c11.2 Detecção de pontos de acesso sem fio não autorizados
Detectar e gerenciar a presença de pontos de acesso sem fio (autorizados e não autorizados). Em um ambiente AWS puro não há infraestrutura wireless própria, o que deve ser documentado no escopo.
Requisito 11
Testar Regularmente a Segurança dos Sistemas e das Redes
Sub-requisitos PCI cobertosCobertura mostrada por sub-controle do PCI DSS v4.0.1. “Coberto” = atendido por esta recomendação da AWS. “No roadmap” = técnico, planejado. “Sua responsabilidade” = controle organizacional/de processo. “Fora do escopo” = controle físico ou de terceiros não implementado na AWS.
11.2 Os pontos de acesso sem fio são identificados e monitorados, e os não autorizados são tratados
- 11.2.1 Authorized and unauthorized wireless access points managed Coberto
- 11.2.2 Inventory of authorized wireless access points maintained Sua responsabilidade
Como implementar na AWS
Para implantações 100% AWS, documentar que não existem redes sem fio dentro do escopo do cliente. Em ambientes híbridos, manter um inventário de pontos de acesso autorizados e processos de detecção dos não autorizados; centralizar a evidência e sua revisão periódica.
Implementação prática
Como este controle é implementado em cada arquitetura de referência:
Para uma implantação puramente na AWS, o trabalho tático é documentar a não aplicabilidade de wireless, ou executar detecção trimestral onde houver wireless híbrido.
- Confirme que não há infraestrutura wireless do cliente no escopo da AWS (a AWS gerencia o wireless do data center).
- Registre a não aplicabilidade de 11.2 para o escopo do cliente, com justificativa, no documento de escopo PCI.
- Se houver wireless híbrido, mantenha um inventário de APs autorizados (com justificativa de negócio) e registros de detecção trimestral de APs não autorizados.
Como validar: O documento de escopo indica a aplicabilidade de 11.2 com justificativa; onde houver wireless, o inventário de APs e os registros de detecção trimestral estão vigentes.
Evite: Ignorar 11.2 silenciosamente na AWS. Documente a não aplicabilidade explicitamente; um avaliador precisa da justificativa em arquivo.
Decida a aplicabilidade de wireless uma vez no nível da organização e, onde o wireless híbrido se conectar, execute a detecção a partir da conta de rede central.
- Documente a não aplicabilidade de wireless uma vez no nível da organização para que cada conta herde a postura.
- Para ambientes híbridos, gerencie a detecção de APs não autorizados a partir da conta de rede central.Conta de rede/inspeção
Transit Gateway - Registre os resultados de detecção contra a matriz de responsabilidade compartilhada de forma central.Repositório de evidência no nível da organização
Amazon S3
Como validar: O documento de escopo no nível da organização aborda 11.2, e qualquer wireless híbrido tem registros de detecção trimestral vigentes referenciados a partir da matriz.
Evite: Documentar a aplicabilidade de wireless de forma inconsistente por conta. Decida-a uma vez no nível da organização.
Validação PCI
Procedimentos de teste
- Examinar a metodologia e a documentação e entrevistar o pessoal para verificar que os processos detectam e identificam pontos de acesso sem fio autorizados e não autorizados pelo menos a cada 3 meses (11.2.1.b, 11.2.1.c).
- Examinar a documentação para verificar que é mantido um inventário de pontos de acesso sem fio autorizados com justificativa de negócio (11.2.2). Na AWS, isso costuma ser gerenciado pela AWS; documentar a não aplicabilidade para o escopo do cliente quando cabível.
Evidência na AWS
- Documento de escopo PCI indicando aplicabilidade ou não aplicabilidade de wireless.
- Quando aplicável: inventário de APs autorizados e registros de detecção trimestral.
Abordagem personalizada
Requer uma análise de risco direcionada (Req 12.3.2).
Objetivo da abordagem personalizada
- 11.2 — Os pontos de acesso sem fio não autorizados são identificados e tratados periodicamente.
Serviços AWS
AWS Config Recursos de aprendizado
Referências
- PCI DSS v4.0.1 Requirement 11.2