PCI DSS Security Maturity Model·AWS v1.1.0

Arrastra para explorar · pellizca para ampliar
Inicio / Matriz / Requisito 7 / c7.3
Efficient Identity and Access ManagementDominio de seguridad de la perspectiva de seguridad del AWS Cloud Adoption Framework (CAF), usado para organizar los controles. 🤝 CompartidaModelo de Responsabilidad Compartida de AWS: quién implementa y opera este control. Cliente = es tuyo; AWS = lo opera AWS y tú lo heredas; Compartida = ambos tienen obligaciones.

c7.3 Revisión y refinamiento automatizado de accesos

Optimizar los permisos de forma continua eliminando privilegios no utilizados y validando periódicamente que el acceso sigue alineado con la necesidad de negocio.

Quick Wins
Foundational
Efficient
Optimized
Esfuerzo: Medio Impacto: Medio Aplica al CDE: Sí

Requisito 7

Restrict Access to System Components and Cardholder Data by Business Need to Know

Sub-requisitos PCI cubiertosCobertura mostrada por sub-control de PCI DSS v4.0.1. “Cubierto” = atendido por esta recomendación de AWS. “En roadmap” = técnico, planeado. “Tu responsabilidad” = control organizacional/de proceso. “Fuera de alcance” = control físico o de terceros no implementado en AWS.

7.2 Definición y asignación apropiada del acceso
  • 7.2.1 Access control model defined for need-to-know/least-privilege Cubierto
  • 7.2.2 Access assigned based on job classification and least privilege Cubierto
  • 7.2.3 Required privileges approved by authorized personnel Tu responsabilidad
  • 7.2.4 User accounts and access reviewed at least every 6 months Tu responsabilidad
  • 7.2.5 Application/system accounts and access managed by least privilege Cubierto
  • 7.2.5.1 Access by app/system accounts reviewed periodically Tu responsabilidad
  • 7.2.6 Query access to stored CHD restricted via roles/applications Cubierto

Cómo implementarlo en AWS

Usar IAM Access Analyzer para generar políticas basadas en la actividad de CloudTrail y detectar permisos sin uso. Ejecutar revisiones periódicas de acceso (access reviews). Refinar permission sets según recomendaciones de last-accessed information.

Implementación práctica

Cómo se implementa este control en cada arquitectura de referencia:

Alcanza el estado optimizado: dimensiona los permisos a partir de la actividad real y elimina el acceso sin uso de forma recurrente.

  1. Usa la generación de políticas de IAM Access Analyzer a partir de la actividad de CloudTrail para dimensionar las políticas demasiado amplias a lo que realmente se usa.
    Detección en toda la cuenta IAM CloudTrail
  2. Habilita el análisis de acceso sin uso (roles, permisos y credenciales no usados) y actúa sobre los hallazgos.
    Detección en toda la cuenta IAM
  3. Ejecuta revisiones de acceso periódicas y registra el resultado como evidencia de PCI 7.2.4.
    Proceso de revisión de acceso IAM

Cómo validar: Los reportes de último acceso/acceso sin uso de Access Analyzer muestran una reducción de privilegio con el tiempo, y existen registros de revisión periódica con ajustes realizados.

Evita: Otorgar acceso y nunca revisarlo. Los privilegios se acumulan; revisa con una cadencia y elimina lo que no se usa.

Una sola cuenta, 3 capas →

Ejecuta revisiones de acceso y análisis de acceso sin uso en toda la organización y ajusta la base de permission sets compartidos de forma consistente.

  1. Habilita el análisis de acceso sin uso de IAM Access Analyzer en toda la organización desde el administrador delegado para exponer el acceso obsoleto en todas las cuentas.
    Cuenta de herramientas de seguridad → OU de PCI IAM AWS Organizations
  2. Refina los permission sets compartidos de IAM Identity Center a partir de los hallazgos para que la base de privilegio mínimo se ajuste en todas partes a la vez.
    Cuenta de identidad/seguridad IAM Identity Center
  3. Conserva la evidencia de revisión periódica (incluidas las cuentas de terceros/proveedores) de forma central.
    Cuenta de log-archive Amazon S3

Cómo validar: Los hallazgos de acceso sin uso en toda la organización tienden a la baja, y los cambios en los permission sets se registran con cada revisión periódica en todas las cuentas del CDE.

Evita: Revisar cada cuenta de forma aislada. Analiza el acceso sin uso en toda la organización y refina los permission sets compartidos para que las mejoras apliquen en todas partes.

Multi-cuenta con un OU dedicado a PCI →

Validación PCI

Métodos de comprobación: examine

Procedimientos de prueba

  • Examinar las políticas para verificar que hay un proceso definido para revisar todas las cuentas de usuario y sus privilegios de acceso, incluidas las cuentas de terceros/proveedores (7.2.4.a).
  • Entrevistar al personal y examinar los resultados documentados de las revisiones periódicas de acceso para verificar que los privilegios asignados permanecen apropiados y limitados a la necesidad de negocio (7.2.4.b).

Evidencia en AWS

  • Reportes de last-accessed y recomendaciones de Access Analyzer.
  • Registros de revisiones periódicas de acceso y ajustes realizados.
  • Políticas generadas a partir de actividad real (CloudTrail).

Enfoque personalizado

Requiere un análisis de riesgo dirigido (Req 12.3.2).

Objetivo del enfoque personalizado

  • 7.2 — Los requisitos de acceso se establecen según las funciones laborales, siguiendo los principios de mínimo privilegio y necesidad de conocer.

Servicios AWS

IAM Access Analyzer AWS IAM AWS CloudTrail

Recursos de aprendizaje

Referencias

  • PCI DSS v4.0.1 Requirement 7.2.4