c12.3 Formalizar la gestión de riesgos (análisis de riesgo dirigido)
Realizar los análisis de riesgo dirigidos (targeted risk analysis) que la v4.0.1 exige para respaldar la frecuencia de ciertos controles y la gestión de riesgos de la organización.
Requisito 12
Support Information Security with Organizational Policies and Programs
Sub-requisitos PCI cubiertosCobertura mostrada por sub-control de PCI DSS v4.0.1. “Cubierto” = atendido por esta recomendación de AWS. “En roadmap” = técnico, planeado. “Tu responsabilidad” = control organizacional/de proceso. “Fuera de alcance” = control físico o de terceros no implementado en AWS.
12.3 Gestión de riesgos
- 12.3.1 Targeted risk analyses documented for flexible requirements Tu responsabilidad
- 12.3.2 Targeted risk analysis for customized-approach requirements Tu responsabilidad
- 12.3.3 Cryptographic cipher suites and protocols inventoried and reviewed Cubierto
- 12.3.4 Hardware/software technologies reviewed for continued support Tu responsabilidad
Cómo implementarlo en AWS
Establecer un proceso de targeted risk analysis para los requisitos que lo permiten. Apoyar la identificación de riesgos con la postura observada en Security Hub y AWS Config. Documentar los análisis, su periodicidad y las decisiones derivadas. Revisar al menos cada 12 meses.
Implementación práctica
Cómo se implementa este control en cada arquitectura de referencia:
Ejecuta los análisis de riesgo dirigidos que exige v4.0.1, fundamentados en la postura de seguridad real que puedes observar.
- Establece un proceso de análisis de riesgo dirigido (TRA) para cada requisito que permita una frecuencia basada en riesgo (12.3.1).
- Fundamenta los análisis en la postura observada en Security Hub y AWS Config en lugar de conjeturas.Detección en toda la cuenta
Security Hub 
AWS Config - Documenta cada TRA, su periodicidad y las decisiones resultantes; revisa al menos cada 12 meses.
Cómo validar: Existen TRAs documentados para los requisitos elegibles, referencian entradas de postura, y muestran revisión dentro de 12 meses.
Evita: Elegir frecuencias de control de forma arbitraria. v4.0.1 quiere un análisis documentado y basado en riesgo detrás de cada frecuencia personalizable.
Alimenta los análisis de riesgo con la postura de toda la organización para que las decisiones reflejen el estado de todas las cuentas del CDE, no solo una.
- Agrega la postura de los agregadores de Security Hub / Config en la OU de PCI como entradas del TRA.Cuenta de herramientas de seguridad Security Hub AWS Config
AWS Organizations - Ejecuta los TRAs una vez a nivel de organización donde el riesgo es común a todas las cuentas del CDE.
- Documenta las decisiones y revisa al menos anualmente.
Cómo validar: Los TRAs referencian la postura de toda la organización y cubren todas las cuentas del CDE, con decisiones documentadas revisadas dentro de 12 meses.
Evita: Basar decisiones de riesgo de toda la organización en la postura de una cuenta. Usa la vista agregada para que el análisis refleje la realidad.
Validación PCI
Procedimientos de prueba
- Examinar las políticas documentadas para verificar que hay un proceso definido para realizar un análisis de riesgo dirigido por cada requisito que lo permita, cubriendo todos los elementos requeridos (12.3.1).
- Examinar la documentación de las suites/protocolos criptográficos y de las tecnologías de hardware/software en uso y entrevistar al personal para verificar la revisión periódica (12.3.3, 12.3.4).
Evidencia en AWS
- Documentos de targeted risk analysis con periodicidad y decisiones.
- Insumos de postura de riesgo de Security Hub/Config referenciados.
- Evidencia de revisión al menos cada 12 meses.
Enfoque personalizado
Requiere un análisis de riesgo dirigido (Req 12.3.2).
Objetivo del enfoque personalizado
- 12.3 — Se mantiene un conocimiento y una evaluación actualizados de los riesgos al CDE.
Servicios AWS
AWS Security Hub AWS Config Recursos de aprendizaje
Referencias
- PCI DSS v4.0.1 Requirement 12.3