PCI DSS Security Maturity Model·AWS v1.1.0

Arrastra para explorar · pellizca para ampliar
Inicio / Matriz / Requisito 4 / c4.1
Quick Wins Data ProtectionDominio de seguridad de la perspectiva de seguridad del AWS Cloud Adoption Framework (CAF), usado para organizar los controles. 👤 ClienteModelo de Responsabilidad Compartida de AWS: quién implementa y opera este control. Cliente = es tuyo; AWS = lo opera AWS y tú lo heredas; Compartida = ambos tienen obligaciones.

c4.1 Forzar TLS fuerte en endpoints públicos (ALB, CloudFront, API Gateway)

Asegurar que todo el PAN transmitido por redes públicas abiertas se protege con criptografía fuerte, forzando TLS 1.2+ y políticas de seguridad modernas en los puntos de entrada públicos.

Quick Wins
Foundational
Efficient
Optimized
Esfuerzo: Bajo Impacto: Alto Aplica al CDE: Sí

Requisito 4

Protect Cardholder Data with Strong Cryptography During Transmission Over Open, Public Networks

Sub-requisitos PCI cubiertosCobertura mostrada por sub-control de PCI DSS v4.0.1. “Cubierto” = atendido por esta recomendación de AWS. “En roadmap” = técnico, planeado. “Tu responsabilidad” = control organizacional/de proceso. “Fuera de alcance” = control físico o de terceros no implementado en AWS.

4.2 El PAN se protege con criptografía fuerte durante la transmisión
  • 4.2.1 Strong cryptography and security protocols protect PAN in transit Cubierto
  • 4.2.1.1 Inventory of trusted keys and certificates maintained Cubierto
  • 4.2.1.2 Wireless networks transmitting PAN use strong cryptography Cubierto
  • 4.2.2 PAN secured with strong cryptography when sent via end-user messaging En roadmap

Cómo implementarlo en AWS

Aprovisionar certificados con AWS Certificate Manager (ACM). Configurar políticas de seguridad TLS 1.2/1.3 en ALB, CloudFront y API Gateway. Redirigir HTTP a HTTPS. Deshabilitar protocolos y cifradores débiles. Detectar listeners no conformes con AWS Config y Security Hub (ELB.*, CloudFront.* controls).

Implementación práctica

Cómo se implementa este control en cada arquitectura de referencia:

Termina TLS fuerte (1.2+) en cada punto de entrada público con certificados de ACM, fuerza HTTPS y detecta cualquier listener débil o en texto claro.

  1. Aprovisiona certificados con ACM (validados por DNS) para los endpoints públicos para que la renovación sea automática.
    Subred pública Certificate Manager
  2. Configura una política de seguridad TLS 1.2+ en el ALB (y CloudFront/API Gateway si se usan) y un listener de redirección de HTTP a HTTPS.
    Subred pública Elastic Load Balancing CloudFront API Gateway
  3. Detecta listeners no conformes o en texto claro con las reglas administradas de AWS Config y los controles de Security Hub (ELB.1, CloudFront.3).
    Detección en toda la cuenta AWS Config Security Hub

Cómo validar: Un escaneo TLS del endpoint negocia solo TLS 1.2/1.3, las solicitudes HTTP redirigen con 301 a HTTPS, y los controles de Security Hub ELB.1/CloudFront.3 pasan.

Evita: Dejar una política TLS 1.0/1.1 heredada «para clientes antiguos». Los protocolos débiles rompen el requisito de criptografía fuerte; usa una política moderna y, si hace falta, una ruta compensatoria documentada.

Una sola cuenta, 3 capas →

Estandariza una sola política TLS y patrón de emisión de ACM en cada cuenta del CDE, y fuerza HTTPS-only por política.

  1. Define una única política de seguridad TLS aprobada y un patrón de emisión de ACM, y despliégalos como código en cada cuenta del CDE para que los endpoints sean consistentes.
    Cada cuenta de carga del CDE Certificate Manager CloudFormation
  2. Antepón a los puntos de entrada públicos un CloudFront/edge compartido en la cuenta de red donde centraliza el límite de TLS.
    Cuenta de red/inspección CloudFront
  3. Fuerza listeners HTTPS-only con un conformance pack de Config en la OU de PCI y agrega los resultados en el Security Hub del administrador delegado.
    Cuenta de herramientas de seguridad → OU de PCI AWS Config Security Hub AWS Organizations

Cómo validar: El conformance pack muestra las reglas HTTPS/TLS en COMPLIANT en todas las cuentas de la OU de PCI, y cada listener público negocia TLS 1.2+.

Evita: Que cada equipo elija su propia política TLS. Las políticas divergentes crean puntos débiles; distribuye una sola política aprobada y verifícala en toda la organización.

Multi-cuenta con un OU dedicado a PCI →

Validación PCI

Métodos de comprobación: examineobserve

Procedimientos de prueba

  • Examinar las configuraciones del sistema para verificar que se implementan criptografía fuerte y protocolos de seguridad conforme al requisito (4.2.1.b).
  • Examinar las transmisiones de datos del titular de la tarjeta para verificar que todo el PAN se cifra con criptografía fuerte por redes públicas abiertas (4.2.1.c).
  • Examinar las configuraciones del sistema para verificar que se rechazan las claves/certificados que no pueden verificarse como confiables (4.2.1.d).

Evidencia en AWS

  • Políticas de seguridad TLS configuradas en ALB/CloudFront/API Gateway (TLS 1.2+).
  • Certificados vigentes gestionados en ACM.
  • Hallazgos de Security Hub sobre TLS/HTTPS resueltos (p. ej. ELB.1, CloudFront.3).

Enfoque personalizado

Requiere un análisis de riesgo dirigido (Req 12.3.2).

Objetivo del enfoque personalizado

  • 4.2 — El PAN en claro no puede leerse ni interceptarse en ninguna transmisión por redes públicas abiertas.

Servicios AWS

AWS Certificate Manager Elastic Load Balancing Amazon CloudFront Amazon API Gateway AWS Config

Recursos de aprendizaje

Referencias

  • AWS Security Maturity Model: Encryption in transit