PCI DSS Security Maturity Model·AWS v1.1.0

Arrastra para explorar · pellizca para ampliar
Inicio / Matriz / Requisito 9 / c9.1
Quick Wins Security GovernanceDominio de seguridad de la perspectiva de seguridad del AWS Cloud Adoption Framework (CAF), usado para organizar los controles. ☁ AWSModelo de Responsabilidad Compartida de AWS: quién implementa y opera este control. Cliente = es tuyo; AWS = lo opera AWS y tú lo heredas; Compartida = ambos tienen obligaciones.

c9.1 Heredar los controles físicos de AWS mediante los reportes de cumplimiento

En AWS, la seguridad física de los centros de datos es responsabilidad de AWS bajo el modelo de responsabilidad compartida. El cliente hereda estos controles y los evidencia con el AOC PCI DSS de AWS obtenido vía AWS Artifact.

Quick Wins
Foundational
Efficient
Optimized
Esfuerzo: Bajo Impacto: Alto Aplica al CDE: Sí

Requisito 9

Restrict Physical Access to Cardholder Data

Sub-requisitos PCI cubiertosCobertura mostrada por sub-control de PCI DSS v4.0.1. “Cubierto” = atendido por esta recomendación de AWS. “En roadmap” = técnico, planeado. “Tu responsabilidad” = control organizacional/de proceso. “Fuera de alcance” = control físico o de terceros no implementado en AWS.

9.2 Controles de acceso físico a las instalaciones
  • 9.2.1 Physical access controls at facility entries Fuera de alcance
  • 9.2.1.1 Monitoring of physical access with cameras/mechanisms Fuera de alcance
  • 9.2.2 Physical/logical controls restrict use of publicly accessible network jacks Cubierto
  • 9.2.3 Physical access to wireless access points/hardware restricted Fuera de alcance
  • 9.2.4 Access to consoles in sensitive areas restricted via locking Fuera de alcance
9.3 Autorización y gestión del acceso físico de personal y visitantes
  • 9.3.1 Procedures to authorize/manage personnel physical access Fuera de alcance
  • 9.3.1.1 Physical access to sensitive areas controlled and individually assigned Fuera de alcance
  • 9.3.2 Procedures to authorize/manage visitor access Fuera de alcance
  • 9.3.3 Visitor badges/identification distinguished and surrendered Fuera de alcance
  • 9.3.4 Visitor log maintained Fuera de alcance

Cómo implementarlo en AWS

Descargar el Attestation of Compliance (AOC) PCI DSS de AWS y las responsabilidades del cliente desde AWS Artifact. Documentar en la matriz de responsabilidad compartida qué sub-requisitos físicos cubre AWS. Mantener estos documentos vigentes como evidencia para el evaluador.

Implementación práctica

Cómo se implementa este control en cada arquitectura de referencia:

La seguridad física de las instalaciones de AWS es responsabilidad de AWS bajo el modelo compartido. Tu trabajo es heredar esos controles y evidenciarlos.

  1. Descarga el Attestation of Compliance (AOC) de PCI DSS de AWS vigente y la guía de responsabilidades del cliente desde AWS Artifact.
    AWS Artifact (esta cuenta) AWS Artifact
  2. Registra en tu matriz de responsabilidad compartida que los Requisitos 9.2/9.3 (acceso físico al CDE) se heredan de AWS.
    Matriz de responsabilidad compartida
  3. Mantén el AOC vigente (vuélvelo a descargar en cada renovación) para que el evaluador siempre vea evidencia válida.
    Almacén de evidencia AWS Artifact

Cómo validar: Hay un AOC de PCI DSS de AWS vigente en archivo desde Artifact, y la matriz de responsabilidad compartida mapea 9.2/9.3 a AWS.

Evita: Intentar «implementar» tú mismo los controles físicos del centro de datos en AWS. No puedes; heredalos y evidéncialos mediante el AOC de AWS.

Una sola cuenta, 3 capas →

La misma herencia aplica a cada cuenta del CDE; captúrala una vez a nivel de organización con una sola matriz.

  1. Usa los acuerdos de organización de AWS Artifact para obtener el AOC una vez para toda la organización.
    Cuenta de gestión/Artifact (org) AWS Artifact AWS Organizations
  2. Mantén una sola matriz de responsabilidad compartida que cubra todas las cuentas del CDE bajo la OU de PCI.
    Matriz de responsabilidad compartida a nivel de organización
  3. Almacena el AOC y la matriz de forma central para que cada cuenta referencie la misma evidencia vigente.
    Log archive / almacén de evidencia Amazon S3

Cómo validar: El AOC a nivel de organización y una única matriz de responsabilidad compartida cubren cada cuenta de la OU de PCI, y ambos están vigentes.

Evita: Descargar y rastrear el AOC por separado por cuenta. Captúralo una vez a nivel de organización para que la evidencia se mantenga consistente y vigente.

Multi-cuenta con un OU dedicado a PCI →

Validación PCI

Métodos de comprobación: examine

Procedimientos de prueba

  • Observar los controles de entrada y los controles de acceso físico para verificar que el acceso a los sistemas del CDE está restringido, y que los puntos de entrada/salida de las áreas sensibles se monitorean y las grabaciones se retienen (9.2.1, 9.2.1.1.a, 9.2.1.1.c).
  • Examinar los procedimientos para autorizar y gestionar el acceso físico de personal y visitantes al CDE (9.3.1.a, 9.3.2.a). En AWS, estos controles se heredan de AWS bajo el modelo de responsabilidad compartida y se evidencian mediante el AOC PCI DSS de AWS.

Evidencia en AWS

  • AOC PCI DSS de AWS descargado desde AWS Artifact (vigente).
  • Matriz de responsabilidad compartida documentando los controles físicos cubiertos por AWS.
  • Guía de responsabilidades del cliente de AWS para PCI DSS.

Enfoque personalizado

Requiere un análisis de riesgo dirigido (Req 12.3.2).

Objetivo del enfoque personalizado

  • 9.2 — Los componentes del sistema en el CDE no pueden ser accedidos físicamente por personal no autorizado.
  • 9.3 — Los requisitos de acceso al CDE físico están definidos y se aplican para identificar y autorizar al personal.

Servicios AWS

AWS Artifact

Recursos de aprendizaje

Referencias

  • PCI DSS v4.0.1 Requirement 9.2, 9.3 (AWS responsibility)