) mediante pruebas dirigidas. Rastrear la corrección de hallazgos explotables.

Implementación práctica

Cómo se implementa este control en cada arquitectura de referencia:

Realiza pruebas de penetración internas y externas al menos anualmente y tras cambios significativos, y valida que la segmentación realmente aísle el CDE.

  1. Define una metodología de pentest (11.4.1) y contrata un equipo calificado para pruebas internas y externas anuales.
    Programa de pentest
  2. Incluye una prueba de segmentación (11.4.5) que demuestre que las redes fuera de alcance no pueden alcanzar las subredes del CDE; nota que AWS permite pruebas en servicios aprobados sin autorización previa.
    Capas de app/datos (CDE) Amazon VPC
  3. Rastrea los hallazgos explotables hasta su cierre y vuelve a probar.
    Seguimiento de remediación

Cómo validar: Existen reportes de pentest internos/externos vigentes con una prueba de segmentación, y los hallazgos explotables están remediados y re-probados.

Evita: Omitir la prueba de segmentación. 11.4.5 exige específicamente demostrar el aislamiento; un pentest general no basta.

Una sola cuenta, 3 capas →

El pentest valida los límites de segmentación de cuenta/OU de los que depende esta arquitectura; prueba cada cuenta del CDE expuesta a internet y el aislamiento central.

  1. Prueba cada cuenta del CDE expuesta a internet externa e internamente en la cadencia anual.
    Cada cuenta del CDE expuesta a internet
  2. Valida el aislamiento de Transit Gateway / límite de cuenta como la prueba de segmentación (11.4.5), demostrando que las cuentas fuera de alcance no pueden alcanzar el CDE.
    Límite de la OU de PCI Transit Gateway AWS Organizations
  3. Rastrea los hallazgos y los resultados de segmentación de forma central.
    Herramientas de seguridad / almacén de evidencia Amazon S3

Cómo validar: Cada cuenta del CDE expuesta a internet tiene reportes de pentest vigentes, y la prueba de segmentación confirma que los límites de OU/Transit Gateway aíslan el CDE.

Evita: Probar una cuenta y asumir que el resto están aisladas. Valida los límites reales de cuenta/OU de los que depende el diseño.

Multi-cuenta con un OU dedicado a PCI →

Validación PCI

Métodos de comprobación: examineinterview

Procedimientos de prueba

  • Examinar la documentación para verificar que la metodología de pruebas de penetración cubre todos los elementos requeridos (11.4.1).
  • Examinar el alcance y los resultados de las pruebas de penetración internas y externas más recientes (11.4.2.a, 11.4.3.a) y verificar que los hallazgos explotables se corrigieron (11.4.4).
  • Examinar los controles de segmentación y los resultados de la prueba más reciente para verificar que se prueban todos los métodos de segmentación (11.4.5.a, 11.4.5.b).

Evidencia en AWS

  • Metodología de pentest documentada (alineada con 11.4.1).
  • Reportes de pruebas de penetración internas y externas con seguimiento de remediación.
  • Resultados de pruebas de segmentación del CDE.

Enfoque personalizado

Requiere un análisis de riesgo dirigido (Req 12.3.2).

Objetivo del enfoque personalizado

  • 11.4 — Las vulnerabilidades explotables y debilidades de seguridad se identifican mediante pruebas de penetración periódicas y se corrigen; los controles de segmentación, si se usan, se verifican como efectivos.

Servicios AWS

AWS (Customer Penetration Testing Policy)

Recursos de aprendizaje

Referencias

  • PCI DSS v4.0.1 Requirement 11.4