PCI DSS Security Maturity Model·AWS v1.1.0

Arrastra para explorar · pellizca para ampliar
Inicio / Matriz / Requisito 3 / c3.3
Foundational Application SecurityDominio de seguridad de la perspectiva de seguridad del AWS Cloud Adoption Framework (CAF), usado para organizar los controles. 👤 ClienteModelo de Responsabilidad Compartida de AWS: quién implementa y opera este control. Cliente = es tuyo; AWS = lo opera AWS y tú lo heredas; Compartida = ambos tienen obligaciones.

c3.3 Enmascarar el PAN al mostrarse

Enmascarar el PAN al presentarlo, mostrando como máximo los primeros seis y los últimos cuatro dígitos, de modo que solo el personal con necesidad legítima de negocio pueda ver más.

Quick Wins
Foundational
Efficient
Optimized
Esfuerzo: Medio Impacto: Medio Aplica al CDE: Sí

Requisito 3

Protect Stored Account Data

Sub-requisitos PCI cubiertosCobertura mostrada por sub-control de PCI DSS v4.0.1. “Cubierto” = atendido por esta recomendación de AWS. “En roadmap” = técnico, planeado. “Tu responsabilidad” = control organizacional/de proceso. “Fuera de alcance” = control físico o de terceros no implementado en AWS.

3.4 Enmascaramiento del PAN al mostrarse
  • 3.4.1 PAN masked when displayed (max BIN + last four) Cubierto
  • 3.4.2 Technical controls prevent copy/relocation of PAN on remote access En roadmap

Cómo implementarlo en AWS

Implementar el enmascaramiento en la capa de aplicación y API. Usar tokenización cuando sea posible para que las aplicaciones downstream nunca manejen el PAN completo. Registrar y controlar por IAM/aplicación quién tiene necesidad de ver el PAN completo.

Implementación práctica

Cómo se implementa este control en cada arquitectura de referencia:

Muestra como máximo BIN + últimos cuatro por defecto, restringe la vista del PAN completo a los pocos roles que lo necesitan y prefiere la tokenización para que la mayoría de servicios nunca toquen el PAN completo.

  1. Implementa el enmascaramiento del PAN en la capa de aplicación y expón solo el PAN enmascarado por la capa de API (p. ej. transformando en Lambda / API Gateway).
    Capa de app (CDE) AWS Lambda API Gateway
  2. Restringe a los pocos operadores que pueden ver el PAN completo con roles IAM dedicados, y registra esos accesos.
    Capa de app (CDE) IAM
  3. Prefiere la tokenización para que los servicios y la analítica aguas abajo manejen un token, nunca el PAN completo.
    Capa de app (CDE)

Cómo validar: Las pantallas/recibos muestran el PAN enmascarado, y solo los roles documentados pueden recuperar el PAN completo (verificado con una revisión de política IAM y una prueba de acceso).

Evita: Enmascarar solo en la interfaz mientras la API sigue devolviendo el PAN completo. Enmascara en la capa de datos/API para que una llamada directa a la API no exponga el PAN completo.

Una sola cuenta, 3 capas →

Aplica el mismo patrón de enmascaramiento/tokenización en cada cuenta del CDE y, donde la tokenización sea compartida, aíslala en su propia cuenta con acceso entre cuentas restringido.

  1. Aplica el patrón de enmascaramiento en la API y de restricción por rol de forma consistente en cada cuenta de carga del CDE.
    Cada cuenta de carga del CDE AWS Lambda API Gateway IAM
  2. Donde un servicio de tokenización sea compartido, hospédalo en una cuenta dedicada y otorga acceso entre cuentas de forma restringida mediante roles IAM.
    Cuenta de tokenización dedicada IAM
  3. Aplica un perímetro de datos (SCP / políticas de recursos) para que el PAN completo no pueda copiarse a cuentas fuera del límite aprobado.
    OU de PCI (guardarraíl) AWS Organizations

Cómo validar: Cada cuenta del CDE muestra el PAN enmascarado, y la política de perímetro de datos bloquea una copia de prueba de datos con PAN completo a una cuenta fuera de alcance.

Evita: Duplicar un almacén de PAN completo en cada cuenta por conveniencia. Centraliza la tokenización y comparte tokens, no PAN, entre cuentas.

Multi-cuenta con un OU dedicado a PCI →

Validación PCI

Métodos de comprobación: examineobserve

Procedimientos de prueba

  • Examinar las políticas documentadas para verificar que los roles que necesitan ver más que el BIN y los últimos cuatro dígitos están listados con una necesidad de negocio legítima (3.4.1.a).
  • Examinar las configuraciones del sistema para verificar que el PAN completo solo se muestra a roles con necesidad de negocio documentada y se enmascara para los demás (3.4.1.b).
  • Examinar las visualizaciones reales del PAN (pantalla, recibos) para verificar que el PAN está enmascarado y que solo los roles autorizados ven más que BIN/últimos cuatro (3.4.1.c).

Evidencia en AWS

  • Capturas/configuración de la aplicación mostrando el PAN enmascarado.
  • Políticas IAM/roles de aplicación que limitan el acceso a la vista completa del PAN.
  • Definición de la lógica de enmascaramiento en Lambda/API Gateway.

Enfoque personalizado

Requiere un análisis de riesgo dirigido (Req 12.3.2).

Objetivo del enfoque personalizado

  • 3.4 — El PAN no puede ser visto por nadie sin una necesidad legítima de negocio de ver el PAN completo, ni puede ser copiado o reubicado por personal no autorizado mediante tecnologías de acceso remoto.

Servicios AWS

AWS Lambda Amazon API Gateway AWS IAM

Recursos de aprendizaje

Referencias

  • PCI DSS v4.0.1 Requirement 3.4