PCI DSS Security Maturity Model·AWS v1.1.0

Arrastra para explorar · pellizca para ampliar
Inicio / Matriz / Requisito 4 / c4.3
Efficient Security AssuranceDominio de seguridad de la perspectiva de seguridad del AWS Cloud Adoption Framework (CAF), usado para organizar los controles. 👤 ClienteModelo de Responsabilidad Compartida de AWS: quién implementa y opera este control. Cliente = es tuyo; AWS = lo opera AWS y tú lo heredas; Compartida = ambos tienen obligaciones.

c4.3 Monitoreo continuo de la postura de cifrado en tránsito

Detectar automáticamente cualquier endpoint o conexión que transmita datos sin cifrado fuerte y remediar de forma consistente para sostener el cumplimiento continuo.

Quick Wins
Foundational
Efficient
Optimized
Esfuerzo: Medio Impacto: Medio Aplica al CDE: Sí

Requisito 4

Protect Cardholder Data with Strong Cryptography During Transmission Over Open, Public Networks

Sub-requisitos PCI cubiertosCobertura mostrada por sub-control de PCI DSS v4.0.1. “Cubierto” = atendido por esta recomendación de AWS. “En roadmap” = técnico, planeado. “Tu responsabilidad” = control organizacional/de proceso. “Fuera de alcance” = control físico o de terceros no implementado en AWS.

4.2 El PAN se protege con criptografía fuerte durante la transmisión
  • 4.2.1 Strong cryptography and security protocols protect PAN in transit Cubierto
  • 4.2.1.1 Inventory of trusted keys and certificates maintained Cubierto
  • 4.2.1.2 Wireless networks transmitting PAN use strong cryptography Cubierto
  • 4.2.2 PAN secured with strong cryptography when sent via end-user messaging En roadmap

Cómo implementarlo en AWS

Definir reglas de AWS Config (alb-http-to-https-redirection-check, elb-tls-https-listeners-only, cloudfront-viewer-policy-https) y consolidar en Security Hub. Automatizar remediación con SSM Automation. Alertar sobre desviaciones vía EventBridge y Security Hub.

Implementación práctica

Cómo se implementa este control en cada arquitectura de referencia:

Alcanza el estado optimizado: detecta de forma continua cualquier endpoint que transmita sin TLS fuerte y auto-remédialo, para que la postura en tránsito se mantenga conforme por sí sola.

  1. Habilita las reglas administradas HTTPS/TLS de AWS Config (alb-http-to-https-redirection-check, elb-tls-https-listeners-only, cloudfront-viewer-policy-https) en la cuenta.
    Detección en toda la cuenta AWS Config
  2. Adjunta auto-remediación (SSM Automation) para que un listener no conforme o en texto claro se corrija automáticamente.
    Automatización de la cuenta Systems Manager
  3. Alerta sobre desviaciones mediante EventBridge y consolida la postura en Security Hub.
    Detección en toda la cuenta EventBridge Security Hub

Cómo validar: Las reglas HTTPS/TLS de Config leen COMPLIANT con historial de remediación, y un listener de prueba solo HTTP se corrige automáticamente en minutos.

Evita: Alertar sobre listeners no HTTPS sin remediar. La ventana en texto claro permanece abierta hasta que alguien actúe; conecta SSM Automation para cerrarla automáticamente.

Una sola cuenta, 3 capas →

Monitorea y aplica el cifrado en tránsito de forma uniforme en cada cuenta del CDE desde un solo lugar.

  1. Despliega las reglas HTTPS/TLS de Config en toda la organización mediante un conformance pack para que cada cuenta del CDE se evalúe de forma idéntica.
    OU de PCI (todas las cuentas del CDE) AWS Config AWS Organizations
  2. Agrega los resultados en el Security Hub del administrador delegado para una única vista de postura en tránsito.
    Cuenta de herramientas de seguridad Security Hub
  3. Dispara la remediación automática de forma central (EventBridge + SSM Automation) para que cada cuenta se autocorrija de la misma forma.
    Cuenta de herramientas de seguridad EventBridge Systems Manager

Cómo validar: El conformance pack muestra las reglas HTTPS/TLS en COMPLIANT en toda la organización, y un listener HTTP colocado en cualquier cuenta del CDE es auto-remediado y visible en Security Hub.

Evita: Monitoreo por cuenta sin consolidación central. Agrega al administrador delegado para que un solo panel demuestre el cumplimiento en tránsito en todo el patrimonio.

Multi-cuenta con un OU dedicado a PCI →

Validación PCI

Métodos de comprobación: examineobserve

Procedimientos de prueba

  • Examinar las configuraciones del sistema y las evidencias de monitoreo para verificar que la criptografía fuerte y los protocolos de seguridad se mantienen en todas las transmisiones de PAN por redes públicas abiertas (4.2.1.b, 4.2.1.c).

Evidencia en AWS

  • Reglas de AWS Config de HTTPS/TLS en estado COMPLIANT.
  • Tablero de Security Hub con controles de cifrado en tránsito.
  • Historial de remediaciones automáticas de listeners no conformes.

Enfoque personalizado

Requiere un análisis de riesgo dirigido (Req 12.3.2).

Objetivo del enfoque personalizado

  • 4.2 — El PAN en claro no puede leerse ni interceptarse en ninguna transmisión por redes públicas abiertas.

Servicios AWS

AWS Config AWS Security Hub AWS Systems Manager Automation Amazon EventBridge

Recursos de aprendizaje

Referencias

  • AWS Security Maturity Model: Continuous compliance monitoring