PCI DSS Security Maturity Model·AWS v1.1.0

Arraste para explorar · faça pinça para ampliar
Início / Matriz / Requisito 3 / c3.5
Optimized Data ProtectionDomínio de segurança da perspectiva de segurança do AWS Cloud Adoption Framework (CAF), usado para organizar os controles. 👤 ClienteModelo de Responsabilidade Compartilhada da AWS: quem implementa e opera este controle. Cliente = é seu; AWS = a AWS opera e você o herda; Compartilhada = ambos têm obrigações.

c3.5 Descoberta contínua de dados da conta e prevenção de vazamentos

Automatizar a descoberta contínua de dados da conta em todo o patrimônio de dados para detectar armazenamento inadvertido de PAN fora do CDE definido e remediar automaticamente.

Quick Wins
Foundational
Efficient
Optimized
Esforço: Alto Impacto: Médio Aplica ao CDE: Sim

Requisito 3

Proteger os Dados Armazenados da Conta

Sub-requisitos PCI cobertosCobertura mostrada por sub-controle do PCI DSS v4.0.1. “Coberto” = atendido por esta recomendação da AWS. “No roadmap” = técnico, planejado. “Sua responsabilidade” = controle organizacional/de processo. “Fora do escopo” = controle físico ou de terceiros não implementado na AWS.

3.2 O armazenamento de dados da conta é mantido no mínimo
  • 3.2.1 Account data storage minimized via retention and disposal policy Sua responsabilidade
3.5 O PAN é protegido onde quer que seja armazenado
  • 3.5.1 PAN rendered unreadable wherever stored (hash/truncation/tokenization/encryption) Coberto

Como implementar na AWS

Agendar varreduras contínuas com o Amazon Macie sobre o S3 e correlacionar os achados no Security Hub. Automatizar respostas (quarentena, criptografia ou exclusão) com EventBridge + Lambda. Estender a descoberta a outros repositórios por meio de integrações. Reter evidência histórica do inventário de dados da conta.

Implementação prática

Como este controle é implementado em cada arquitetura de referência:

Alcance o estado otimizado: escaneie continuamente dados de conta fora do CDE e auto-remedie o PAN disperso, mantendo um inventário histórico como evidência.

  1. Agende jobs recorrentes do Amazon Macie sobre o S3 da conta para detectar PAN armazenado fora do local pretendido do CDE.
    Descoberta de dados na conta Amazon Macie
  2. Conecte EventBridge + Lambda para agir automaticamente sobre os achados do Macie, colocando em quarentena (política restritiva) ou excluindo o PAN encontrado fora do CDE.
    Automação da conta EventBridge AWS Lambda
  3. Mantenha um histórico do inventário de dados de conta e das ações de remediação como evidência de conformidade.
    Repositório de evidência da conta Amazon S3

Como validar: Os jobs do Macie são executados conforme o agendamento, e um objeto de teste colocado fora do CDE dispara quarentena/exclusão automática com uma ação registrada.

Evite: Escanear mas apenas alertar. Sem remediação automática, o PAN disperso permanece entre o achado e a resposta humana; conecte a remediação.

Conta única, 3 camadas →

Opere a descoberta contínua e a remediação automática de forma central, para que o PAN disperso em qualquer conta seja encontrado e tratado por um único pipeline consistente.

  1. Execute a descoberta contínua do Macie a partir da conta de ferramentas de segurança em todas as contas do CDE (e adjacentes).
    Conta de ferramentas de segurança → OU de PCI Amazon Macie AWS Organizations
  2. Correlacione os achados no Security Hub e dispare a remediação automática por meio de um barramento central do EventBridge, para que cada conta seja tratada da mesma forma.
    Conta de ferramentas de segurança Security Hub EventBridge AWS Lambda
  3. Entregue o inventário de descoberta e o histórico de remediação à conta de log-archive para retenção.
    Conta de log-archive Amazon S3

Como validar: O Macie do administrador delegado cobre todas as contas, o Security Hub mostra achados correlacionados, e um objeto de teste colocado em qualquer conta do CDE é auto-remediado pelo pipeline central.

Evite: Pipelines de descoberta por conta com lógica divergente. Centralize a descoberta e a remediação para que a cobertura e a resposta sejam uniformes e auditáveis.

Multi-conta com uma OU dedicada ao PCI →

Validação PCI

Métodos de comprovação: examineobserve

Procedimentos de teste

  • Examinar os arquivos e registros onde os dados da conta são armazenados para verificar que o volume e a retenção não excedem a política, e observar que os dados são tornados irrecuperáveis ao serem expurgados (3.2.1.b, 3.2.1.c).
  • Examinar os repositórios de dados e os logs de auditoria para verificar que o PAN é ilegível onde quer que resida (3.5.1.b).

Evidência na AWS

  • Jobs agendados do Amazon Macie e seu histórico de achados.
  • Automações de remediação (EventBridge/Lambda) e seu registro de execuções.
  • Inventário histórico das localizações dos dados da conta.

Abordagem personalizada

Requer uma análise de risco direcionada (Req 12.3.2).

Objetivo da abordagem personalizada

  • 3.2 — Os dados da conta são retidos apenas onde é necessário e pelo menor tempo requerido, e são excluídos de forma segura ou tornados irrecuperáveis quando não são mais necessários.
  • 3.5 — O PAN em texto claro não pode ser lido a partir das mídias de armazenamento.

Serviços AWS

Amazon Macie AWS Security Hub Amazon EventBridge AWS Lambda

Recursos de aprendizado

Referências

  • AWS Security Maturity Model: Sensitive data discovery (automated)