PCI DSS Security Maturity Model·AWS v1.1.0

Arrastra para explorar · pellizca para ampliar
Inicio / Matriz / Requisito 6 / c6.1
Quick Wins Vulnerability ManagementDominio de seguridad de la perspectiva de seguridad del AWS Cloud Adoption Framework (CAF), usado para organizar los controles. 🤝 CompartidaModelo de Responsabilidad Compartida de AWS: quién implementa y opera este control. Cliente = es tuyo; AWS = lo opera AWS y tú lo heredas; Compartida = ambos tienen obligaciones.

c6.1 Escaneo automatizado de vulnerabilidades con Amazon Inspector

Habilitar el escaneo continuo y automatizado de vulnerabilidades de EC2, imágenes de contenedor (ECR) y funciones Lambda para identificar y clasificar debilidades de seguridad conocidas.

Quick Wins
Foundational
Efficient
Optimized
Esfuerzo: Bajo Impacto: Alto Aplica al CDE: Sí

Requisito 6

Develop and Maintain Secure Systems and Software

Sub-requisitos PCI cubiertosCobertura mostrada por sub-control de PCI DSS v4.0.1. “Cubierto” = atendido por esta recomendación de AWS. “En roadmap” = técnico, planeado. “Tu responsabilidad” = control organizacional/de proceso. “Fuera de alcance” = control físico o de terceros no implementado en AWS.

6.3 Identificación y atención de vulnerabilidades de seguridad
  • 6.3.1 Security vulnerabilities identified and risk-ranked Cubierto
  • 6.3.2 Inventory of bespoke/custom software and components maintained Cubierto
  • 6.3.3 All system components protected via patches (critical within 1 month) Cubierto

Cómo implementarlo en AWS

Activar Amazon Inspector en toda la organización. Priorizar por severidad y explotabilidad. Enviar hallazgos a Security Hub y alertar con EventBridge. Alinear la clasificación de riesgo con el proceso de ranking de vulnerabilidades exigido por PCI.

Implementación práctica

Cómo se implementa este control en cada arquitectura de referencia:

Escanea el cómputo de forma continua en busca de vulnerabilidades conocidas y alimenta un backlog priorizado por riesgo, la base del proceso de vulnerabilidades de PCI 6.3.

  1. Habilita Amazon Inspector en la cuenta para que EC2, las imágenes de contenedor de ECR y las funciones Lambda se escaneen de forma continua y automática.
    Detección en toda la cuenta Amazon Inspector
  2. Enruta los hallazgos de Inspector a Security Hub y clasifícalos por severidad/explotabilidad para alimentar tu proceso de vulnerabilidades documentado.
    Detección en toda la cuenta Security Hub
  3. Mantén el inventario de componentes de software (SBOM) que usa Inspector para rastrear componentes de terceros y propios.
    Build/registro Amazon ECR

Cómo validar: La cobertura de Inspector muestra EC2/ECR/Lambda escaneados, y los hallazgos aparecen en Security Hub con severidad CVSS alimentando la clasificación de riesgo.

Evita: Ejecutar escaneos puntuales antes de una auditoría. PCI espera identificación continua; Inspector corre de forma continua, úsalo así y actúa sobre los hallazgos clasificados.

Una sola cuenta, 3 capas →

Escanea cada cuenta del CDE automáticamente desde el administrador delegado y consolida los hallazgos priorizados por riesgo de forma central.

  1. Habilita Inspector en toda la organización desde el administrador delegado con auto-enable para nuevas cuentas.
    Cuenta de herramientas de seguridad → OU de PCI Amazon Inspector AWS Organizations
  2. Consolida los hallazgos y la clasificación de riesgo en el Security Hub del administrador delegado.
    Cuenta de herramientas de seguridad Security Hub
  3. Estandariza el escaneo de SBOM/registro para que los componentes propios y de terceros queden cubiertos en cada cuenta.
    Cada cuenta de carga del CDE Amazon ECR

Cómo validar: El estado de organización de Inspector muestra todas las cuentas inscritas, y el Security Hub del administrador delegado muestra hallazgos consolidados y clasificados.

Evita: Habilitar Inspector por cuenta. Las cuentas nuevas se omiten; usa auto-enable de organización desde el administrador delegado.

Multi-cuenta con un OU dedicado a PCI →

Validación PCI

Métodos de comprobación: examineobserve

Procedimientos de prueba

  • Examinar las políticas y procedimientos para verificar que hay procesos definidos para identificar y gestionar vulnerabilidades de seguridad, incluido el ranking de riesgo, conforme a todos los elementos del requisito (6.3.1.a).
  • Entrevistar al personal, examinar documentación y observar procesos para verificar que las vulnerabilidades se identifican mediante fuentes reconocidas y se gestionan (6.3.1.b).
  • Verificar que se mantiene un inventario de componentes de software a la medida y de terceros y que se usa para identificar y atender vulnerabilidades (6.3.2.a).

Evidencia en AWS

  • Amazon Inspector habilitado en las cuentas en alcance y su cobertura de escaneo.
  • Hallazgos de Inspector con severidad/CVSS integrados en Security Hub.
  • Proceso documentado de ranking y tratamiento de vulnerabilidades.

Enfoque personalizado

Requiere un análisis de riesgo dirigido (Req 12.3.2).

Objetivo del enfoque personalizado

  • 6.3 — Las nuevas vulnerabilidades de sistemas y software que puedan afectar la seguridad de los datos de cuenta se monitorean, catalogan y evalúan por riesgo, y los parches aplicables se instalan en un plazo apropiado.

Servicios AWS

Amazon Inspector Amazon ECR AWS Security Hub Amazon EventBridge

Recursos de aprendizaje

Referencias

  • AWS Security Maturity Model: Infrastructure vulnerability management