c7.1 Aplicar mínimo privilegio con políticas IAM
Asignar acceso a los componentes del sistema y datos de cuenta según la necesidad de negocio, otorgando el mínimo privilegio necesario mediante políticas y roles IAM bien definidos.
Requisito 7
Restrict Access to System Components and Cardholder Data by Business Need to Know
Sub-requisitos PCI cubiertosCobertura mostrada por sub-control de PCI DSS v4.0.1. “Cubierto” = atendido por esta recomendación de AWS. “En roadmap” = técnico, planeado. “Tu responsabilidad” = control organizacional/de proceso. “Fuera de alcance” = control físico o de terceros no implementado en AWS.
7.2 Definición y asignación apropiada del acceso
- 7.2.1 Access control model defined for need-to-know/least-privilege Cubierto
- 7.2.2 Access assigned based on job classification and least privilege Cubierto
- 7.2.3 Required privileges approved by authorized personnel Tu responsabilidad
- 7.2.4 User accounts and access reviewed at least every 6 months Tu responsabilidad
- 7.2.5 Application/system accounts and access managed by least privilege Cubierto
- 7.2.5.1 Access by app/system accounts reviewed periodically Tu responsabilidad
- 7.2.6 Query access to stored CHD restricted via roles/applications Cubierto
7.3 Gestión del acceso mediante un sistema de control de acceso
- 7.3.1 Access control system(s) in place covering all components Cubierto
- 7.3.2 Access control system configured to enforce least privilege Cubierto
- 7.3.3 Access control system set to 'deny all' by default Cubierto
Cómo implementarlo en AWS
Definir roles IAM por función laboral con permisos mínimos. Evitar usuarios IAM de larga vida a favor de roles y credenciales temporales. Usar IAM Access Analyzer para detectar accesos amplios o externos. Eliminar políticas con comodines innecesarios (Action:*, Resource:*).
Implementación práctica
Cómo se implementa este control en cada arquitectura de referencia:
Otorga el privilegio mínimo por función laboral mediante roles IAM, evita credenciales de larga duración y detecta cualquier acceso amplio o externo.
- Define roles IAM por función laboral con políticas de privilegio mínimo para las capas de app/datos; acota Action y Resource, evitando comodines (Action:*, Resource:*).Capa de app (CDE) / Capa de datos (CDE)
IAM - Reemplaza los usuarios IAM de larga duración por roles y credenciales temporales (roles de instancia, federación).Toda la cuenta IAM
- Ejecuta IAM Access Analyzer para detectar políticas que otorgan acceso amplio o externo y remédialas.Detección en toda la cuenta IAM
Cómo validar: IAM Access Analyzer no muestra hallazgos externos/amplios injustificados, y una matriz de rol-vs-función laboral mapea cada rol a una necesidad documentada.
Evita: Adjuntar AdministratorAccess «temporalmente» para ir rápido. Los permisos amplios se vuelven permanentes; parte del privilegio mínimo y amplía solo con justificación.
Estandariza los permission sets de privilegio mínimo y detecta el acceso amplio/externo en cada cuenta del CDE desde el administrador delegado.
- Define permission sets estándar de privilegio mínimo por función laboral y aplícalos de forma consistente en todas las cuentas.Cuenta de herramientas de seguridad / identidad
IAM Identity Center - Ejecuta IAM Access Analyzer a nivel de organización (administrador delegado) para que el acceso externo/amplio se detecte en todas las cuentas del CDE en un solo lugar.Cuenta de herramientas de seguridad → OU de PCI IAM
AWS Organizations - Refuerza los límites con SCPs y perímetros de datos para que las identidades no puedan alcanzar recursos del CDE fuera de su alcance.OU de PCI (guardarraíl) AWS Organizations
Cómo validar: El Access Analyzer a nivel de organización no muestra acceso externo injustificado entre cuentas, y los permission sets coinciden con el modelo de función laboral documentado.
Evita: IAM hecho a mano por cuenta que se desvía. Estandariza los permission sets de forma central y analiza el acceso en toda la organización.
Validación PCI
Procedimientos de prueba
- Examinar las políticas/procedimientos y los ajustes del modelo de control de acceso para verificar que las necesidades de acceso están definidas conforme al requisito (7.2.1.a, 7.2.1.b).
- Examinar los ajustes de acceso de usuarios, incluidos los privilegiados, y entrevistar a la dirección para verificar que los privilegios asignados siguen la clasificación y la función laboral (7.2.2.b, 7.2.2.c).
- Comparar los privilegios asignados con las aprobaciones documentadas por personal autorizado (7.2.3.b).
Evidencia en AWS
- Políticas y roles IAM que evidencian mínimo privilegio por función.
- Hallazgos de IAM Access Analyzer sin accesos externos/amplios no justificados.
- Matriz de roles vs. funciones de negocio documentada.
Enfoque personalizado
Requiere un análisis de riesgo dirigido (Req 12.3.2).
Objetivo del enfoque personalizado
- 7.2 — Los requisitos de acceso se establecen según las funciones laborales, siguiendo los principios de mínimo privilegio y necesidad de conocer.
- 7.3 — Los derechos y privilegios de acceso se gestionan mediante un sistema de control de acceso que restringe el acceso según la necesidad de conocer y está configurado como denegar por defecto.
Servicios AWS
AWS IAM IAM Access Analyzer AWS IAM Identity Center Recursos de aprendizaje
Referencias
- AWS Security Maturity Model: Least privilege