c12.4 Programa de conscientização em segurança
Implementar um programa formal de conscientização em segurança para que o pessoal compreenda seu papel na proteção dos dados da conta, com atualizações conforme surgem novas ameaças.
Requisito 12
Apoiar a Segurança da Informação com Políticas e Programas Organizacionais
Sub-requisitos PCI cobertosCobertura mostrada por sub-controle do PCI DSS v4.0.1. “Coberto” = atendido por esta recomendação da AWS. “No roadmap” = técnico, planejado. “Sua responsabilidade” = controle organizacional/de processo. “Fora do escopo” = controle físico ou de terceiros não implementado na AWS.
12.6 A educação em conscientização de segurança é uma atividade contínua
- 12.6.1 Security awareness program implemented Sua responsabilidade
- 12.6.2 Security awareness program reviewed and updated annually Sua responsabilidade
- 12.6.3 Personnel receive security awareness training Sua responsabilidade
- 12.6.3.1 Training includes threats/vulnerabilities to the CDE Sua responsabilidade
- 12.6.3.2 Training includes acceptable use of end-user technologies Sua responsabilidade
Como implementar na AWS
Estabelecer treinamento na admissão e pelo menos anualmente, incluindo phishing e engenharia social. Manter registros de participação/conclusão. Atualizar o conteúdo conforme surgem ameaças. Reforçar com a proteção técnica anti-phishing do Requisito 5.4.
Implementação prática
Como este controle é implementado em cada arquitetura de referência:
Treine o pessoal sobre seu papel na proteção dos dados de conta na contratação e anualmente, e reforce com os controles técnicos anti-phishing do Req 5.4.
- Ministre treinamento de conscientização de segurança na contratação e pelo menos a cada 12 meses, incluindo phishing e engenharia social.
- Mantenha registros de presença/conclusão e um reconhecimento anual da política.
- Reforce o controle humano com os guarda-corpos técnicos anti-phishing do Requisito 5.4 (SPF/DKIM/DMARC, DNS Firewall).Controles de e-mail / DNS Route 53 DNS Firewall
Amazon SES
Como validar: Os registros de treinamento mostram conclusão na contratação + anual, e os controles técnicos anti-phishing de 5.4 estão em vigor.
Evite: Slides uma vez ao ano sem reforço. Combine o treinamento com controles técnicos e atualize o conteúdo conforme as ameaças mudam.
A conscientização é um controle organizacional (não por conta): um programa para todo o pessoal, ligado aos guarda-corpos técnicos compartilhados.
- Execute um único programa de conscientização para todo o pessoal da organização.
- Ligue os guarda-corpos anti-phishing das contas compartilhadas (do Req 5.4) ao programa para que o treinamento e os controles se reforcem mutuamente.Conta compartilhada / de rede Route 53 DNS Firewall Amazon SES
- Mantenha os registros de conclusão de forma central.Registros de treinamento da organização
Amazon S3
Como validar: Um único programa em toda a organização com registros de conclusão centrais, respaldado pelos guarda-corpos anti-phishing compartilhados.
Evite: Treinamento separado e inconsistente por equipe/conta. Execute um único programa e mantenha registros centrais.
Validação PCI
Procedimentos de teste
- Examinar o programa de conscientização para verificar que educa o pessoal sobre a política de segurança e seu papel na proteção dos dados do portador do cartão (12.6.1).
- Examinar os registros do programa para verificar que o pessoal participa do treinamento na admissão e pelo menos a cada 12 meses, e que reconhece a política anualmente (12.6.3.a, 12.6.3.d).
Evidência na AWS
- Materiais do programa de conscientização e seu calendário.
- Registros de conclusão do treinamento pelo pessoal.
- Atualizações de conteúdo ante novas ameaças.
Abordagem personalizada
Requer uma análise de risco direcionada (Req 12.3.2).
Objetivo da abordagem personalizada
- 12.6 — O pessoal conhece o panorama de ameaças e sua responsabilidade na operação dos controles de segurança relevantes.
Serviços AWS
Recursos de aprendizado
- AWS Skill Builder (doc)
Referências
- PCI DSS v4.0.1 Requirement 12.6