PCI DSS Security Maturity Model·AWS v1.1.0

Arrastra para explorar · pellizca para ampliar
Inicio / Matriz / Requisito 12 / c12.2
Quick Wins Security GovernanceDominio de seguridad de la perspectiva de seguridad del AWS Cloud Adoption Framework (CAF), usado para organizar los controles. 👤 ClienteModelo de Responsabilidad Compartida de AWS: quién implementa y opera este control. Cliente = es tuyo; AWS = lo opera AWS y tú lo heredas; Compartida = ambos tienen obligaciones.

c12.2 Establecer políticas de seguridad y de uso aceptable

Establecer, publicar y mantener una política integral de seguridad de la información y políticas de uso aceptable de las tecnologías, revisadas al menos anualmente.

Quick Wins
Foundational
Efficient
Optimized
Esfuerzo: Bajo Impacto: Medio Aplica al CDE: No

Requisito 12

Support Information Security with Organizational Policies and Programs

Sub-requisitos PCI cubiertosCobertura mostrada por sub-control de PCI DSS v4.0.1. “Cubierto” = atendido por esta recomendación de AWS. “En roadmap” = técnico, planeado. “Tu responsabilidad” = control organizacional/de proceso. “Fuera de alcance” = control físico o de terceros no implementado en AWS.

12.1 Política integral de seguridad de la información establecida y mantenida
  • 12.1.1 Information security policy established, published, maintained Tu responsabilidad
  • 12.1.2 Information security policy reviewed at least annually Tu responsabilidad
  • 12.1.3 Security policy defines roles and responsibilities Tu responsabilidad
  • 12.1.4 Responsibility for information security formally assigned to a CISO Tu responsabilidad
12.2 Políticas de uso aceptable de tecnologías
  • 12.2.1 Acceptable use policies for end-user technologies defined Tu responsabilidad

Cómo implementarlo en AWS

Documentar las políticas de seguridad y de uso aceptable y publicarlas al personal. Codificar los controles técnicos que respaldan la política como guardrails (SCPs, Config rules) para que la intención de la política se aplique técnicamente. Revisar y actualizar las políticas al menos cada 12 meses.

Implementación práctica

Cómo se implementa este control en cada arquitectura de referencia:

Escribe y publica las políticas de seguridad y de uso aceptable, y haz que su intención sea técnicamente exigible en lugar de aspiracional.

  1. Documenta la política de seguridad de la información y las políticas de uso aceptable y publícalas al personal.
    Documentación de gobernanza
  2. Respalda la política con guardarraíles técnicos (reglas de Config, políticas IAM) para que la intención se aplique, no solo se escriba.
    Toda la cuenta AWS Config IAM
  3. Revisa y actualiza las políticas al menos cada 12 meses.
    Documentación de gobernanza

Cómo validar: Las políticas existen, están publicadas, revisadas dentro de 12 meses, y se reflejan en controles de Config/IAM que las hacen cumplir.

Evita: Un PDF de política sin respaldo técnico. Codifica la intención como guardarraíles para que se aplique de verdad.

Una sola cuenta, 3 capas →

Codifica la intención de la política como guardarraíles de toda la organización para que la política escrita sea técnicamente exigible en cada cuenta.

  1. Publica las políticas de seguridad y uso aceptable a nivel de organización una vez para todo el personal.
    Documentación de gobernanza de la organización
  2. Aplica la política con SCPs en la OU de PCI más conformance packs de Config en toda la organización.
    OU de PCI (guardarraíl) AWS Organizations AWS Config
  3. Revisa y actualiza políticas y guardarraíles al menos anualmente.
    Gobernanza de la organización

Cómo validar: Las SCPs y los conformance packs implementan la política escrita en todas las cuentas, y la revisión de la política está vigente.

Evita: Políticas que cada cuenta interpreta distinto. Codifícalas como SCPs/conformance packs de toda la organización para una aplicación uniforme.

Multi-cuenta con un OU dedicado a PCI →

Validación PCI

Métodos de comprobación: examineinterview

Procedimientos de prueba

  • Examinar la política de seguridad de la información y entrevistar al personal para verificar que está establecida, publicada, mantenida y revisada al menos cada 12 meses (12.1.1, 12.1.2).
  • Examinar las políticas de uso aceptable de las tecnologías de usuario final y entrevistar al personal para verificar que están documentadas e implementadas conforme al requisito (12.2.1).

Evidencia en AWS

  • Documentos de política de seguridad y de uso aceptable con historial de revisión anual.
  • Guardrails técnicos (SCPs/Config rules) que reflejan la política.
  • Evidencia de comunicación de las políticas al personal.

Enfoque personalizado

Requiere un análisis de riesgo dirigido (Req 12.3.2).

Objetivo del enfoque personalizado

  • 12.1 — Los objetivos y principios estratégicos de la seguridad de la información están definidos, adoptados y son conocidos por todo el personal.
  • 12.2 — El uso de las tecnologías de usuario final está definido y gestionado para asegurar un uso autorizado.

Servicios AWS

AWS Organizations AWS Config

Recursos de aprendizaje

Referencias

  • PCI DSS v4.0.1 Requirements 12.1, 12.2