PCI DSS Security Maturity Model·AWS v1.1.0

Arraste para explorar · faça pinça para ampliar
Início / Matriz / Requisito 3 / c3.2
Foundational Data ProtectionDomínio de segurança da perspectiva de segurança do AWS Cloud Adoption Framework (CAF), usado para organizar os controles. 👤 ClienteModelo de Responsabilidade Compartilhada da AWS: quem implementa e opera este controle. Cliente = é seu; AWS = a AWS opera e você o herda; Compartilhada = ambos têm obrigações.

c3.2 Minimizar o armazenamento de dados da conta e não reter SAD

Minimizar os dados da conta armazenados aplicando políticas de retenção e expurgo, e garantir que os dados sensíveis de autenticação (SAD) não sejam retidos após a autorização.

Quick Wins
Foundational
Efficient
Optimized
Esforço: Médio Impacto: Alto Aplica ao CDE: Sim

Requisito 3

Proteger os Dados Armazenados da Conta

Sub-requisitos PCI cobertosCobertura mostrada por sub-controle do PCI DSS v4.0.1. “Coberto” = atendido por esta recomendação da AWS. “No roadmap” = técnico, planejado. “Sua responsabilidade” = controle organizacional/de processo. “Fora do escopo” = controle físico ou de terceiros não implementado na AWS.

3.2 O armazenamento de dados da conta é mantido no mínimo
  • 3.2.1 Account data storage minimized via retention and disposal policy Sua responsabilidade
3.3 Dados sensíveis de autenticação (SAD) não são armazenados após a autorização
  • 3.3.1 SAD not stored after authorization, even if encrypted Coberto
  • 3.3.2 SAD stored before authorization is encrypted with strong crypto Coberto
  • 3.3.3 Issuer SAD storage: minimal, encrypted, justified (issuers only) Coberto

Como implementar na AWS

Definir políticas de retenção com S3 Lifecycle e TTL do DynamoDB para expurgar dados da conta quando não forem mais necessários. Evitar armazenar SAD (trilha completa, CVV, PIN). Descobrir armazenamento inadvertido de dados da conta com o Amazon Macie. Documentar a justificativa de negócio, o período de retenção e o processo de exclusão segura.

Implementação prática

Como este controle é implementado em cada arquitetura de referência:

Armazene a menor quantidade de dados de conta pelo menor tempo, purgando-os automaticamente, e comprove que os dados sensíveis de autenticação (SAD) nunca são retidos após a autorização.

  1. Aplique regras de S3 Lifecycle e TTL do DynamoDB na camada de dados para que os dados de conta sejam purgados automaticamente ao passar sua janela de retenção documentada.
    Camada de dados (CDE) Amazon S3 DynamoDB
  2. Execute o Amazon Macie na conta para confirmar que não são armazenados SAD (track completo, CVV, PIN) nem PAN fora do local pretendido.
    Descoberta de dados na conta Amazon Macie
  3. Documente o período de retenção, a justificativa de negócio e o método de exclusão segura como o artefato de política que o avaliador examina.
    Política de retenção de dados

Como validar: As políticas de Lifecycle/TTL estão ativas nos repositórios do CDE, e um job atual do Macie não reporta SAD e localiza o PAN apenas no local aprovado.

Evite: Guardar dados de conta «por precaução». Cada cópia extra amplia o escopo e o risco; retenha apenas o que uma necessidade de negócio documentada exige e purgue o resto.

Conta única, 3 camadas →

Descubra dados de conta de forma central em cada conta do CDE e aplique a retenção como código, para que a minimização e o no-SAD sejam consistentes em toda a organização.

  1. Habilite o Amazon Macie a partir do administrador delegado na conta de ferramentas de segurança para escanear o S3 em todas as contas do CDE de um único lugar.
    Conta de ferramentas de segurança → OU de PCI Amazon Macie AWS Organizations
  2. Implante as políticas de retenção (S3 Lifecycle / TTL do DynamoDB) como código em cada conta do CDE para que o comportamento de purga seja idêntico em todas.
    Cada conta de carga do CDE Amazon S3 DynamoDB CloudFormation
  3. Centralize os achados de retenção e descoberta no Security Hub para uma única visão de conformidade.
    Conta de ferramentas de segurança Security Hub

Como validar: O Macie do administrador delegado não mostra SAD entre contas, e cada conta do CDE tem a política de retenção implantada com seu histórico de purga correspondente.

Evite: Executar o Macie de forma pontual por conta. Centralize a descoberta a partir do administrador delegado para que a cobertura seja completa e os achados comparáveis.

Multi-conta com uma OU dedicada ao PCI →

Validação PCI

Métodos de comprovação: examineobserveinterview

Procedimentos de teste

  • Examinar as políticas de retenção e descarte e entrevistar o pessoal para verificar que os processos limitam o armazenamento e a retenção de dados da conta ao necessário por negócio/legal/regulatório (3.2.1.a); examinar registros para confirmar que o volume e a retenção não excedem a política (3.2.1.b).
  • Observar os mecanismos usados para tornar os dados da conta irrecuperáveis (3.2.1.c).
  • Se o SAD for recebido, examinar políticas, procedimentos e configurações para verificar que o SAD não é armazenado após a autorização e é tornado irrecuperável (3.3.1.a, 3.3.1.b).

Evidência na AWS

  • Políticas de S3 Lifecycle / TTL do DynamoDB configuradas para expurgo.
  • Achados do Amazon Macie confirmando a ausência de SAD e a localização controlada do PAN.
  • Política documentada de retenção e descarte de dados da conta.

Abordagem personalizada

Requer uma análise de risco direcionada (Req 12.3.2).

Objetivo da abordagem personalizada

  • 3.2 — Os dados da conta são retidos apenas onde é necessário e pelo menor tempo requerido, e são excluídos de forma segura ou tornados irrecuperáveis quando não são mais necessários.

Serviços AWS

Amazon Macie Amazon S3 Amazon DynamoDB AWS Config

Recursos de aprendizado

Referências

  • AWS Security Maturity Model: Sensitive data discovery