PCI DSS Security Maturity Model·AWS v1.1.0

Arrastra para explorar · pellizca para ampliar
Inicio / Matriz / Requisito 12 / c12.4
Foundational Security GovernanceDominio de seguridad de la perspectiva de seguridad del AWS Cloud Adoption Framework (CAF), usado para organizar los controles. 👤 ClienteModelo de Responsabilidad Compartida de AWS: quién implementa y opera este control. Cliente = es tuyo; AWS = lo opera AWS y tú lo heredas; Compartida = ambos tienen obligaciones.

c12.4 Programa de concientización en seguridad

Implementar un programa formal de concientización en seguridad para que el personal comprenda su rol en la protección de los datos de cuenta, con actualizaciones ante amenazas emergentes.

Quick Wins
Foundational
Efficient
Optimized
Esfuerzo: Bajo Impacto: Medio Aplica al CDE: No

Requisito 12

Support Information Security with Organizational Policies and Programs

Sub-requisitos PCI cubiertosCobertura mostrada por sub-control de PCI DSS v4.0.1. “Cubierto” = atendido por esta recomendación de AWS. “En roadmap” = técnico, planeado. “Tu responsabilidad” = control organizacional/de proceso. “Fuera de alcance” = control físico o de terceros no implementado en AWS.

12.6 Programa de concientización en seguridad
  • 12.6.1 Security awareness program implemented Tu responsabilidad
  • 12.6.2 Security awareness program reviewed and updated annually Tu responsabilidad
  • 12.6.3 Personnel receive security awareness training Tu responsabilidad
  • 12.6.3.1 Training includes threats/vulnerabilities to the CDE Tu responsabilidad
  • 12.6.3.2 Training includes acceptable use of end-user technologies Tu responsabilidad

Cómo implementarlo en AWS

Establecer capacitación al ingreso y al menos anual, incluyendo phishing e ingeniería social. Mantener registros de asistencia/finalización. Actualizar el contenido ante amenazas emergentes. Reforzar con la protección técnica anti-phishing del Requisito 5.4.

Implementación práctica

Cómo se implementa este control en cada arquitectura de referencia:

Capacita al personal sobre su rol en la protección de los datos de cuenta al contratar y anualmente, y refuérzalo con los controles técnicos anti-phishing del Req 5.4.

  1. Imparte capacitación de concientización de seguridad al contratar y al menos cada 12 meses, incluyendo phishing e ingeniería social.
    Programa de concientización
  2. Conserva registros de asistencia/finalización y un reconocimiento anual de la política.
    Registros de capacitación
  3. Refuerza el control humano con los guardarraíles técnicos anti-phishing del Requisito 5.4 (SPF/DKIM/DMARC, DNS Firewall).
    Controles de correo / DNS Route 53 DNS Firewall Amazon SES

Cómo validar: Los registros de capacitación muestran finalización al contratar + anual, y los controles técnicos anti-phishing de 5.4 están en su lugar.

Evita: Diapositivas una vez al año sin refuerzo. Combina la capacitación con controles técnicos y actualiza el contenido conforme cambian las amenazas.

Una sola cuenta, 3 capas →

La concientización es un control organizacional (no por cuenta): un programa para todo el personal, ligado a los guardarraíles técnicos compartidos.

  1. Ejecuta un solo programa de concientización para todo el personal de la organización.
    Programa de concientización de la organización
  2. Liga los guardarraíles anti-phishing de las cuentas compartidas (del Req 5.4) al programa para que la capacitación y los controles se refuercen mutuamente.
    Cuenta compartida / de red Route 53 DNS Firewall Amazon SES
  3. Conserva los registros de finalización de forma central.
    Registros de capacitación de la organización Amazon S3

Cómo validar: Un solo programa en toda la organización con registros de finalización centrales, respaldado por los guardarraíles anti-phishing compartidos.

Evita: Capacitación separada e inconsistente por equipo/cuenta. Ejecuta un solo programa y mantén registros centrales.

Multi-cuenta con un OU dedicado a PCI →

Validación PCI

Métodos de comprobación: examineinterview

Procedimientos de prueba

  • Examinar el programa de concientización para verificar que educa al personal sobre la política de seguridad y su rol en proteger los datos del titular de la tarjeta (12.6.1).
  • Examinar los registros del programa para verificar que el personal asiste a la capacitación al ingreso y al menos cada 12 meses, y que reconoce la política anualmente (12.6.3.a, 12.6.3.d).

Evidencia en AWS

  • Materiales del programa de concientización y su calendario.
  • Registros de finalización de la capacitación por parte del personal.
  • Actualizaciones de contenido ante nuevas amenazas.

Enfoque personalizado

Requiere un análisis de riesgo dirigido (Req 12.3.2).

Objetivo del enfoque personalizado

  • 12.6 — El personal conoce el panorama de amenazas y su responsabilidad en la operación de los controles de seguridad relevantes.

Servicios AWS

AWS Training and Certification

Recursos de aprendizaje

Referencias

  • PCI DSS v4.0.1 Requirement 12.6