PCI DSS Security Maturity Model·AWS v1.1.0

Arraste para explorar · faça pinça para ampliar
Início / Matriz / Requisito 3 / c3.1
Quick Wins Data ProtectionDomínio de segurança da perspectiva de segurança do AWS Cloud Adoption Framework (CAF), usado para organizar os controles. 👤 ClienteModelo de Responsabilidade Compartilhada da AWS: quem implementa e opera este controle. Cliente = é seu; AWS = a AWS opera e você o herda; Compartilhada = ambos têm obrigações.

c3.1 Habilitar criptografia em repouso por padrão (EBS, S3, RDS)

Ativar a criptografia em repouso por padrão nos serviços de armazenamento que possam conter dados da conta, tornando o PAN ilegível onde quer que seja armazenado. É um quick win de alto impacto habilitável no nível de conta/Região.

Quick Wins
Foundational
Efficient
Optimized
Esforço: Baixo Impacto: Alto Aplica ao CDE: Sim

Requisito 3

Proteger os Dados Armazenados da Conta

Sub-requisitos PCI cobertosCobertura mostrada por sub-controle do PCI DSS v4.0.1. “Coberto” = atendido por esta recomendação da AWS. “No roadmap” = técnico, planejado. “Sua responsabilidade” = controle organizacional/de processo. “Fora do escopo” = controle físico ou de terceiros não implementado na AWS.

3.5 O PAN é protegido onde quer que seja armazenado
  • 3.5.1 PAN rendered unreadable wherever stored (hash/truncation/tokenization/encryption) Coberto

Como implementar na AWS

Habilitar a criptografia padrão do EBS no nível da Região. Aplicar criptografia em buckets S3 (SSE-KMS) e bloquear objetos não criptografados via política. Habilitar criptografia no RDS/Aurora na criação das instâncias. Usar o AWS KMS com chaves gerenciadas pelo cliente (CMKs) para o CDE. Detectar recursos não criptografados com o AWS Config.

Implementação prática

Como este controle é implementado em cada arquitetura de referência:

Ative a criptografia em repouso por padrão em cada serviço de armazenamento da camada de dados, com uma chave do KMS gerenciada pelo cliente e com escopo no CDE, e detecte qualquer coisa sem criptografia.

  1. Habilite a criptografia padrão do EBS para a Região para que cada novo volume seja criptografado automaticamente.
    Base de conta/Região Amazon EC2 AWS KMS
  2. Ative o SSE-KMS nos buckets S3 e nas instâncias RDS do CDE usando uma chave do KMS gerenciada pelo cliente com escopo no CDE, e adicione uma política de bucket que negue PutObject sem criptografia.
    Camada de dados (CDE) Amazon S3 Amazon RDS AWS KMS
  3. Detecte qualquer volume, bucket ou banco de dados sem criptografia com as regras gerenciadas do AWS Config (encrypted-volumes, rds-storage-encrypted, s3-bucket-server-side-encryption-enabled).
    Detecção em toda a conta AWS Config

Como validar: As três regras de criptografia do Config reportam COMPLIANT, e um PutObject de teste sem SSE-KMS para um bucket do CDE é negado pela política do bucket.

Evite: Depender da chave gerenciada pela AWS por padrão para os dados do CDE. Use uma chave gerenciada pelo cliente para controlar a política de chave, a rotação e separar os administradores de chave dos de dados.

Conta única, 3 camadas →

Torne a criptografia em repouso não opcional em toda a OU de PCI com SCPs preventivas mais o Config detectivo, e mantenha as chaves por conta para isolar o raio de impacto.

  1. Anexe SCPs à OU de PCI que neguem criar volumes EBS, instâncias RDS e buckets S3 sem criptografia (e neguem desativar a criptografia padrão do EBS).
    OU de PCI (guarda-corpo) AWS Organizations
  2. Implante um conformance pack do Config em toda a organização para que cada conta do CDE seja avaliada com as mesmas regras de criptografia e reportada ao administrador delegado.
    Conta de ferramentas de segurança → OU de PCI AWS Config
  3. Mantenha as chaves do KMS gerenciadas pelo cliente por cada conta do CDE (sem chaves de dados compartilhadas entre contas) para que um comprometimento fique contido.
    Cada conta de carga do CDE AWS KMS

Como validar: O conformance pack mostra as regras de criptografia em COMPLIANT em todas as contas da OU de PCI, e um teste de SCP bloqueia criar uma instância RDS sem criptografia em uma conta do CDE.

Evite: Compartilhar uma única chave do KMS entre todas as contas do CDE por conveniência. Isso anula o isolamento do raio de impacto; defina chaves por conta e conceda o uso pela política de chave.

Multi-conta com uma OU dedicada ao PCI →

Validação PCI

Métodos de comprovação: examineobserve

Procedimentos de teste

  • Examinar a documentação do sistema usado para tornar o PAN ilegível (fornecedor, tipo, algoritmos) para verificar que o PAN é tornado ilegível por um método aprovado (3.5.1.a).
  • Examinar os repositórios de dados e os logs de auditoria, incluindo os logs de aplicações de pagamento, para verificar que o PAN é ilegível onde quer que seja armazenado (3.5.1.b).
  • Se for usada criptografia em nível de disco/partição, verificar que o acesso lógico é gerenciado de forma independente da autenticação do sistema operacional e que o acesso é separado (3.5.1.2, 3.5.1.3).

Evidência na AWS

  • Configuração de criptografia padrão do EBS habilitada na Região.
  • Políticas de bucket S3 e criptografia SSE-KMS ativa.
  • Relatório do AWS Config de recursos de armazenamento criptografados (encrypted-volumes, rds-storage-encrypted, s3-bucket-server-side-encryption-enabled).

Abordagem personalizada

Requer uma análise de risco direcionada (Req 12.3.2).

Objetivo da abordagem personalizada

  • 3.5 — O PAN em texto claro não pode ser lido a partir das mídias de armazenamento.

Serviços AWS

AWS KMS Amazon EBS Amazon S3 Amazon RDS AWS Config

Recursos de aprendizado

Referências

  • AWS Security Maturity Model: Encryption at rest