PCI DSS Security Maturity Model·AWS v1.1.0

Arrastra para explorar · pellizca para ampliar
Inicio / Matriz / Requisito 6 / c6.5
Optimized Vulnerability ManagementDominio de seguridad de la perspectiva de seguridad del AWS Cloud Adoption Framework (CAF), usado para organizar los controles. 🤝 CompartidaModelo de Responsabilidad Compartida de AWS: quién implementa y opera este control. Cliente = es tuyo; AWS = lo opera AWS y tú lo heredas; Compartida = ambos tienen obligaciones.

c6.5 Detección y remediación automatizada de vulnerabilidades a escala

Optimizar el programa de gestión de vulnerabilidades con remediación automatizada, métricas de SLA por severidad y trazabilidad completa del cambio para el cumplimiento continuo.

Quick Wins
Foundational
Efficient
Optimized
Esfuerzo: Alto Impacto: Medio Aplica al CDE: Sí

Requisito 6

Develop and Maintain Secure Systems and Software

Sub-requisitos PCI cubiertosCobertura mostrada por sub-control de PCI DSS v4.0.1. “Cubierto” = atendido por esta recomendación de AWS. “En roadmap” = técnico, planeado. “Tu responsabilidad” = control organizacional/de proceso. “Fuera de alcance” = control físico o de terceros no implementado en AWS.

6.3 Identificación y atención de vulnerabilidades de seguridad
  • 6.3.1 Security vulnerabilities identified and risk-ranked Cubierto
  • 6.3.2 Inventory of bespoke/custom software and components maintained Cubierto
  • 6.3.3 All system components protected via patches (critical within 1 month) Cubierto
6.5 Gestión de cambios en componentes del sistema
  • 6.5.1 Changes to all system components managed through a formal process Tu responsabilidad
  • 6.5.2 Applicable PCI DSS requirements confirmed after significant change Tu responsabilidad
  • 6.5.3 Pre-production environments separated from production Cubierto
  • 6.5.4 Roles/functions separated between production and pre-production Tu responsabilidad
  • 6.5.5 Live PANs not used in pre-production environments Tu responsabilidad
  • 6.5.6 Test data and test accounts removed before production Tu responsabilidad

Cómo implementarlo en AWS

Orquestar remediación automática (SSM Automation) ante hallazgos de Inspector/Security Hub según severidad. Medir SLA de parcheo y generar reportes. Reconstruir instancias inmutables desde AMIs parcheadas (patrón immutable infrastructure). Correlacionar cambios con CloudTrail para trazabilidad.

Implementación práctica

Cómo se implementa este control en cada arquitectura de referencia:

Alcanza el estado optimizado: auto-remedia hallazgos por severidad, rastrea SLAs de parcheo y reconstruye instancias inmutables desde AMIs parcheadas.

  1. Conecta runbooks de SSM Automation para remediar automáticamente los hallazgos de Inspector/Security Hub, priorizados por severidad.
    Automatización de la cuenta Systems Manager Security Hub
  2. Reconstruye instancias desde golden AMIs recién parcheadas (infraestructura inmutable) en lugar de parchear en sitio.
    Capa de app (CDE) / Capa de datos (CDE) EC2 Image Builder Amazon EC2
  3. Rastrea métricas de SLA de parcheo por severidad y correlaciona los cambios con CloudTrail para trazabilidad.
    Detección en toda la cuenta CloudWatch CloudTrail

Cómo validar: SSM Automation muestra el historial de remediación por severidad, las métricas de SLA cumplen el objetivo, y las instancias se reemplazan (no se parchean en sitio) desde AMIs actuales.

Evita: Instancias de larga vida parcheadas en sitio para siempre. La desviación de configuración se acumula; adopta reconstrucciones inmutables desde AMIs parcheadas.

Una sola cuenta, 3 capas →

Opera la orquestación de remediación y el reporte de SLA de forma central para que cada cuenta del CDE se autocorrija con trazabilidad de cambios agregada.

  1. Correlaciona los hallazgos en el Security Hub del administrador delegado e impulsa correcciones automáticas por cuenta con SSM Automation central.
    Cuenta de herramientas de seguridad → cuentas del CDE Security Hub Systems Manager
  2. Distribuye la base de golden AMI parcheada en toda la organización para que cada cuenta reconstruya de forma inmutable desde imágenes actuales.
    Shared services → OU de PCI EC2 Image Builder AWS RAM
  3. Agrega las métricas de SLA y la trazabilidad de cambios (CloudTrail) en la cuenta de log-archive.
    Cuenta de log-archive CloudTrail Amazon S3

Cómo validar: El Security Hub central muestra la remediación en todas las cuentas cumpliendo el SLA, y la trazabilidad de cambios está consolidada en la cuenta de log-archive.

Evita: Lógica de remediación por cuenta que diverge. Centraliza la orquestación y el reporte para que los SLAs sean comparables y se apliquen.

Multi-cuenta con un OU dedicado a PCI →

Validación PCI

Métodos de comprobación: examineobserve

Procedimientos de prueba

  • Examinar los componentes del sistema y la información de parches instalados para verificar que las vulnerabilidades se atienden por ranking de riesgo y que los parches críticos/altos se aplican dentro de un mes (6.3.3.b).
  • Examinar la documentación de control de cambios para verificar que se cumplen los requisitos de cambio gestionado en todos los cambios de componentes (6.5.1.b).

Evidencia en AWS

  • Runbooks de SSM Automation para remediación por severidad y su historial.
  • Métricas/reportes de SLA de remediación de vulnerabilidades.
  • Trazabilidad de cambios en CloudTrail correlacionada con hallazgos.

Enfoque personalizado

Requiere un análisis de riesgo dirigido (Req 12.3.2).

Objetivo del enfoque personalizado

  • 6.3 — Las nuevas vulnerabilidades de sistemas y software que puedan afectar la seguridad de los datos de cuenta se monitorean, catalogan y evalúan por riesgo, y los parches aplicables se instalan en un plazo apropiado.
  • 6.5 — Todos los cambios se rastrean, autorizan y evalúan por impacto y seguridad, y se gestionan para evitar efectos no deseados en la seguridad de los componentes del sistema.

Servicios AWS

AWS Security Hub Amazon Inspector AWS Systems Manager Automation AWS CloudTrail

Recursos de aprendizaje

Referencias

  • AWS Security Maturity Model: Continuous improvement program