PCI DSS Security Maturity Model·AWS v1.1.0

Arraste para explorar · faça pinça para ampliar
Início / Matriz / Requisito 12 / c12.1
Quick Wins Security GovernanceDomínio de segurança da perspectiva de segurança do AWS Cloud Adoption Framework (CAF), usado para organizar os controles. 👤 ClienteModelo de Responsabilidade Compartilhada da AWS: quem implementa e opera este controle. Cliente = é seu; AWS = a AWS opera e você o herda; Compartilhada = ambos têm obrigações.

c12.1 Definir o escopo do CDE e manter o inventário com o AWS Config

Documentar e validar o escopo do PCI DSS mantendo um inventário preciso dos componentes do sistema no CDE, atualizado conforme ocorram mudanças.

Quick Wins
Foundational
Efficient
Optimized
Esforço: Baixo Impacto: Alto Aplica ao CDE: Sim

Requisito 12

Apoiar a Segurança da Informação com Políticas e Programas Organizacionais

Sub-requisitos PCI cobertosCobertura mostrada por sub-controle do PCI DSS v4.0.1. “Coberto” = atendido por esta recomendação da AWS. “No roadmap” = técnico, planejado. “Sua responsabilidade” = controle organizacional/de processo. “Fora do escopo” = controle físico ou de terceiros não implementado na AWS.

12.5 O escopo do PCI DSS é documentado e validado
  • 12.5.1 Inventory of system components in scope maintained Coberto
  • 12.5.2 PCI DSS scope documented and confirmed at least annually Sua responsabilidade
  • 12.5.2.1 Scope confirmed every 6 months for service providers (SP only) Sua responsabilidade
  • 12.5.3 Org structure changes trigger scope review (SP only) Sua responsabilidade

Como implementar na AWS

Habilitar o AWS Config para inventariar recursos de forma contínua. Etiquetar os recursos do CDE com uma estratégia de tags consistente e impô-la com tag policies do Organizations. Gerar o inventário de componentes em escopo a partir do Config. Revisar o escopo pelo menos anualmente e após mudanças significativas.

Implementação prática

Como este controle é implementado em cada arquitetura de referência:

Mantenha um inventário preciso e sempre vigente dos componentes em escopo para que o escopo PCI seja conhecido e defensável.

  1. Habilite o AWS Config para inventariar os recursos de forma contínua na conta.
    Detecção em toda a conta AWS Config
  2. Marque os recursos do CDE com uma estratégia de tags consistente e gere o inventário em escopo filtrando o Config por essas tags.
    Todos os recursos do CDE AWS Config
  3. Revise o escopo pelo menos anualmente e após mudanças significativas, registrando a data da revisão.
    Documentação de escopo

Como validar: O Config produz um inventário vigente marcado do CDE, e o documento de escopo mostra uma revisão nos últimos 12 meses.

Evite: Um inventário mantido à mão em uma planilha. Ele desvia; derive o inventário do Config para que se mantenha preciso automaticamente.

Conta única, 3 camadas →

Derive o inventário em escopo em toda a organização a partir de um agregador do Config, com as tags impostas por política.

  1. Agregue o inventário de recursos na OU de PCI com um agregador do Config na conta de ferramentas de segurança.
    Conta de ferramentas de segurança → OU de PCI AWS Config AWS Organizations
  2. Imponha a estratégia de tags do CDE com tag policies do Organizations para que a marcação seja consistente em todos os lugares.
    OU de PCI (guarda-corpo) AWS Organizations
  3. Derive e revise o inventário em escopo em toda a organização pelo menos anualmente.
    Conta de ferramentas de segurança AWS Config

Como validar: O agregador do Config lista os recursos do CDE em todas as contas, as tag policies impõem o esquema, e a revisão de escopo em toda a organização está vigente.

Evite: Inventariar cada conta separadamente. Agregue com um agregador do Config para que o escopo seja completo e consistente.

Multi-conta com uma OU dedicada ao PCI →

Validação PCI

Métodos de comprovação: examineinterview

Procedimentos de teste

  • Examinar o inventário para verificar que inclui todos os componentes do sistema em escopo com uma descrição de função/uso, e entrevistar o pessoal para confirmar que é mantido atualizado (12.5.1.a, 12.5.1.b).
  • Examinar os resultados documentados das revisões de escopo e entrevistar o pessoal para verificar que o escopo é confirmado pelo menos a cada 12 meses e após mudanças significativas (12.5.2.a, 12.5.2.b).

Evidência na AWS

  • Inventário de recursos do AWS Config filtrado por tags do CDE.
  • Tag policies do Organizations aplicadas ao CDE.
  • Documento de escopo PCI com data da última revisão (<= 12 meses).

Abordagem personalizada

Requer uma análise de risco direcionada (Req 12.3.2).

Objetivo da abordagem personalizada

  • 12.5 — Todos os componentes do sistema dentro do escopo do PCI DSS estão identificados e são conhecidos.

Serviços AWS

AWS Config AWS Organizations AWS Resource Groups

Recursos de aprendizado

Referências

  • AWS Security Maturity Model: Define scope, Inventory
  • PCI DSS v4.0.1 Requirement 12.5