PCI DSS Security Maturity Model·AWS v1.1.0

Arraste para explorar · faça pinça para ampliar
Início / Matriz / Requisito 12 / c12.5
Foundational Security GovernanceDomínio de segurança da perspectiva de segurança do AWS Cloud Adoption Framework (CAF), usado para organizar os controles. 👤 ClienteModelo de Responsabilidade Compartilhada da AWS: quem implementa e opera este controle. Cliente = é seu; AWS = a AWS opera e você o herda; Compartilhada = ambos têm obrigações.

c12.5 Gestão de risco de provedores de serviço (TPSP) e responsabilidade compartilhada

Gerenciar o risco associado aos provedores de serviço com acesso aos dados da conta ou que possam afetar a segurança do CDE, incluindo a AWS, com uma matriz de responsabilidade compartilhada clara.

Quick Wins
Foundational
Efficient
Optimized
Esforço: Médio Impacto: Alto Aplica ao CDE: Sim

Requisito 12

Apoiar a Segurança da Informação com Políticas e Programas Organizacionais

Sub-requisitos PCI cobertosCobertura mostrada por sub-controle do PCI DSS v4.0.1. “Coberto” = atendido por esta recomendação da AWS. “No roadmap” = técnico, planejado. “Sua responsabilidade” = controle organizacional/de processo. “Fora do escopo” = controle físico ou de terceiros não implementado na AWS.

12.8 O risco aos ativos de informação associado a relações com provedores de serviço terceirizados (TPSP) é gerenciado
  • 12.8.1 List of third-party service providers (TPSPs) maintained Sua responsabilidade
  • 12.8.2 Written agreements with TPSPs maintained Sua responsabilidade
  • 12.8.3 Process for engaging TPSPs including due diligence Sua responsabilidade
  • 12.8.4 Program to monitor TPSP PCI DSS compliance status Sua responsabilidade
  • 12.8.5 Information about PCI DSS responsibilities managed with TPSPs Sua responsabilidade

Como implementar na AWS

Manter uma lista de TPSPs (incluindo a AWS) e monitorar seu status de conformidade PCI por meio dos AOCs obtidos no AWS Artifact. Documentar por escrito quais requisitos cada parte gerencia (matriz de responsabilidade compartilhada). Revisar o status de conformidade dos TPSPs pelo menos anualmente.

Implementação prática

Como este controle é implementado em cada arquitetura de referência:

Rastreie cada provedor de serviços de terceiros (incluindo a AWS), monitore seu status PCI e documente quem é dono de cada requisito.

  1. Mantenha uma lista de TPSP (incluindo a AWS) com o serviço que cada um fornece.
    Registro de TPSP
  2. Monitore a conformidade PCI de cada TPSP via seus AOCs, obtendo o AOC da AWS no AWS Artifact.
    AWS Artifact / evidência AWS Artifact
  3. Mantenha uma matriz de responsabilidade compartilhada escrita que mapeie cada requisito PCI para a AWS, a entidade ou compartilhado; revise anualmente.
    Matriz de responsabilidade compartilhada

Como validar: A lista de TPSP está vigente, o status PCI de cada provedor é monitorado (AOC da AWS em arquivo), e a matriz de responsabilidade cobre cada requisito.

Evite: Assumir «a AWS está em conformidade, então estamos cobertos». Documente exatamente quais requisitos são da AWS vs. seus na matriz de responsabilidade.

Conta única, 3 camadas →

Gerencie a lista de TPSP e os AOCs da AWS uma vez no nível da organização com uma única matriz de responsabilidade para toda a OU de PCI.

  1. Obtenha o AOC da AWS uma vez via os acordos de organização do AWS Artifact para toda a organização.
    Conta de gerenciamento/Artifact (org) AWS Artifact AWS Organizations
  2. Mantenha a lista de TPSP e o monitoramento de status PCI no nível da organização.
    Registro de TPSP da organização
  3. Mantenha uma única matriz de responsabilidade compartilhada que se aplique a cada conta sob a OU de PCI.
    Matriz de responsabilidade da organização

Como validar: Um único registro de TPSP, AOC da AWS e matriz de responsabilidade no nível da organização cobrem todas as contas da OU de PCI e são revisados anualmente.

Evite: Um registro/matriz de TPSP separado por conta. Gerencie-o uma vez no nível da organização para que nada entre em conflito ou expire.

Multi-conta com uma OU dedicada ao PCI →

Validação PCI

Métodos de comprovação: examineinterview

Procedimentos de teste

  • Examinar a documentação para verificar que é mantida uma lista de todos os TPSPs com uma descrição dos serviços prestados (12.8.1.b).
  • Examinar a documentação e entrevistar o pessoal para verificar que o status de conformidade PCI DSS de cada TPSP é monitorado pelo menos a cada 12 meses (12.8.4.b).
  • Verificar que a entidade mantém informações sobre quais requisitos PCI DSS são gerenciados por cada TPSP, quais pela entidade e quais são compartilhados (12.8.5.a, 12.8.5.b).

Evidência na AWS

  • Lista de TPSPs incluindo a AWS e seus AOCs obtidos via AWS Artifact.
  • Matriz de responsabilidade compartilhada por requisito PCI.
  • Evidência de revisão anual do status de conformidade dos TPSPs.

Abordagem personalizada

Requer uma análise de risco direcionada (Req 12.3.2).

Objetivo da abordagem personalizada

  • 12.8 — São mantidos registros dos provedores de serviço (TPSP) e dos serviços prestados, e seu status de conformidade PCI DSS é monitorado.

Serviços AWS

AWS Artifact

Recursos de aprendizado

Referências

  • PCI DSS v4.0.1 Requirement 12.8