c12.3 Formalizar a gestão de riscos (análise de risco direcionada)
Realizar as análises de risco direcionadas (targeted risk analysis) que a v4.0.1 exige para embasar a frequência de determinados controles e a gestão de riscos da organização.
Requisito 12
Apoiar a Segurança da Informação com Políticas e Programas Organizacionais
Sub-requisitos PCI cobertosCobertura mostrada por sub-controle do PCI DSS v4.0.1. “Coberto” = atendido por esta recomendação da AWS. “No roadmap” = técnico, planejado. “Sua responsabilidade” = controle organizacional/de processo. “Fora do escopo” = controle físico ou de terceiros não implementado na AWS.
12.3 Os riscos ao CDE são formalmente identificados, avaliados e gerenciados
- 12.3.1 Targeted risk analyses documented for flexible requirements Sua responsabilidade
- 12.3.2 Targeted risk analysis for customized-approach requirements Sua responsabilidade
- 12.3.3 Cryptographic cipher suites and protocols inventoried and reviewed Coberto
- 12.3.4 Hardware/software technologies reviewed for continued support Sua responsabilidade
Como implementar na AWS
Estabelecer um processo de targeted risk analysis para os requisitos que o permitem. Apoiar a identificação de riscos com a postura observada no Security Hub e no AWS Config. Documentar as análises, sua periodicidade e as decisões decorrentes. Revisar pelo menos a cada 12 meses.
Implementação prática
Como este controle é implementado em cada arquitetura de referência:
Execute as análises de risco direcionadas exigidas pela v4.0.1, fundamentadas na postura de segurança real que você pode observar.
- Estabeleça um processo de análise de risco direcionada (TRA) para cada requisito que permita uma frequência baseada em risco (12.3.1).
- Fundamente as análises na postura observada no Security Hub e no AWS Config em vez de suposições.Detecção em toda a conta
Security Hub 
AWS Config - Documente cada TRA, sua periodicidade e as decisões resultantes; revise pelo menos a cada 12 meses.
Como validar: Existem TRAs documentados para os requisitos elegíveis, referenciam entradas de postura, e mostram revisão em 12 meses.
Evite: Escolher frequências de controle de forma arbitrária. A v4.0.1 quer uma análise documentada e baseada em risco por trás de cada frequência personalizável.
Alimente as análises de risco com a postura de toda a organização para que as decisões reflitam o estado de todas as contas do CDE, não apenas uma.
- Agregue a postura dos agregadores do Security Hub / Config na OU de PCI como entradas do TRA.Conta de ferramentas de segurança Security Hub AWS Config
AWS Organizations - Execute os TRAs uma vez no nível da organização onde o risco é comum a todas as contas do CDE.
- Documente as decisões e revise pelo menos anualmente.
Como validar: Os TRAs referenciam a postura de toda a organização e cobrem todas as contas do CDE, com decisões documentadas revisadas em 12 meses.
Evite: Basear decisões de risco de toda a organização na postura de uma conta. Use a visão agregada para que a análise reflita a realidade.
Validação PCI
Procedimentos de teste
- Examinar as políticas documentadas para verificar que há um processo definido para realizar uma análise de risco direcionada para cada requisito que o permita, cobrindo todos os elementos requeridos (12.3.1).
- Examinar a documentação das suítes/protocolos criptográficos e das tecnologias de hardware/software em uso e entrevistar o pessoal para verificar a revisão periódica (12.3.3, 12.3.4).
Evidência na AWS
- Documentos de targeted risk analysis com periodicidade e decisões.
- Insumos de postura de risco do Security Hub/Config referenciados.
- Evidência de revisão pelo menos a cada 12 meses.
Abordagem personalizada
Requer uma análise de risco direcionada (Req 12.3.2).
Objetivo da abordagem personalizada
- 12.3 — É mantido um conhecimento e uma avaliação atualizados dos riscos ao CDE.
Serviços AWS
AWS Security Hub AWS Config Recursos de aprendizado
Referências
- PCI DSS v4.0.1 Requirement 12.3