PCI DSS Security Maturity Model·AWS v1.1.0

Arrastra para explorar · pellizca para ampliar
Inicio / Matriz / Requisito 12 / c12.6
Efficient Incident ResponseDominio de seguridad de la perspectiva de seguridad del AWS Cloud Adoption Framework (CAF), usado para organizar los controles. 👤 ClienteModelo de Responsabilidad Compartida de AWS: quién implementa y opera este control. Cliente = es tuyo; AWS = lo opera AWS y tú lo heredas; Compartida = ambos tienen obligaciones.

c12.6 Plan de respuesta a incidentes automatizado

Mantener un plan de respuesta a incidentes que permita responder de inmediato ante sospecha o confirmación de un compromiso de datos de cuenta, con capacidades de detección, contención y análisis en AWS.

Quick Wins
Foundational
Efficient
Optimized
Esfuerzo: Alto Impacto: Alto Aplica al CDE: Sí

Requisito 12

Support Information Security with Organizational Policies and Programs

Sub-requisitos PCI cubiertosCobertura mostrada por sub-control de PCI DSS v4.0.1. “Cubierto” = atendido por esta recomendación de AWS. “En roadmap” = técnico, planeado. “Tu responsabilidad” = control organizacional/de proceso. “Fuera de alcance” = control físico o de terceros no implementado en AWS.

12.10 Respuesta inmediata ante sospechas o confirmación de incidentes de seguridad
  • 12.10.1 Incident response plan exists and is ready to activate Tu responsabilidad
  • 12.10.2 Incident response plan reviewed and tested at least annually Tu responsabilidad
  • 12.10.3 Specific personnel available 24/7 to respond to incidents Tu responsabilidad
  • 12.10.4 Personnel responsible for incident response trained Tu responsabilidad
  • 12.10.4.1 Frequency of IR training defined by targeted risk analysis Tu responsabilidad
  • 12.10.5 IR plan includes monitoring/responding to security control alerts Cubierto
  • 12.10.6 IR plan modified/evolved per lessons learned Tu responsabilidad
  • 12.10.7 IR procedures for unexpected stored PAN detection Cubierto

Cómo implementarlo en AWS

Documentar el plan de respuesta (roles, comunicación, escalamiento) y probarlo al menos anualmente. Orquestar playbooks con EventBridge, Lambda y Step Functions a partir de hallazgos de Security Hub/GuardDuty. Preparar capacidades forenses (Amazon Detective, snapshots aislados). Realizar ejercicios de simulación (game days).

Implementación práctica

Cómo se implementa este control en cada arquitectura de referencia:

Mantén un plan de respuesta a incidentes probado con capacidades automatizadas de detección, contención y forense.

  1. Documenta el plan de IR (roles, comunicación, escalamiento, cobertura 24/7) y pruébalo al menos anualmente.
    Plan de IR
  2. Orquesta playbooks de respuesta con EventBridge, Lambda y Step Functions disparados por hallazgos de GuardDuty/Security Hub.
    Automatización de la cuenta EventBridge AWS Lambda Step Functions GuardDuty
  3. Prepara capacidades forenses (Amazon Detective, snapshots aislados) y ejecuta ejercicios de simulación (game days).
    Toda la cuenta Amazon Detective

Cómo validar: El plan de IR existe con todos los elementos requeridos, se probó en los últimos 12 meses, y hay playbooks automatizados más forense con Detective.

Evita: Un plan en papel nunca ejercitado. Pruébalo anualmente con game days para que la automatización y los roles funcionen bajo presión.

Una sola cuenta, 3 capas →

Ejecuta la respuesta a incidentes desde la cuenta de herramientas de seguridad con alcance entre cuentas para contener e investigar en cualquier cuenta del CDE.

  1. Opera la IR desde la cuenta de herramientas de seguridad a partir del flujo de hallazgos de GuardDuty/Security Hub de toda la organización.
    Cuenta de herramientas de seguridad GuardDuty Security Hub
  2. Usa roles entre cuentas con alcance limitado para que los responders puedan contener e investigar en cualquier cuenta del CDE, con playbooks en EventBridge/Lambda/Step Functions.
    Cuenta de herramientas de seguridad → cuentas del CDE EventBridge AWS Lambda Step Functions
  3. Ejecuta forense (Amazon Detective sobre los datos centrales) y prueba el plan en toda la organización con game days.
    Cuenta de herramientas de seguridad Amazon Detective

Cómo validar: La IR opera en toda la organización desde la cuenta de seguridad, la contención entre cuentas funciona en una prueba de game day, y Detective cubre los datos centrales.

Evita: Una configuración de IR separada por cuenta. Centraliza con roles entre cuentas para que la respuesta sea rápida y consistente en todas partes.

Multi-cuenta con un OU dedicado a PCI →

Validación PCI

Métodos de comprobación: examineinterviewobserve

Procedimientos de prueba

  • Examinar el plan de respuesta a incidentes para verificar que existe e incluye todos los elementos requeridos, y revisar incidentes previos para confirmar que se siguió el plan (12.10.1.a, 12.10.1.b).
  • Entrevistar al personal y revisar la documentación para verificar que el plan se revisa/actualiza y prueba al menos cada 12 meses (12.10.2), que hay personal designado disponible 24/7 (12.10.3) y que se cubre el monitoreo/respuesta a alertas (12.10.5).

Evidencia en AWS

  • Plan de respuesta a incidentes documentado y evidencia de su prueba anual.
  • Playbooks automatizados (EventBridge/Lambda/Step Functions) y su historial.
  • Capacidades forenses habilitadas (Amazon Detective) y registros de game days.

Enfoque personalizado

Requiere un análisis de riesgo dirigido (Req 12.3.2).

Objetivo del enfoque personalizado

  • 12.10 — Los incidentes de seguridad sospechados y confirmados que puedan afectar al CDE se responden de inmediato conforme a un plan de respuesta a incidentes mantenido y probado.

Servicios AWS

AWS Security Hub Amazon GuardDuty Amazon Detective AWS Step Functions Amazon EventBridge

Recursos de aprendizaje

Referencias

  • AWS Security Maturity Model: Incident response playbooks, Simulations
  • PCI DSS v4.0.1 Requirement 12.10