PCI DSS Security Maturity Model·AWS v1.1.0

Arraste para explorar · faça pinça para ampliar
Início / Matriz / Requisito 10 / c10.5
Optimized Incident ResponseDomínio de segurança da perspectiva de segurança do AWS Cloud Adoption Framework (CAF), usado para organizar os controles. 🤝 CompartilhadaModelo de Responsabilidade Compartilhada da AWS: quem implementa e opera este controle. Cliente = é seu; AWS = a AWS opera e você o herda; Compartilhada = ambos têm obrigações.

c10.5 Detecção e alerta oportuno de falhas em controles críticos

Detectar, alertar e tratar de forma oportuna as falhas dos controles de segurança críticos (por exemplo, logging, firewalls, anti-malware) para minimizar a janela de exposição.

Quick Wins
Foundational
Efficient
Optimized
Esforço: Alto Impacto: Médio Aplica ao CDE: Sim

Requisito 10

Registrar e Monitorar Todo o Acesso aos Componentes do Sistema e aos Dados do Portador do Cartão

Sub-requisitos PCI cobertosCobertura mostrada por sub-controle do PCI DSS v4.0.1. “Coberto” = atendido por esta recomendação da AWS. “No roadmap” = técnico, planejado. “Sua responsabilidade” = controle organizacional/de processo. “Fora do escopo” = controle físico ou de terceiros não implementado na AWS.

10.7 As falhas de sistemas de controle de segurança críticos são detectadas, reportadas e tratadas prontamente
  • 10.7.1 Failures of critical security controls detected/alerted (SP only) Coberto
  • 10.7.2 Failures of critical security controls detected, alerted, addressed Coberto
  • 10.7.3 Failures of critical security controls responded to promptly Sua responsabilidade

Como implementar na AWS

Monitorar a saúde dos controles críticos (CloudTrail ativo, GuardDuty habilitado, Config recording ligado, WAF ativo) com AWS Config conformance packs e alarmes. Alertar automaticamente ante falhas via EventBridge/SNS e criar incidentes. Documentar tempos de resposta e remediação.

Implementação prática

Como este controle é implementado em cada arquitetura de referência:

Detecte e alerte prontamente quando um controle de segurança crítico falha ou é desabilitado, e registre a falha de ponta a ponta.

  1. Monitore a saúde dos controles críticos (CloudTrail ativo, Config gravando, GuardDuty habilitado, WAF ativo) com conformance packs e regras do AWS Config.
    Detecção em toda a conta AWS Config
  2. Alerte automaticamente diante de uma falha por meio do EventBridge para o SNS e abra um incidente.
    Automação da conta EventBridge
  3. Registre cada falha com causa, hora de início/fim e remediação como evidência do PCI 10.7.3.
    Registros de incidentes Amazon S3

Como validar: Desabilitar um controle (por exemplo, parar o CloudTrail) gera um alerta rapidamente, e a falha é documentada com causa, duração e remediação.

Evite: Assumir que os controles permanecem ativos. Eles são desabilitados por erro ou por um atacante; monitore sua saúde e alerte diante de falhas.

Conta única, 3 camadas →

Vigie a saúde dos controles críticos em cada conta de forma central para que um controle desabilitado em qualquer lugar gere um alerta rastreado.

  1. Implante os conformance packs de controles críticos em toda a organização e avalie via o agregador do Config na conta de ferramentas de segurança.
    Conta de ferramentas de segurança → OU de PCI AWS Config AWS Organizations
  2. Gere um alerta central quando qualquer conta do CDE desabilitar um controle (EventBridge para SNS).
    Conta de ferramentas de segurança EventBridge
  3. Rastreie cada falha até sua remediação com registros consolidados na conta de log-archive.
    Conta de log-archive Amazon S3

Como validar: Um controle desabilitado em qualquer conta do CDE aparece de forma central e é rastreado até sua remediação com um registro documentado.

Evite: Verificações de saúde de controle por conta sem consolidação. Uma falha poderia passar despercebida; agregue e alerte de forma central.

Multi-conta com uma OU dedicada ao PCI →

Validação PCI

Métodos de comprovação: examineobserve

Procedimentos de teste

  • Examinar a documentação para verificar que há processos definidos para a detecção e o reporte oportuno de falhas de controles de segurança críticos, e observar os processos de alerta para confirmar que uma falha gera um alerta (10.7.2.a, 10.7.2.b).
  • Examinar os registros para verificar que as falhas são documentadas com causa, duração (início/fim) e detalhes de remediação, e que são respondidas conforme o requisito (10.7.3.a, 10.7.3.b).

Evidência na AWS

  • Conformance packs / regras do Config que monitoram o estado dos controles críticos.
  • Regras do EventBridge e notificações SNS ante falhas de controles.
  • Registros de incidentes e tempos de remediação de falhas de controles.

Abordagem personalizada

Requer uma análise de risco direcionada (Req 12.3.2).

Objetivo da abordagem personalizada

  • 10.7 — As falhas nos sistemas de controle de segurança críticos são identificadas e tratadas prontamente.

Serviços AWS

AWS Config Amazon EventBridge Amazon CloudWatch AWS Security Hub

Recursos de aprendizado

Referências

  • PCI DSS v4.0.1 Requirement 10.7