PCI DSS Security Maturity Model·AWS v1.1.0

Arrastra para explorar · pellizca para ampliar
Inicio / Matriz / Requisito 3 / c3.1
Quick Wins Data ProtectionDominio de seguridad de la perspectiva de seguridad del AWS Cloud Adoption Framework (CAF), usado para organizar los controles. 👤 ClienteModelo de Responsabilidad Compartida de AWS: quién implementa y opera este control. Cliente = es tuyo; AWS = lo opera AWS y tú lo heredas; Compartida = ambos tienen obligaciones.

c3.1 Habilitar cifrado en reposo por defecto (EBS, S3, RDS)

Activar el cifrado en reposo por defecto en los servicios de almacenamiento que puedan contener datos de cuenta, dejando el PAN ilegible donde se almacena. Es un quick win de alto impacto habilitable a nivel de cuenta/región.

Quick Wins
Foundational
Efficient
Optimized
Esfuerzo: Bajo Impacto: Alto Aplica al CDE: Sí

Requisito 3

Protect Stored Account Data

Sub-requisitos PCI cubiertosCobertura mostrada por sub-control de PCI DSS v4.0.1. “Cubierto” = atendido por esta recomendación de AWS. “En roadmap” = técnico, planeado. “Tu responsabilidad” = control organizacional/de proceso. “Fuera de alcance” = control físico o de terceros no implementado en AWS.

3.5 El PAN se protege (ilegible) donde se almacena
  • 3.5.1 PAN rendered unreadable wherever stored (hash/truncation/tokenization/encryption) Cubierto

Cómo implementarlo en AWS

Habilitar el cifrado por defecto de EBS a nivel de región. Aplicar cifrado en buckets S3 (SSE-KMS) y bloquear objetos sin cifrar mediante políticas. Habilitar cifrado en RDS/Aurora al crear instancias. Usar AWS KMS con claves administradas por el cliente (CMK) para el CDE. Detectar recursos sin cifrar con AWS Config.

Implementación práctica

Cómo se implementa este control en cada arquitectura de referencia:

Activa el cifrado en reposo por defecto en cada servicio de almacenamiento de la capa de datos, con una clave de KMS gestionada por el cliente y con alcance al CDE, y detecta cualquier cosa sin cifrar.

  1. Habilita el cifrado por defecto de EBS para la Región para que cada nuevo volumen se cifre automáticamente.
    Base de cuenta/Región Amazon EC2 AWS KMS
  2. Activa SSE-KMS en los buckets S3 y las instancias RDS del CDE usando una clave de KMS gestionada por el cliente con alcance al CDE, y añade una política de bucket que deniegue PutObject sin cifrar.
    Capa de datos (CDE) Amazon S3 Amazon RDS AWS KMS
  3. Detecta cualquier volumen, bucket o base de datos sin cifrar con las reglas administradas de AWS Config (encrypted-volumes, rds-storage-encrypted, s3-bucket-server-side-encryption-enabled).
    Detección en toda la cuenta AWS Config

Cómo validar: Las tres reglas de cifrado de Config reportan COMPLIANT, y un PutObject de prueba sin SSE-KMS a un bucket del CDE es denegado por la política del bucket.

Evita: Depender de la clave administrada por AWS por defecto para los datos del CDE. Usa una clave gestionada por el cliente para controlar la política de clave, la rotación y separar a los administradores de clave de los de datos.

Una sola cuenta, 3 capas →

Haz que el cifrado en reposo no sea opcional en toda la OU de PCI con SCPs preventivas más Config detectivo, y mantén las claves por cuenta para aislar el radio de impacto.

  1. Adjunta SCPs a la OU de PCI que denieguen crear volúmenes EBS, instancias RDS y buckets S3 sin cifrar (y denieguen desactivar el cifrado por defecto de EBS).
    OU de PCI (guardarraíl) AWS Organizations
  2. Despliega un conformance pack de Config en toda la organización para que cada cuenta del CDE se evalúe con las mismas reglas de cifrado y se reporte al administrador delegado.
    Cuenta de herramientas de seguridad → OU de PCI AWS Config
  3. Mantén las claves de KMS gestionadas por el cliente por cada cuenta del CDE (sin claves de datos compartidas entre cuentas) para que un compromiso quede contenido.
    Cada cuenta de carga del CDE AWS KMS

Cómo validar: El conformance pack muestra las reglas de cifrado en COMPLIANT en todas las cuentas de la OU de PCI, y una prueba de SCP bloquea crear una instancia RDS sin cifrar en una cuenta del CDE.

Evita: Compartir una sola clave de KMS entre todas las cuentas del CDE por conveniencia. Anula el aislamiento del radio de impacto; define claves por cuenta y otorga su uso mediante la política de clave.

Multi-cuenta con un OU dedicado a PCI →

Validación PCI

Métodos de comprobación: examineobserve

Procedimientos de prueba

  • Examinar la documentación del sistema usado para volver ilegible el PAN (proveedor, tipo, algoritmos) para verificar que el PAN se vuelve ilegible por un método aprobado (3.5.1.a).
  • Examinar los repositorios de datos y los registros de auditoría, incluidos los logs de aplicaciones de pago, para verificar que el PAN es ilegible dondequiera que se almacene (3.5.1.b).
  • Si se usa cifrado a nivel de disco/partición, verificar que el acceso lógico se gestiona de forma independiente de la autenticación del sistema operativo y que el acceso está separado (3.5.1.2, 3.5.1.3).

Evidencia en AWS

  • Configuración de cifrado por defecto de EBS habilitado en la región.
  • Políticas de bucket S3 y cifrado SSE-KMS activo.
  • Reporte de AWS Config de recursos de almacenamiento cifrados (encrypted-volumes, rds-storage-encrypted, s3-bucket-server-side-encryption-enabled).

Enfoque personalizado

Requiere un análisis de riesgo dirigido (Req 12.3.2).

Objetivo del enfoque personalizado

  • 3.5 — El PAN en claro no puede leerse desde los medios de almacenamiento.

Servicios AWS

AWS KMS Amazon EBS Amazon S3 Amazon RDS AWS Config

Recursos de aprendizaje

Referencias

  • AWS Security Maturity Model: Encryption at rest