PCI DSS Security Maturity Model·AWS v1.1.0

Arraste para explorar · faça pinça para ampliar
Início / Matriz / Requisito 12 / c12.2
Quick Wins Security GovernanceDomínio de segurança da perspectiva de segurança do AWS Cloud Adoption Framework (CAF), usado para organizar os controles. 👤 ClienteModelo de Responsabilidade Compartilhada da AWS: quem implementa e opera este controle. Cliente = é seu; AWS = a AWS opera e você o herda; Compartilhada = ambos têm obrigações.

c12.2 Estabelecer políticas de segurança e de uso aceitável

Estabelecer, publicar e manter uma política abrangente de segurança da informação e políticas de uso aceitável das tecnologias, revisadas pelo menos anualmente.

Quick Wins
Foundational
Efficient
Optimized
Esforço: Baixo Impacto: Médio Aplica ao CDE: Não

Requisito 12

Apoiar a Segurança da Informação com Políticas e Programas Organizacionais

Sub-requisitos PCI cobertosCobertura mostrada por sub-controle do PCI DSS v4.0.1. “Coberto” = atendido por esta recomendação da AWS. “No roadmap” = técnico, planejado. “Sua responsabilidade” = controle organizacional/de processo. “Fora do escopo” = controle físico ou de terceiros não implementado na AWS.

12.1 Uma política abrangente de segurança da informação é estabelecida, publicada, mantida e disseminada
  • 12.1.1 Information security policy established, published, maintained Sua responsabilidade
  • 12.1.2 Information security policy reviewed at least annually Sua responsabilidade
  • 12.1.3 Security policy defines roles and responsibilities Sua responsabilidade
  • 12.1.4 Responsibility for information security formally assigned to a CISO Sua responsabilidade
12.2 Políticas de uso aceitável para tecnologias de usuário final são definidas e implementadas
  • 12.2.1 Acceptable use policies for end-user technologies defined Sua responsabilidade

Como implementar na AWS

Documentar as políticas de segurança e de uso aceitável e publicá-las ao pessoal. Codificar os controles técnicos que sustentam a política como guardrails (SCPs, Config rules) para que a intenção da política seja aplicada tecnicamente. Revisar e atualizar as políticas pelo menos a cada 12 meses.

Implementação prática

Como este controle é implementado em cada arquitetura de referência:

Escreva e publique as políticas de segurança e de uso aceitável, e torne sua intenção tecnicamente exigível em vez de aspiracional.

  1. Documente a política de segurança da informação e as políticas de uso aceitável e publique-as ao pessoal.
    Documentação de governança
  2. Respalde a política com guarda-corpos técnicos (regras do Config, políticas IAM) para que a intenção seja aplicada, não apenas escrita.
    Toda a conta AWS Config IAM
  3. Revise e atualize as políticas pelo menos a cada 12 meses.
    Documentação de governança

Como validar: As políticas existem, estão publicadas, revisadas em 12 meses, e refletidas em controles do Config/IAM que as fazem cumprir.

Evite: Um PDF de política sem respaldo técnico. Codifique a intenção como guarda-corpos para que seja aplicada de fato.

Conta única, 3 camadas →

Codifique a intenção da política como guarda-corpos de toda a organização para que a política escrita seja tecnicamente exigível em cada conta.

  1. Publique as políticas de segurança e uso aceitável no nível da organização uma vez para todo o pessoal.
    Documentação de governança da organização
  2. Aplique a política com SCPs na OU de PCI mais conformance packs do Config em toda a organização.
    OU de PCI (guarda-corpo) AWS Organizations AWS Config
  3. Revise e atualize políticas e guarda-corpos pelo menos anualmente.
    Governança da organização

Como validar: As SCPs e os conformance packs implementam a política escrita em todas as contas, e a revisão da política está vigente.

Evite: Políticas que cada conta interpreta de forma diferente. Codifique-as como SCPs/conformance packs de toda a organização para uma aplicação uniforme.

Multi-conta com uma OU dedicada ao PCI →

Validação PCI

Métodos de comprovação: examineinterview

Procedimentos de teste

  • Examinar a política de segurança da informação e entrevistar o pessoal para verificar que está estabelecida, publicada, mantida e revisada pelo menos a cada 12 meses (12.1.1, 12.1.2).
  • Examinar as políticas de uso aceitável das tecnologias de usuário final e entrevistar o pessoal para verificar que estão documentadas e implementadas conforme o requisito (12.2.1).

Evidência na AWS

  • Documentos de política de segurança e de uso aceitável com histórico de revisão anual.
  • Guardrails técnicos (SCPs/Config rules) que refletem a política.
  • Evidência de comunicação das políticas ao pessoal.

Abordagem personalizada

Requer uma análise de risco direcionada (Req 12.3.2).

Objetivo da abordagem personalizada

  • 12.1 — Os objetivos e princípios estratégicos da segurança da informação estão definidos, adotados e são conhecidos por todo o pessoal.
  • 12.2 — O uso das tecnologias de usuário final está definido e gerenciado para garantir um uso autorizado.

Serviços AWS

AWS Organizations AWS Config

Recursos de aprendizado

Referências

  • PCI DSS v4.0.1 Requirements 12.1, 12.2