PCI DSS Security Maturity Model·AWS v1.1.0

Arrastra para explorar · pellizca para ampliar
Inicio / Matriz / Requisito 4 / c4.2
Foundational Data ProtectionDominio de seguridad de la perspectiva de seguridad del AWS Cloud Adoption Framework (CAF), usado para organizar los controles. 👤 ClienteModelo de Responsabilidad Compartida de AWS: quién implementa y opera este control. Cliente = es tuyo; AWS = lo opera AWS y tú lo heredas; Compartida = ambos tienen obligaciones.

c4.2 Inventariar y validar certificados y confianza de las conexiones

Mantener un inventario de certificados de confianza y asegurar que las claves y certificados usados para proteger el PAN en tránsito son válidos, vigentes y confiables.

Quick Wins
Foundational
Efficient
Optimized
Esfuerzo: Medio Impacto: Medio Aplica al CDE: Sí

Requisito 4

Protect Cardholder Data with Strong Cryptography During Transmission Over Open, Public Networks

Sub-requisitos PCI cubiertosCobertura mostrada por sub-control de PCI DSS v4.0.1. “Cubierto” = atendido por esta recomendación de AWS. “En roadmap” = técnico, planeado. “Tu responsabilidad” = control organizacional/de proceso. “Fuera de alcance” = control físico o de terceros no implementado en AWS.

4.2 El PAN se protege con criptografía fuerte durante la transmisión
  • 4.2.1 Strong cryptography and security protocols protect PAN in transit Cubierto
  • 4.2.1.1 Inventory of trusted keys and certificates maintained Cubierto
  • 4.2.1.2 Wireless networks transmitting PAN use strong cryptography Cubierto
  • 4.2.2 PAN secured with strong cryptography when sent via end-user messaging En roadmap

Cómo implementarlo en AWS

Centralizar la emisión con ACM y ACM Private CA para conexiones internas. Monitorear expiración de certificados con EventBridge/Config. Mantener un inventario de certificados y sus usos. Aplicar validación de certificados en los clientes que transmiten PAN.

Implementación práctica

Cómo se implementa este control en cada arquitectura de referencia:

Mantén cada certificado que protege el PAN en tránsito válido, confiable e inventariado, y recibe alertas antes de que algo caduque.

  1. Emite certificados públicos con ACM y certificados de conexión interna con ACM Private CA, para que la emisión y renovación sean gestionadas, no manuales.
    PKI de la cuenta Certificate Manager AWS Private CA
  2. Mantén un inventario de certificados confiables y sus usos (el artefacto que exige PCI 4.2.1.1).
    Inventario de certificados Certificate Manager
  3. Monitorea la caducidad de los certificados con la regla administrada de AWS Config y notificaciones de EventBridge para que las renovaciones nunca venzan.
    Detección en toda la cuenta AWS Config EventBridge

Cómo validar: El inventario de certificados está al día y coincide con ACM/Private CA, y una prueba de caducidad próxima dispara la alerta de EventBridge.

Evita: Importar certificados autogestionados y rastrear la caducidad en una hoja de cálculo. Usa certificados gestionados por ACM para que la renovación sea automática y el inventario sea autoritativo.

Una sola cuenta, 3 capas →

Ejecuta una jerarquía de CA interna de forma central, compártela a las cuentas del CDE y consolida el inventario de certificados en toda la organización.

  1. Opera ACM Private CA de forma central (cuenta de red o de seguridad) como la única jerarquía raíz/intermedia interna confiable.
    Cuenta de red/inspección AWS Private CA
  2. Comparte la CA a las cuentas del CDE (AWS RAM) para que cada cuenta emita desde la misma cadena de confianza.
    Cuenta de red → OU de PCI AWS Private CA AWS RAM
  3. Consolida el inventario de certificados y el monitoreo de caducidad de forma central (agregador de Config + EventBridge).
    Cuenta de herramientas de seguridad AWS Config EventBridge AWS Organizations

Cómo validar: Las cuentas del CDE emiten certificados desde la Private CA compartida, y el inventario central lista cada certificado con sus fechas de validez.

Evita: Una CA interna separada por cuenta. Múltiples raíces fragmentan la confianza y el inventario; centraliza la CA y compártela.

Multi-cuenta con un OU dedicado a PCI →

Validación PCI

Métodos de comprobación: examine

Procedimientos de prueba

  • Examinar las políticas y procedimientos para verificar que hay un proceso definido para mantener un inventario de claves y certificados de confianza (4.2.1.1.a).
  • Examinar el inventario de claves y certificados de confianza para verificar que se mantiene actualizado (4.2.1.1.b).

Evidencia en AWS

  • Inventario de certificados de ACM/Private CA con fechas de vigencia.
  • Alertas de expiración configuradas (EventBridge/Config).
  • Configuración de validación de certificados en los servicios que transmiten PAN.

Enfoque personalizado

Requiere un análisis de riesgo dirigido (Req 12.3.2).

Objetivo del enfoque personalizado

  • 4.2 — El PAN en claro no puede leerse ni interceptarse en ninguna transmisión por redes públicas abiertas.

Servicios AWS

AWS Certificate Manager AWS Private CA Amazon EventBridge AWS Config

Recursos de aprendizaje

Referencias

  • PCI DSS v4.0.1 Requirement 4.2.1.1