PCI DSS Security Maturity Model·AWS v1.1.0

Arrastra para explorar · pellizca para ampliar
Inicio / Matriz / Requisito 12 / c12.1
Quick Wins Security GovernanceDominio de seguridad de la perspectiva de seguridad del AWS Cloud Adoption Framework (CAF), usado para organizar los controles. 👤 ClienteModelo de Responsabilidad Compartida de AWS: quién implementa y opera este control. Cliente = es tuyo; AWS = lo opera AWS y tú lo heredas; Compartida = ambos tienen obligaciones.

c12.1 Definir el alcance del CDE y mantener el inventario con AWS Config

Documentar y validar el alcance del PCI DSS manteniendo un inventario preciso de los componentes del sistema en el CDE, actualizado ante cambios.

Quick Wins
Foundational
Efficient
Optimized
Esfuerzo: Bajo Impacto: Alto Aplica al CDE: Sí

Requisito 12

Support Information Security with Organizational Policies and Programs

Sub-requisitos PCI cubiertosCobertura mostrada por sub-control de PCI DSS v4.0.1. “Cubierto” = atendido por esta recomendación de AWS. “En roadmap” = técnico, planeado. “Tu responsabilidad” = control organizacional/de proceso. “Fuera de alcance” = control físico o de terceros no implementado en AWS.

12.5 Documentación y validación del alcance del PCI DSS
  • 12.5.1 Inventory of system components in scope maintained Cubierto
  • 12.5.2 PCI DSS scope documented and confirmed at least annually Tu responsabilidad
  • 12.5.2.1 Scope confirmed every 6 months for service providers (SP only) Tu responsabilidad
  • 12.5.3 Org structure changes trigger scope review (SP only) Tu responsabilidad

Cómo implementarlo en AWS

Habilitar AWS Config para inventariar recursos de forma continua. Etiquetar los recursos del CDE con una estrategia de tags consistente y aplicarla con tag policies de Organizations. Generar el inventario de componentes en alcance a partir de Config. Revisar el alcance al menos anualmente y ante cambios significativos.

Implementación práctica

Cómo se implementa este control en cada arquitectura de referencia:

Mantén un inventario preciso y siempre vigente de los componentes en alcance para que el alcance PCI sea conocido y defendible.

  1. Habilita AWS Config para inventariar los recursos de forma continua en la cuenta.
    Detección en toda la cuenta AWS Config
  2. Etiqueta los recursos del CDE con una estrategia de etiquetado consistente y genera el inventario en alcance filtrando Config por esas etiquetas.
    Todos los recursos del CDE AWS Config
  3. Revisa el alcance al menos anualmente y tras cambios significativos, registrando la fecha de revisión.
    Documentación de alcance

Cómo validar: Config produce un inventario vigente etiquetado del CDE, y el documento de alcance muestra una revisión dentro de los últimos 12 meses.

Evita: Un inventario mantenido a mano en una hoja de cálculo. Se desvía; deriva el inventario de Config para que se mantenga preciso automáticamente.

Una sola cuenta, 3 capas →

Deriva el inventario en alcance en toda la organización desde un agregador de Config, con el etiquetado impuesto por política.

  1. Agrega el inventario de recursos en la OU de PCI con un agregador de Config en la cuenta de herramientas de seguridad.
    Cuenta de herramientas de seguridad → OU de PCI AWS Config AWS Organizations
  2. Impone la estrategia de etiquetado del CDE con tag policies de Organizations para que el etiquetado sea consistente en todas partes.
    OU de PCI (guardarraíl) AWS Organizations
  3. Deriva y revisa el inventario en alcance en toda la organización al menos anualmente.
    Cuenta de herramientas de seguridad AWS Config

Cómo validar: El agregador de Config lista los recursos del CDE en todas las cuentas, las tag policies imponen el esquema, y la revisión de alcance en toda la organización está vigente.

Evita: Inventariar cada cuenta por separado. Agrega con un agregador de Config para que el alcance sea completo y consistente.

Multi-cuenta con un OU dedicado a PCI →

Validación PCI

Métodos de comprobación: examineinterview

Procedimientos de prueba

  • Examinar el inventario para verificar que incluye todos los componentes del sistema en alcance con una descripción de función/uso, y entrevistar al personal para confirmar que se mantiene actualizado (12.5.1.a, 12.5.1.b).
  • Examinar los resultados documentados de las revisiones de alcance y entrevistar al personal para verificar que el alcance se confirma al menos cada 12 meses y tras cambios significativos (12.5.2.a, 12.5.2.b).

Evidencia en AWS

  • Inventario de recursos de AWS Config filtrado por tags del CDE.
  • Tag policies de Organizations aplicadas al CDE.
  • Documento de alcance PCI con fecha de última revisión (<= 12 meses).

Enfoque personalizado

Requiere un análisis de riesgo dirigido (Req 12.3.2).

Objetivo del enfoque personalizado

  • 12.5 — Todos los componentes del sistema dentro del alcance de PCI DSS están identificados y son conocidos.

Servicios AWS

AWS Config AWS Organizations AWS Resource Groups

Recursos de aprendizaje

Referencias

  • AWS Security Maturity Model: Define scope, Inventory
  • PCI DSS v4.0.1 Requirement 12.5