PCI DSS Security Maturity Model·AWS v1.1.0

Arrastra para explorar · pellizca para ampliar
Inicio / Matriz / Requisito 3 / c3.6
Foundational Data ProtectionDominio de seguridad de la perspectiva de seguridad del AWS Cloud Adoption Framework (CAF), usado para organizar los controles. 🤝 CompartidaModelo de Responsabilidad Compartida de AWS: quién implementa y opera este control. Cliente = es tuyo; AWS = lo opera AWS y tú lo heredas; Compartida = ambos tienen obligaciones.

c3.6 Gestiona el ciclo de vida de las claves criptográficas con AWS KMS

Genera, rota y retira las claves que protegen los datos de cuenta almacenados usando AWS KMS para que la gestión de claves cumpla los requisitos de ciclo de vida de claves de PCI DSS.

Quick Wins
Foundational
Efficient
Optimized
Esfuerzo: Medio Impacto: Alto Aplica al CDE: Sí

Requisito 3

Protect Stored Account Data

Sub-requisitos PCI cubiertosCobertura mostrada por sub-control de PCI DSS v4.0.1. “Cubierto” = atendido por esta recomendación de AWS. “En roadmap” = técnico, planeado. “Tu responsabilidad” = control organizacional/de proceso. “Fuera de alcance” = control físico o de terceros no implementado en AWS.

3.6 Protección de las claves criptográficas usadas para proteger datos de cuenta almacenados
  • 3.6.1 Procedures to protect cryptographic keys against disclosure/misuse Cubierto
3.7 Gestión del ciclo de vida de las claves criptográficas
  • 3.7.1 Key-management: generation of strong keys Cubierto
  • 3.7.2 Key-management: secure distribution of keys Cubierto
  • 3.7.3 Key-management: secure storage of keys Cubierto
  • 3.7.4 Key-management: key changes at cryptoperiod end Cubierto
  • 3.7.5 Key-management: retirement/replacement/destruction of keys Cubierto
  • 3.7.6 Manual cleartext key operations use split knowledge/dual control Tu responsabilidad
  • 3.7.7 Prevention of unauthorized substitution of keys Cubierto
  • 3.7.8 Key custodians formally acknowledge responsibilities Tu responsabilidad
  • 3.7.9 SP shares keys with customers with documented guidance (SP only) Tu responsabilidad

Cómo implementarlo en AWS

Usa claves administradas por el cliente (CMK) de AWS KMS para proteger los datos de cuenta almacenados. Habilita la rotación automática anual y realiza rotación bajo demanda cuando sea necesario. Restringe la administración y el uso de las claves con políticas de clave y grants (separadas de los roles de datos). Programa la eliminación de claves con un periodo de espera para su retiro/reemplazo. Usa CloudHSM cuando se requiera custodia FIPS 140-2 Nivel 3.

Implementación práctica

Cómo se implementa este control en cada arquitectura de referencia:

Usa CMK de KMS con rotación y políticas de clave de mínimo privilegio para todos los datos de cuenta almacenados.

  1. Crea claves KMS administradas por el cliente para los almacenes de datos de cuenta y habilita la rotación automática de claves.
    Capa de datos (CDE) AWS KMS
  2. Restringe la administración y el uso de las claves mediante políticas de clave/grants, separando a los administradores de claves de los usuarios de datos.
    Capa de datos (CDE) AWS KMS IAM
  3. Retira o reemplaza las claves mediante eliminación programada con un periodo de espera; documenta los criptoperiodos.
    Capa de datos (CDE) AWS KMS

Cómo validar: Las claves KMS que protegen los datos de cuenta tienen la rotación habilitada, políticas de clave acotadas y un proceso de retiro definido.

Evita: Usar una única clave de larga vida para siempre, sin rotación ni separación de funciones.

Una sola cuenta, 3 capas →

Centraliza el gobierno de claves y haz cumplir la rotación en toda la organización.

  1. Aprovisiona CMK por workload/cuenta con rotación automática; compártelas mediante políticas de clave donde se necesite acceso entre cuentas.
    Cuentas de datos (CDE) AWS KMS AWS Organizations
  2. Haz cumplir la rotación y las líneas base de políticas de clave con reglas de Config / conformance packs.
    Todas las cuentas AWS Config
  3. Usa CloudHSM para las claves que requieran custodia FIPS 140-2 Nivel 3.
    Cuenta de cripto dedicada CloudHSM

Cómo validar: Config reporta la rotación habilitada y las políticas de clave en conformidad en todas las cuentas; el retiro se gestiona mediante eliminación programada.

Evita: Gestión de claves ad-hoc por cuenta, sin aplicación de la rotación a nivel de organización.

Multi-cuenta con un OU dedicado a PCI →

Validación PCI

Métodos de comprobación: examineobserve

Procedimientos de prueba

  • Examinar las configuraciones y políticas de claves KMS para verificar la generación de claves, la rotación al final del criptoperiodo y el retiro/reemplazo seguro.

Evidencia en AWS

  • Estado de rotación de claves KMS
  • Políticas de clave y grants de KMS
  • Conformidad de la regla de Config para la rotación de claves
  • Registros de eliminación programada de claves

Enfoque personalizado

Requiere un análisis de riesgo dirigido (Req 12.3.2).

Objetivo del enfoque personalizado

  • 3.7 — Las claves criptográficas usadas para proteger los datos de cuenta almacenados se generan, rotan y retiran de forma segura a lo largo de su ciclo de vida.

Servicios AWS

AWS KMS AWS CloudHSM AWS Config

Recursos de aprendizaje

Referencias

  • https://docs.aws.amazon.com/kms/latest/developerguide/rotate-keys.html
  • https://docs.aws.amazon.com/kms/latest/developerguide/key-policies.html