PCI DSS Security Maturity Model·AWS v1.1.0

Arrastra para explorar · pellizca para ampliar
Inicio / Matriz / Requisito 3 / c3.5
Optimized Data ProtectionDominio de seguridad de la perspectiva de seguridad del AWS Cloud Adoption Framework (CAF), usado para organizar los controles. 👤 ClienteModelo de Responsabilidad Compartida de AWS: quién implementa y opera este control. Cliente = es tuyo; AWS = lo opera AWS y tú lo heredas; Compartida = ambos tienen obligaciones.

c3.5 Descubrimiento continuo de datos de cuenta y prevención de fugas

Automatizar el descubrimiento continuo de datos de cuenta en todo el patrimonio de datos para detectar almacenamiento inadvertido de PAN fuera del CDE definido y remediar automáticamente.

Quick Wins
Foundational
Efficient
Optimized
Esfuerzo: Alto Impacto: Medio Aplica al CDE: Sí

Requisito 3

Protect Stored Account Data

Sub-requisitos PCI cubiertosCobertura mostrada por sub-control de PCI DSS v4.0.1. “Cubierto” = atendido por esta recomendación de AWS. “En roadmap” = técnico, planeado. “Tu responsabilidad” = control organizacional/de proceso. “Fuera de alcance” = control físico o de terceros no implementado en AWS.

3.2 Minimización del almacenamiento de datos de cuenta
  • 3.2.1 Account data storage minimized via retention and disposal policy Tu responsabilidad
3.5 El PAN se protege (ilegible) donde se almacena
  • 3.5.1 PAN rendered unreadable wherever stored (hash/truncation/tokenization/encryption) Cubierto

Cómo implementarlo en AWS

Programar escaneos continuos con Amazon Macie sobre S3 y correlacionar hallazgos en Security Hub. Automatizar respuestas (cuarentena, cifrado o eliminación) con EventBridge + Lambda. Extender el descubrimiento a otros repositorios mediante integraciones. Mantener evidencia histórica del inventario de datos de cuenta.

Implementación práctica

Cómo se implementa este control en cada arquitectura de referencia:

Alcanza el estado optimizado: escanea de forma continua datos de cuenta fuera del CDE y auto-remedia el PAN disperso, conservando un inventario histórico como evidencia.

  1. Programa jobs recurrentes de Amazon Macie sobre el S3 de la cuenta para detectar PAN almacenado fuera de la ubicación prevista del CDE.
    Descubrimiento de datos en la cuenta Amazon Macie
  2. Conecta EventBridge + Lambda para actuar automáticamente sobre los hallazgos de Macie, poniendo en cuarentena (política restrictiva) o eliminando el PAN hallado fuera del CDE.
    Automatización de la cuenta EventBridge AWS Lambda
  3. Conserva un historial del inventario de datos de cuenta y de las acciones de remediación como evidencia de cumplimiento.
    Almacén de evidencia de la cuenta Amazon S3

Cómo validar: Los jobs de Macie se ejecutan según lo programado, y un objeto de prueba colocado fuera del CDE dispara cuarentena/eliminación automática con una acción registrada.

Evita: Escanear pero solo alertar. Sin remediación automática, el PAN disperso permanece entre el hallazgo y la respuesta humana; conecta la remediación.

Una sola cuenta, 3 capas →

Opera el descubrimiento continuo y la remediación automática de forma central, para que el PAN disperso en cualquier cuenta se encuentre y se maneje con un único pipeline consistente.

  1. Ejecuta el descubrimiento continuo de Macie desde la cuenta de herramientas de seguridad en todas las cuentas del CDE (y adyacentes).
    Cuenta de herramientas de seguridad → OU de PCI Amazon Macie AWS Organizations
  2. Correlaciona los hallazgos en Security Hub y dispara la remediación automática a través de un bus central de EventBridge, para que cada cuenta se maneje igual.
    Cuenta de herramientas de seguridad Security Hub EventBridge AWS Lambda
  3. Entrega el inventario de descubrimiento y el historial de remediación a la cuenta de log-archive para su retención.
    Cuenta de log-archive Amazon S3

Cómo validar: El Macie del administrador delegado cubre todas las cuentas, Security Hub muestra hallazgos correlacionados, y un objeto de prueba colocado en cualquier cuenta del CDE es auto-remediado por el pipeline central.

Evita: Pipelines de descubrimiento por cuenta con lógica divergente. Centraliza el descubrimiento y la remediación para que la cobertura y la respuesta sean uniformes y auditables.

Multi-cuenta con un OU dedicado a PCI →

Validación PCI

Métodos de comprobación: examineobserve

Procedimientos de prueba

  • Examinar los archivos y registros donde se almacenan datos de cuenta para verificar que el volumen y la retención no exceden la política, y observar que los datos se vuelven irrecuperables al purgarse (3.2.1.b, 3.2.1.c).
  • Examinar los repositorios de datos y los registros de auditoría para verificar que el PAN es ilegible dondequiera que resida (3.5.1.b).

Evidencia en AWS

  • Trabajos programados de Amazon Macie y su historial de hallazgos.
  • Automatizaciones de remediación (EventBridge/Lambda) y su registro de ejecuciones.
  • Inventario histórico de ubicaciones de datos de cuenta.

Enfoque personalizado

Requiere un análisis de riesgo dirigido (Req 12.3.2).

Objetivo del enfoque personalizado

  • 3.2 — Los datos de cuenta se conservan solo donde es necesario y por el menor tiempo requerido, y se eliminan de forma segura o se vuelven irrecuperables cuando ya no se necesitan.
  • 3.5 — El PAN en claro no puede leerse desde los medios de almacenamiento.

Servicios AWS

Amazon Macie AWS Security Hub Amazon EventBridge AWS Lambda

Recursos de aprendizaje

Referencias

  • AWS Security Maturity Model: Sensitive data discovery (automated)