PCI DSS Security Maturity Model·AWS v1.1.0

Arraste para explorar · faça pinça para ampliar
Início / Matriz / Requisito 3 / c3.6
Foundational Data ProtectionDomínio de segurança da perspectiva de segurança do AWS Cloud Adoption Framework (CAF), usado para organizar os controles. 🤝 CompartilhadaModelo de Responsabilidade Compartilhada da AWS: quem implementa e opera este controle. Cliente = é seu; AWS = a AWS opera e você o herda; Compartilhada = ambos têm obrigações.

c3.6 Gerencie o ciclo de vida das chaves criptográficas com o AWS KMS

Gere, rotacione e aposente as chaves que protegem os dados de conta armazenados usando o AWS KMS para que o gerenciamento de chaves atenda aos requisitos de ciclo de vida de chaves do PCI DSS.

Quick Wins
Foundational
Efficient
Optimized
Esforço: Médio Impacto: Alto Aplica ao CDE: Sim

Requisito 3

Proteger os Dados Armazenados da Conta

Sub-requisitos PCI cobertosCobertura mostrada por sub-controle do PCI DSS v4.0.1. “Coberto” = atendido por esta recomendação da AWS. “No roadmap” = técnico, planejado. “Sua responsabilidade” = controle organizacional/de processo. “Fora do escopo” = controle físico ou de terceiros não implementado na AWS.

3.6 As chaves criptográficas usadas para proteger os dados armazenados da conta são protegidas
  • 3.6.1 Procedures to protect cryptographic keys against disclosure/misuse Coberto
3.7 Os processos e procedimentos de gestão de chaves criptográficas são definidos e implementados
  • 3.7.1 Key-management: generation of strong keys Coberto
  • 3.7.2 Key-management: secure distribution of keys Coberto
  • 3.7.3 Key-management: secure storage of keys Coberto
  • 3.7.4 Key-management: key changes at cryptoperiod end Coberto
  • 3.7.5 Key-management: retirement/replacement/destruction of keys Coberto
  • 3.7.6 Manual cleartext key operations use split knowledge/dual control Sua responsabilidade
  • 3.7.7 Prevention of unauthorized substitution of keys Coberto
  • 3.7.8 Key custodians formally acknowledge responsibilities Sua responsabilidade
  • 3.7.9 SP shares keys with customers with documented guidance (SP only) Sua responsabilidade

Como implementar na AWS

Use chaves gerenciadas pelo cliente (CMK) do AWS KMS para proteger os dados de conta armazenados. Habilite a rotação automática anual e faça rotação sob demanda quando necessário. Restrinja a administração e o uso das chaves com políticas de chave e grants (separadas das funções de dados). Agende a exclusão de chaves com um período de espera para aposentadoria/substituição. Use o CloudHSM quando for exigida custódia FIPS 140-2 Nível 3.

Implementação prática

Como este controle é implementado em cada arquitetura de referência:

Use CMKs do KMS com rotação e políticas de chave de menor privilégio para todos os dados de conta armazenados.

  1. Crie chaves KMS gerenciadas pelo cliente para os repositórios de dados de conta e habilite a rotação automática de chaves.
    Camada de dados (CDE) AWS KMS
  2. Restrinja a administração e o uso das chaves por meio de políticas de chave/grants, separando os administradores de chaves dos usuários de dados.
    Camada de dados (CDE) AWS KMS IAM
  3. Aposente ou substitua as chaves por meio de exclusão agendada com um período de espera; documente os criptoperíodos.
    Camada de dados (CDE) AWS KMS

Como validar: As chaves KMS que protegem os dados de conta têm a rotação habilitada, políticas de chave restritas e um processo de aposentadoria definido.

Evite: Usar uma única chave de longa duração para sempre, sem rotação nem segregação de funções.

Conta única, 3 camadas →

Centralize a governança de chaves e imponha a rotação em toda a organização.

  1. Provisione CMKs por workload/conta com rotação automática; compartilhe-as por meio de políticas de chave onde for necessário acesso entre contas.
    Contas de dados (CDE) AWS KMS AWS Organizations
  2. Imponha a rotação e as baselines de políticas de chave com regras do Config / conformance packs.
    Todas as contas AWS Config
  3. Use o CloudHSM para as chaves que exigem custódia FIPS 140-2 Nível 3.
    Conta de cripto dedicada CloudHSM

Como validar: O Config reporta a rotação habilitada e as políticas de chave em conformidade em todas as contas; a aposentadoria é tratada por meio de exclusão agendada.

Evite: Gerenciamento de chaves ad-hoc por conta, sem imposição de rotação em toda a organização.

Multi-conta com uma OU dedicada ao PCI →

Validação PCI

Métodos de comprovação: examineobserve

Procedimentos de teste

  • Examinar as configurações e políticas de chaves KMS para verificar a geração de chaves, a rotação ao fim do criptoperíodo e a aposentadoria/substituição segura.

Evidência na AWS

  • Status de rotação de chaves KMS
  • Políticas de chave e grants do KMS
  • Conformidade da regra do Config para a rotação de chaves
  • Registros de exclusão agendada de chaves

Abordagem personalizada

Requer uma análise de risco direcionada (Req 12.3.2).

Objetivo da abordagem personalizada

  • 3.7 — As chaves criptográficas usadas para proteger os dados de conta armazenados são geradas, rotacionadas e aposentadas de forma segura ao longo de seu ciclo de vida.

Serviços AWS

AWS KMS AWS CloudHSM AWS Config

Recursos de aprendizado

Referências

  • https://docs.aws.amazon.com/kms/latest/developerguide/rotate-keys.html
  • https://docs.aws.amazon.com/kms/latest/developerguide/key-policies.html