PCI DSS Security Maturity Model·AWS v1.1.0

Arrastra para explorar · pellizca para ampliar
Inicio / Matriz / Requisito 3 / c3.2
Foundational Data ProtectionDominio de seguridad de la perspectiva de seguridad del AWS Cloud Adoption Framework (CAF), usado para organizar los controles. 👤 ClienteModelo de Responsabilidad Compartida de AWS: quién implementa y opera este control. Cliente = es tuyo; AWS = lo opera AWS y tú lo heredas; Compartida = ambos tienen obligaciones.

c3.2 Minimizar el almacenamiento de datos de cuenta y no retener SAD

Reducir al mínimo los datos de cuenta almacenados aplicando políticas de retención y purga, y asegurar que los datos sensibles de autenticación (SAD) no se retienen tras la autorización.

Quick Wins
Foundational
Efficient
Optimized
Esfuerzo: Medio Impacto: Alto Aplica al CDE: Sí

Requisito 3

Protect Stored Account Data

Sub-requisitos PCI cubiertosCobertura mostrada por sub-control de PCI DSS v4.0.1. “Cubierto” = atendido por esta recomendación de AWS. “En roadmap” = técnico, planeado. “Tu responsabilidad” = control organizacional/de proceso. “Fuera de alcance” = control físico o de terceros no implementado en AWS.

3.2 Minimización del almacenamiento de datos de cuenta
  • 3.2.1 Account data storage minimized via retention and disposal policy Tu responsabilidad
3.3 No almacenar datos sensibles de autenticación (SAD) tras la autorización
  • 3.3.1 SAD not stored after authorization, even if encrypted Cubierto
  • 3.3.2 SAD stored before authorization is encrypted with strong crypto Cubierto
  • 3.3.3 Issuer SAD storage: minimal, encrypted, justified (issuers only) Cubierto

Cómo implementarlo en AWS

Definir políticas de retención con S3 Lifecycle y TTL en DynamoDB para purgar datos de cuenta cuando ya no se necesiten. Evitar almacenar SAD (pista completa, CVV, PIN). Descubrir almacenamiento inadvertido de datos de cuenta con Amazon Macie. Documentar la justificación de negocio, periodo de retención y proceso de eliminación segura.

Implementación práctica

Cómo se implementa este control en cada arquitectura de referencia:

Almacena la menor cantidad de datos de cuenta por el menor tiempo, purgándolos automáticamente, y demuestra que los datos sensibles de autenticación (SAD) nunca se retienen tras la autorización.

  1. Aplica reglas de S3 Lifecycle y TTL de DynamoDB en la capa de datos para que los datos de cuenta se purguen automáticamente al pasar su ventana de retención documentada.
    Capa de datos (CDE) Amazon S3 DynamoDB
  2. Ejecuta Amazon Macie en la cuenta para confirmar que no se almacenan SAD (track completo, CVV, PIN) ni PAN fuera de la ubicación prevista.
    Descubrimiento de datos en la cuenta Amazon Macie
  3. Documenta el periodo de retención, la justificación de negocio y el método de eliminación segura como el artefacto de política que examina el evaluador.
    Política de retención de datos

Cómo validar: Las políticas de Lifecycle/TTL están activas en los almacenes del CDE, y un job actual de Macie no reporta SAD y ubica el PAN solo en el lugar aprobado.

Evita: Guardar datos de cuenta «por si acaso». Cada copia extra amplía el alcance y el riesgo; retén solo lo que exige una necesidad de negocio documentada y purga el resto.

Una sola cuenta, 3 capas →

Descubre datos de cuenta de forma central en cada cuenta del CDE y aplica la retención como código, para que la minimización y el no-SAD sean consistentes en toda la organización.

  1. Habilita Amazon Macie desde el administrador delegado en la cuenta de herramientas de seguridad para escanear S3 en todas las cuentas del CDE desde un solo lugar.
    Cuenta de herramientas de seguridad → OU de PCI Amazon Macie AWS Organizations
  2. Despliega las políticas de retención (S3 Lifecycle / TTL de DynamoDB) como código en cada cuenta del CDE para que el comportamiento de purga sea idéntico en todas.
    Cada cuenta de carga del CDE Amazon S3 DynamoDB CloudFormation
  3. Centraliza los hallazgos de retención y descubrimiento en Security Hub para una única vista de cumplimiento.
    Cuenta de herramientas de seguridad Security Hub

Cómo validar: El Macie del administrador delegado no muestra SAD entre cuentas, y cada cuenta del CDE tiene la política de retención desplegada con su historial de purga correspondiente.

Evita: Ejecutar Macie de forma puntual por cuenta. Centraliza el descubrimiento desde el administrador delegado para que la cobertura sea completa y los hallazgos comparables.

Multi-cuenta con un OU dedicado a PCI →

Validación PCI

Métodos de comprobación: examineobserveinterview

Procedimientos de prueba

  • Examinar las políticas de retención y eliminación y entrevistar al personal para verificar que los procesos limitan el almacenamiento y la retención de datos de cuenta a lo necesario por negocio/legal/regulatorio (3.2.1.a); examinar registros para confirmar que el volumen y la retención no exceden la política (3.2.1.b).
  • Observar los mecanismos usados para volver irrecuperables los datos de cuenta (3.2.1.c).
  • Si se recibe SAD, examinar políticas, procedimientos y configuraciones para verificar que el SAD no se almacena tras la autorización y se vuelve irrecuperable (3.3.1.a, 3.3.1.b).

Evidencia en AWS

  • Políticas de S3 Lifecycle / TTL de DynamoDB configuradas para purga.
  • Hallazgos de Amazon Macie confirmando ausencia de SAD y ubicación controlada del PAN.
  • Política documentada de retención y eliminación de datos de cuenta.

Enfoque personalizado

Requiere un análisis de riesgo dirigido (Req 12.3.2).

Objetivo del enfoque personalizado

  • 3.2 — Los datos de cuenta se conservan solo donde es necesario y por el menor tiempo requerido, y se eliminan de forma segura o se vuelven irrecuperables cuando ya no se necesitan.

Servicios AWS

Amazon Macie Amazon S3 Amazon DynamoDB AWS Config

Recursos de aprendizaje

Referencias

  • AWS Security Maturity Model: Sensitive data discovery