PCI DSS Security Maturity Model·AWS v1.1.0

Arraste para explorar · faça pinça para ampliar
Início / Matriz / Requisito 12 / c12.6
Efficient Incident ResponseDomínio de segurança da perspectiva de segurança do AWS Cloud Adoption Framework (CAF), usado para organizar os controles. 👤 ClienteModelo de Responsabilidade Compartilhada da AWS: quem implementa e opera este controle. Cliente = é seu; AWS = a AWS opera e você o herda; Compartilhada = ambos têm obrigações.

c12.6 Plano de resposta a incidentes automatizado

Manter um plano de resposta a incidentes que permita responder de imediato ante suspeita ou confirmação de um comprometimento de dados da conta, com capacidades de detecção, contenção e análise na AWS.

Quick Wins
Foundational
Efficient
Optimized
Esforço: Alto Impacto: Alto Aplica ao CDE: Sim

Requisito 12

Apoiar a Segurança da Informação com Políticas e Programas Organizacionais

Sub-requisitos PCI cobertosCobertura mostrada por sub-controle do PCI DSS v4.0.1. “Coberto” = atendido por esta recomendação da AWS. “No roadmap” = técnico, planejado. “Sua responsabilidade” = controle organizacional/de processo. “Fora do escopo” = controle físico ou de terceiros não implementado na AWS.

12.10 Incidentes de segurança suspeitos e confirmados são respondidos imediatamente
  • 12.10.1 Incident response plan exists and is ready to activate Sua responsabilidade
  • 12.10.2 Incident response plan reviewed and tested at least annually Sua responsabilidade
  • 12.10.3 Specific personnel available 24/7 to respond to incidents Sua responsabilidade
  • 12.10.4 Personnel responsible for incident response trained Sua responsabilidade
  • 12.10.4.1 Frequency of IR training defined by targeted risk analysis Sua responsabilidade
  • 12.10.5 IR plan includes monitoring/responding to security control alerts Coberto
  • 12.10.6 IR plan modified/evolved per lessons learned Sua responsabilidade
  • 12.10.7 IR procedures for unexpected stored PAN detection Coberto

Como implementar na AWS

Documentar o plano de resposta (papéis, comunicação, escalonamento) e testá-lo pelo menos anualmente. Orquestrar playbooks com EventBridge, Lambda e Step Functions a partir de achados do Security Hub/GuardDuty. Preparar capacidades forenses (Amazon Detective, snapshots isolados). Realizar exercícios de simulação (game days).

Implementação prática

Como este controle é implementado em cada arquitetura de referência:

Mantenha um plano de resposta a incidentes testado com capacidades automatizadas de detecção, contenção e forense.

  1. Documente o plano de IR (papéis, comunicação, escalonamento, cobertura 24/7) e teste-o pelo menos anualmente.
    Plano de IR
  2. Orquestre playbooks de resposta com EventBridge, Lambda e Step Functions disparados por achados do GuardDuty/Security Hub.
    Automação da conta EventBridge AWS Lambda Step Functions GuardDuty
  3. Prepare capacidades forenses (Amazon Detective, snapshots isolados) e execute exercícios de simulação (game days).
    Toda a conta Amazon Detective

Como validar: O plano de IR existe com todos os elementos exigidos, foi testado nos últimos 12 meses, e há playbooks automatizados mais forense com o Detective.

Evite: Um plano no papel nunca exercitado. Teste-o anualmente com game days para que a automação e os papéis funcionem sob pressão.

Conta única, 3 camadas →

Execute a resposta a incidentes a partir da conta de ferramentas de segurança com alcance entre contas para conter e investigar em qualquer conta do CDE.

  1. Opere a IR a partir da conta de ferramentas de segurança com base no fluxo de achados do GuardDuty/Security Hub de toda a organização.
    Conta de ferramentas de segurança GuardDuty Security Hub
  2. Use papéis entre contas com escopo limitado para que os respondedores possam conter e investigar em qualquer conta do CDE, com playbooks no EventBridge/Lambda/Step Functions.
    Conta de ferramentas de segurança → contas do CDE EventBridge AWS Lambda Step Functions
  3. Execute forense (Amazon Detective sobre os dados centrais) e teste o plano em toda a organização com game days.
    Conta de ferramentas de segurança Amazon Detective

Como validar: A IR opera em toda a organização a partir da conta de segurança, a contenção entre contas funciona em um teste de game day, e o Detective cobre os dados centrais.

Evite: Uma configuração de IR separada por conta. Centralize com papéis entre contas para que a resposta seja rápida e consistente em todos os lugares.

Multi-conta com uma OU dedicada ao PCI →

Validação PCI

Métodos de comprovação: examineinterviewobserve

Procedimentos de teste

  • Examinar o plano de resposta a incidentes para verificar que existe e inclui todos os elementos requeridos, e revisar incidentes anteriores para confirmar que o plano foi seguido (12.10.1.a, 12.10.1.b).
  • Entrevistar o pessoal e revisar a documentação para verificar que o plano é revisado/atualizado e testado pelo menos a cada 12 meses (12.10.2), que há pessoal designado disponível 24/7 (12.10.3) e que o monitoramento/resposta a alertas é coberto (12.10.5).

Evidência na AWS

  • Plano de resposta a incidentes documentado e evidência de seu teste anual.
  • Playbooks automatizados (EventBridge/Lambda/Step Functions) e seu histórico.
  • Capacidades forenses habilitadas (Amazon Detective) e registros de game days.

Abordagem personalizada

Requer uma análise de risco direcionada (Req 12.3.2).

Objetivo da abordagem personalizada

  • 12.10 — Os incidentes de segurança suspeitos e confirmados que possam afetar o CDE são respondidos de imediato conforme um plano de resposta a incidentes mantido e testado.

Serviços AWS

AWS Security Hub Amazon GuardDuty Amazon Detective AWS Step Functions Amazon EventBridge

Recursos de aprendizado

Referências

  • AWS Security Maturity Model: Incident response playbooks, Simulations
  • PCI DSS v4.0.1 Requirement 12.10