PCI DSS Security Maturity Model·AWS v1.1.0

Arrastra para explorar · pellizca para ampliar
Inicio / Matriz / Requisito 6 / c6.2
Foundational Vulnerability ManagementDominio de seguridad de la perspectiva de seguridad del AWS Cloud Adoption Framework (CAF), usado para organizar los controles. 🤝 CompartidaModelo de Responsabilidad Compartida de AWS: quién implementa y opera este control. Cliente = es tuyo; AWS = lo opera AWS y tú lo heredas; Compartida = ambos tienen obligaciones.

c6.2 Gestión de parches y cambios controlados

Instalar parches de seguridad críticos dentro de un mes de su publicación y gestionar los cambios en componentes del sistema mediante un proceso controlado y documentado.

Quick Wins
Foundational
Efficient
Optimized
Esfuerzo: Medio Impacto: Alto Aplica al CDE: Sí

Requisito 6

Develop and Maintain Secure Systems and Software

Sub-requisitos PCI cubiertosCobertura mostrada por sub-control de PCI DSS v4.0.1. “Cubierto” = atendido por esta recomendación de AWS. “En roadmap” = técnico, planeado. “Tu responsabilidad” = control organizacional/de proceso. “Fuera de alcance” = control físico o de terceros no implementado en AWS.

6.3 Identificación y atención de vulnerabilidades de seguridad
  • 6.3.1 Security vulnerabilities identified and risk-ranked Cubierto
  • 6.3.2 Inventory of bespoke/custom software and components maintained Cubierto
  • 6.3.3 All system components protected via patches (critical within 1 month) Cubierto
6.5 Gestión de cambios en componentes del sistema
  • 6.5.1 Changes to all system components managed through a formal process Tu responsabilidad
  • 6.5.2 Applicable PCI DSS requirements confirmed after significant change Tu responsabilidad
  • 6.5.3 Pre-production environments separated from production Cubierto
  • 6.5.4 Roles/functions separated between production and pre-production Tu responsabilidad
  • 6.5.5 Live PANs not used in pre-production environments Tu responsabilidad
  • 6.5.6 Test data and test accounts removed before production Tu responsabilidad

Cómo implementarlo en AWS

Automatizar el patching con SSM Patch Manager y baselines por severidad. Gestionar la infraestructura como código para hacer cambios trazables y revisables (control de versiones + revisión). Documentar impacto, aprobación, pruebas y rollback de cada cambio. Verificar el cumplimiento del parcheo con Patch Compliance.

Implementación práctica

Cómo se implementa este control en cada arquitectura de referencia:

Parchea las vulnerabilidades críticas/altas en un mes de forma automática, y haz que cada cambio sea trazable, revisado y reversible.

  1. Automatiza el parcheo del SO con SSM Patch Manager usando baselines de parches basados en severidad y una ventana de mantenimiento programada.
    Capa de app (CDE) / Capa de datos (CDE) Systems Manager
  2. Gestiona la infraestructura como IaC versionada (CloudFormation/CDK) para que cada cambio se revise por pull request y lleve motivo, aprobación y rollback.
    Base de la cuenta (IaC) CloudFormation
  3. Verifica el cumplimiento de parches con SSM Patch Compliance para demostrar que los parches críticos/altos se aplican dentro de la ventana de un mes.
    Detección en toda la cuenta Systems Manager

Cómo validar: Patch Compliance muestra los parches críticos/altos aplicados dentro de un mes, y el repositorio de IaC muestra cada cambio con aprobación y notas de reversión.

Evita: Parchear manualmente y de forma puntual. Se pierde la ventana de un mes y no queda registro de cambio; automatiza con Patch Manager y gestiona los cambios mediante IaC revisada.

Una sola cuenta, 3 capas →

Impulsa los baselines de parches y el control de cambios desde un pipeline central para que cada cuenta del CDE cumpla la ventana de un mes con evidencia consolidada.

  1. Distribuye los baselines de parches y las ventanas de mantenimiento a todas las cuentas del CDE desde la herramienta de gestión central.
    Cuenta de herramientas de seguridad → OU de PCI Systems Manager AWS Organizations
  2. Despliega todos los cambios de infraestructura mediante un pipeline central de IaC con puertas de revisión y roles de despliegue entre cuentas con privilegio mínimo.
    Cuenta de shared services (CI/CD) CloudFormation CodePipeline
  3. Agrega Patch Compliance y el historial de cambios de forma central para que la ventana de un mes sea demostrable en toda la organización.
    Herramientas de seguridad / log archive Security Hub CloudTrail

Cómo validar: El Patch Compliance agregado muestra todas las cuentas del CDE dentro de la ventana, y los registros de cambio del pipeline central llevan aprobaciones y planes de rollback.

Evita: Dejar que cada cuenta parchee con su propio calendario. Las ventanas de cumplimiento se desvían; centraliza los baselines y el reporte.

Multi-cuenta con un OU dedicado a PCI →

Validación PCI

Métodos de comprobación: examineobserve

Procedimientos de prueba

  • Examinar las políticas y procedimientos para verificar que hay un proceso definido para instalar los parches/actualizaciones de seguridad aplicables conforme al requisito (6.3.3.a).
  • Examinar los componentes del sistema y comparar los parches instalados con la información de parches más reciente para verificar que los parches críticos/de alta seguridad se instalan dentro de un mes de su liberación (6.3.3.b).
  • Examinar la documentación de control de cambios y rastrear cambios recientes para verificar que cada uno incluye motivo, aprobación, pruebas de funcionalidad y procedimientos de reversión (6.5.1.a, 6.5.1.b).

Evidencia en AWS

  • Reporte de Patch Compliance de SSM mostrando parches aplicados dentro de la ventana.
  • Historial de cambios en el repositorio de IaC con aprobaciones y revisiones.
  • Plantillas de CloudFormation versionadas y registros de despliegue.

Enfoque personalizado

Requiere un análisis de riesgo dirigido (Req 12.3.2).

Objetivo del enfoque personalizado

  • 6.3 — Las nuevas vulnerabilidades de sistemas y software que puedan afectar la seguridad de los datos de cuenta se monitorean, catalogan y evalúan por riesgo, y los parches aplicables se instalan en un plazo apropiado.
  • 6.5 — Todos los cambios se rastrean, autorizan y evalúan por impacto y seguridad, y se gestionan para evitar efectos no deseados en la seguridad de los componentes del sistema.

Servicios AWS

AWS Systems Manager AWS CloudFormation AWS Config

Recursos de aprendizaje

Referencias

  • AWS Security Maturity Model: Patch management
  • PCI DSS v4.0.1 Requirements 6.3.3, 6.5