PCI DSS Security Maturity Model·AWS v1.1.0

Arrastra para explorar · pellizca para ampliar
Inicio / Matriz / Requisito 12 / c12.5
Foundational Security GovernanceDominio de seguridad de la perspectiva de seguridad del AWS Cloud Adoption Framework (CAF), usado para organizar los controles. 👤 ClienteModelo de Responsabilidad Compartida de AWS: quién implementa y opera este control. Cliente = es tuyo; AWS = lo opera AWS y tú lo heredas; Compartida = ambos tienen obligaciones.

c12.5 Gestión del riesgo de proveedores de servicio (TPSP) y responsabilidad compartida

Gestionar el riesgo asociado a los proveedores de servicio con acceso a datos de cuenta o que pueden afectar la seguridad del CDE, incluyendo a AWS, con una matriz de responsabilidad compartida clara.

Quick Wins
Foundational
Efficient
Optimized
Esfuerzo: Medio Impacto: Alto Aplica al CDE: Sí

Requisito 12

Support Information Security with Organizational Policies and Programs

Sub-requisitos PCI cubiertosCobertura mostrada por sub-control de PCI DSS v4.0.1. “Cubierto” = atendido por esta recomendación de AWS. “En roadmap” = técnico, planeado. “Tu responsabilidad” = control organizacional/de proceso. “Fuera de alcance” = control físico o de terceros no implementado en AWS.

12.8 Gestión del riesgo asociado a proveedores de servicio (TPSP)
  • 12.8.1 List of third-party service providers (TPSPs) maintained Tu responsabilidad
  • 12.8.2 Written agreements with TPSPs maintained Tu responsabilidad
  • 12.8.3 Process for engaging TPSPs including due diligence Tu responsabilidad
  • 12.8.4 Program to monitor TPSP PCI DSS compliance status Tu responsabilidad
  • 12.8.5 Information about PCI DSS responsibilities managed with TPSPs Tu responsabilidad

Cómo implementarlo en AWS

Mantener una lista de TPSP (incluido AWS) y monitorear su estatus de cumplimiento PCI mediante los AOC obtenidos en AWS Artifact. Documentar por escrito qué requisitos gestiona cada parte (matriz de responsabilidad compartida). Revisar el estatus de cumplimiento de los TPSP al menos anualmente.

Implementación práctica

Cómo se implementa este control en cada arquitectura de referencia:

Rastrea a cada proveedor de servicios de terceros (incluido AWS), monitorea su estado PCI y documenta quién es dueño de cada requisito.

  1. Mantén una lista de TPSP (incluido AWS) con el servicio que cada uno provee.
    Registro de TPSP
  2. Monitorea el cumplimiento PCI de cada TPSP vía sus AOCs, obteniendo el AOC de AWS desde AWS Artifact.
    AWS Artifact / evidencia AWS Artifact
  3. Mantén una matriz de responsabilidad compartida escrita que mapee cada requisito PCI a AWS, la entidad o compartido; revisa anualmente.
    Matriz de responsabilidad compartida

Cómo validar: La lista de TPSP está vigente, el estado PCI de cada proveedor se monitorea (AOC de AWS en archivo), y la matriz de responsabilidad cubre cada requisito.

Evita: Asumir «AWS cumple, así que estamos cubiertos». Documenta exactamente qué requisitos son de AWS vs. tuyos en la matriz de responsabilidad.

Una sola cuenta, 3 capas →

Gestiona la lista de TPSP y los AOCs de AWS una vez a nivel de organización con una sola matriz de responsabilidad para toda la OU de PCI.

  1. Obtén el AOC de AWS una vez vía los acuerdos de organización de AWS Artifact para toda la organización.
    Cuenta de gestión/Artifact (org) AWS Artifact AWS Organizations
  2. Mantén la lista de TPSP y el monitoreo de estado PCI a nivel de organización.
    Registro de TPSP de la organización
  3. Mantén una sola matriz de responsabilidad compartida que aplique a cada cuenta bajo la OU de PCI.
    Matriz de responsabilidad de la organización

Cómo validar: Un solo registro de TPSP, AOC de AWS y matriz de responsabilidad a nivel de organización cubren todas las cuentas de la OU de PCI y se revisan anualmente.

Evita: Un registro/matriz de TPSP separado por cuenta. Gestiónalo una vez a nivel de organización para que nada entre en conflicto ni caduque.

Multi-cuenta con un OU dedicado a PCI →

Validación PCI

Métodos de comprobación: examineinterview

Procedimientos de prueba

  • Examinar la documentación para verificar que se mantiene una lista de todos los TPSP con una descripción de los servicios prestados (12.8.1.b).
  • Examinar la documentación y entrevistar al personal para verificar que el estatus de cumplimiento PCI DSS de cada TPSP se monitorea al menos cada 12 meses (12.8.4.b).
  • Verificar que la entidad mantiene información sobre qué requisitos PCI DSS gestiona cada TPSP, cuáles la entidad y cuáles son compartidos (12.8.5.a, 12.8.5.b).

Evidencia en AWS

  • Lista de TPSP incluyendo AWS y sus AOC obtenidos vía AWS Artifact.
  • Matriz de responsabilidad compartida por requisito PCI.
  • Evidencia de revisión anual del estatus de cumplimiento de los TPSP.

Enfoque personalizado

Requiere un análisis de riesgo dirigido (Req 12.3.2).

Objetivo del enfoque personalizado

  • 12.8 — Se mantienen registros de los proveedores de servicio (TPSP) y los servicios prestados, y se monitorea su estatus de cumplimiento PCI DSS.

Servicios AWS

AWS Artifact

Recursos de aprendizaje

Referencias

  • PCI DSS v4.0.1 Requirement 12.8