PCI DSS Security Maturity Model·AWS v1.1.0

Arraste para explorar · faça pinça para ampliar
Início / Matriz / Requisito 3 / c3.3
Foundational Application SecurityDomínio de segurança da perspectiva de segurança do AWS Cloud Adoption Framework (CAF), usado para organizar os controles. 👤 ClienteModelo de Responsabilidade Compartilhada da AWS: quem implementa e opera este controle. Cliente = é seu; AWS = a AWS opera e você o herda; Compartilhada = ambos têm obrigações.

c3.3 Mascarar o PAN ao exibi-lo

Mascarar o PAN ao exibi-lo, mostrando no máximo os seis primeiros e os quatro últimos dígitos, de modo que apenas o pessoal com necessidade legítima de negócio possa ver mais.

Quick Wins
Foundational
Efficient
Optimized
Esforço: Médio Impacto: Médio Aplica ao CDE: Sim

Requisito 3

Proteger os Dados Armazenados da Conta

Sub-requisitos PCI cobertosCobertura mostrada por sub-controle do PCI DSS v4.0.1. “Coberto” = atendido por esta recomendação da AWS. “No roadmap” = técnico, planejado. “Sua responsabilidade” = controle organizacional/de processo. “Fora do escopo” = controle físico ou de terceiros não implementado na AWS.

3.4 O acesso à exibição do PAN completo e a capacidade de copiá-lo são restringidos
  • 3.4.1 PAN masked when displayed (max BIN + last four) Coberto
  • 3.4.2 Technical controls prevent copy/relocation of PAN on remote access No roadmap

Como implementar na AWS

Implementar o mascaramento na camada de aplicação e de API. Usar tokenização quando possível para que as aplicações downstream nunca manipulem o PAN completo. Registrar e controlar, via IAM/aplicação, quem tem necessidade de ver o PAN completo.

Implementação prática

Como este controle é implementado em cada arquitetura de referência:

Mostre no máximo BIN + últimos quatro por padrão, restrinja a visão do PAN completo aos poucos papéis que precisam dela e prefira a tokenização para que a maioria dos serviços nunca toque o PAN completo.

  1. Implemente o mascaramento do PAN na camada de aplicação e exponha apenas o PAN mascarado pela camada de API (por exemplo, transformando no Lambda / API Gateway).
    Camada de app (CDE) AWS Lambda API Gateway
  2. Restrinja os poucos operadores que podem ver o PAN completo com papéis IAM dedicados, e registre esses acessos.
    Camada de app (CDE) IAM
  3. Prefira a tokenização para que os serviços e a analítica a jusante lidem com um token, nunca com o PAN completo.
    Camada de app (CDE)

Como validar: As telas/recibos mostram o PAN mascarado, e apenas os papéis documentados podem recuperar o PAN completo (verificado com uma revisão de política IAM e um teste de acesso).

Evite: Mascarar apenas na interface enquanto a API ainda retorna o PAN completo. Mascare na camada de dados/API para que uma chamada direta à API não exponha o PAN completo.

Conta única, 3 camadas →

Aplique o mesmo padrão de mascaramento/tokenização em cada conta do CDE e, onde a tokenização for compartilhada, isole-a na própria conta com acesso entre contas restrito.

  1. Aplique o padrão de mascaramento na API e de restrição por papel de forma consistente em cada conta de carga do CDE.
    Cada conta de carga do CDE AWS Lambda API Gateway IAM
  2. Onde um serviço de tokenização for compartilhado, hospede-o em uma conta dedicada e conceda acesso entre contas de forma restrita por papéis IAM.
    Conta de tokenização dedicada IAM
  3. Aplique um perímetro de dados (SCP / políticas de recursos) para que o PAN completo não possa ser copiado para contas fora do limite aprovado.
    OU de PCI (guarda-corpo) AWS Organizations

Como validar: Cada conta do CDE exibe o PAN mascarado, e a política de perímetro de dados bloqueia uma cópia de teste de dados com PAN completo para uma conta fora de escopo.

Evite: Duplicar um repositório de PAN completo em cada conta por conveniência. Centralize a tokenização e compartilhe tokens, não PAN, entre contas.

Multi-conta com uma OU dedicada ao PCI →

Validação PCI

Métodos de comprovação: examineobserve

Procedimentos de teste

  • Examinar as políticas documentadas para verificar que os papéis que precisam ver mais que o BIN e os quatro últimos dígitos estão listados com necessidade de negócio legítima (3.4.1.a).
  • Examinar as configurações do sistema para verificar que o PAN completo só é exibido para papéis com necessidade de negócio documentada e mascarado para os demais (3.4.1.b).
  • Examinar as exibições reais do PAN (tela, recibos) para verificar que o PAN está mascarado e que apenas os papéis autorizados veem mais que BIN/quatro últimos dígitos (3.4.1.c).

Evidência na AWS

  • Capturas/configuração da aplicação mostrando o PAN mascarado.
  • Políticas IAM/papéis de aplicação que limitam o acesso à visualização completa do PAN.
  • Definição da lógica de mascaramento no Lambda/API Gateway.

Abordagem personalizada

Requer uma análise de risco direcionada (Req 12.3.2).

Objetivo da abordagem personalizada

  • 3.4 — O PAN não pode ser visto por ninguém sem uma necessidade legítima de negócio de ver o PAN completo, nem pode ser copiado ou realocado por pessoal não autorizado por meio de tecnologias de acesso remoto.

Serviços AWS

AWS Lambda Amazon API Gateway AWS IAM

Recursos de aprendizado

Referências

  • PCI DSS v4.0.1 Requirement 3.4