PCI DSS Security Maturity Model·AWS v1.1.0

Arraste para explorar · faça pinça para ampliar
Início / Matriz / Requisito 4 / c4.1
Quick Wins Data ProtectionDomínio de segurança da perspectiva de segurança do AWS Cloud Adoption Framework (CAF), usado para organizar os controles. 👤 ClienteModelo de Responsabilidade Compartilhada da AWS: quem implementa e opera este controle. Cliente = é seu; AWS = a AWS opera e você o herda; Compartilhada = ambos têm obrigações.

c4.1 Impor TLS forte em endpoints públicos (ALB, CloudFront, API Gateway)

Garantir que todo o PAN transmitido por redes públicas abertas seja protegido com criptografia forte, impondo TLS 1.2+ e políticas de segurança modernas nos pontos de entrada públicos.

Quick Wins
Foundational
Efficient
Optimized
Esforço: Baixo Impacto: Alto Aplica ao CDE: Sim

Requisito 4

Proteger os Dados do Portador do Cartão com Criptografia Forte Durante a Transmissão por Redes Públicas Abertas

Sub-requisitos PCI cobertosCobertura mostrada por sub-controle do PCI DSS v4.0.1. “Coberto” = atendido por esta recomendação da AWS. “No roadmap” = técnico, planejado. “Sua responsabilidade” = controle organizacional/de processo. “Fora do escopo” = controle físico ou de terceiros não implementado na AWS.

4.2 O PAN é protegido com criptografia forte durante a transmissão
  • 4.2.1 Strong cryptography and security protocols protect PAN in transit Coberto
  • 4.2.1.1 Inventory of trusted keys and certificates maintained Coberto
  • 4.2.1.2 Wireless networks transmitting PAN use strong cryptography Coberto
  • 4.2.2 PAN secured with strong cryptography when sent via end-user messaging No roadmap

Como implementar na AWS

Provisionar certificados com o AWS Certificate Manager (ACM). Configurar políticas de segurança TLS 1.2/1.3 no ALB, CloudFront e API Gateway. Redirecionar HTTP para HTTPS. Desabilitar protocolos e cifras fracas. Detectar listeners não conformes com o AWS Config e o Security Hub (controles ELB.*, CloudFront.*).

Implementação prática

Como este controle é implementado em cada arquitetura de referência:

Finalize TLS forte (1.2+) em cada ponto de entrada público com certificados do ACM, force HTTPS e detecte qualquer listener fraco ou em texto claro.

  1. Provisione certificados com o ACM (validados por DNS) para os endpoints públicos para que a renovação seja automática.
    Sub-rede pública Certificate Manager
  2. Configure uma política de segurança TLS 1.2+ no ALB (e CloudFront/API Gateway se usados) e um listener de redirecionamento de HTTP para HTTPS.
    Sub-rede pública Elastic Load Balancing CloudFront API Gateway
  3. Detecte listeners não conformes ou em texto claro com as regras gerenciadas do AWS Config e os controles do Security Hub (ELB.1, CloudFront.3).
    Detecção em toda a conta AWS Config Security Hub

Como validar: Um escaneamento TLS do endpoint negocia apenas TLS 1.2/1.3, as solicitações HTTP redirecionam com 301 para HTTPS, e os controles do Security Hub ELB.1/CloudFront.3 passam.

Evite: Deixar uma política TLS 1.0/1.1 legada «para clientes antigos». Protocolos fracos quebram o requisito de criptografia forte; use uma política moderna e, se necessário, um caminho compensatório documentado.

Conta única, 3 camadas →

Padronize uma única política TLS e padrão de emissão do ACM em cada conta do CDE, e force HTTPS-only por política.

  1. Defina uma única política de segurança TLS aprovada e um padrão de emissão do ACM, e implante-os como código em cada conta do CDE para que os endpoints sejam consistentes.
    Cada conta de carga do CDE Certificate Manager CloudFormation
  2. Coloque à frente dos pontos de entrada públicos um CloudFront/edge compartilhado na conta de rede onde ele centraliza o limite de TLS.
    Conta de rede/inspeção CloudFront
  3. Force listeners HTTPS-only com um conformance pack do Config na OU de PCI e agregue os resultados no Security Hub do administrador delegado.
    Conta de ferramentas de segurança → OU de PCI AWS Config Security Hub AWS Organizations

Como validar: O conformance pack mostra as regras HTTPS/TLS em COMPLIANT em todas as contas da OU de PCI, e cada listener público negocia TLS 1.2+.

Evite: Cada equipe escolher sua própria política TLS. Políticas divergentes criam pontos fracos; distribua uma única política aprovada e verifique-a em toda a organização.

Multi-conta com uma OU dedicada ao PCI →

Validação PCI

Métodos de comprovação: examineobserve

Procedimentos de teste

  • Examinar as configurações do sistema para verificar que criptografia forte e protocolos de segurança são implementados conforme o requisito (4.2.1.b).
  • Examinar as transmissões de dados do portador do cartão para verificar que todo o PAN é criptografado com criptografia forte por redes públicas abertas (4.2.1.c).
  • Examinar as configurações do sistema para verificar que chaves/certificados que não podem ser verificados como confiáveis são rejeitados (4.2.1.d).

Evidência na AWS

  • Políticas de segurança TLS configuradas no ALB/CloudFront/API Gateway (TLS 1.2+).
  • Certificados válidos gerenciados no ACM.
  • Achados resolvidos do Security Hub sobre TLS/HTTPS (por exemplo, ELB.1, CloudFront.3).

Abordagem personalizada

Requer uma análise de risco direcionada (Req 12.3.2).

Objetivo da abordagem personalizada

  • 4.2 — O PAN em texto claro não pode ser lido nem interceptado em nenhuma transmissão por redes públicas abertas.

Serviços AWS

AWS Certificate Manager Elastic Load Balancing Amazon CloudFront Amazon API Gateway AWS Config

Recursos de aprendizado

Referências

  • AWS Security Maturity Model: Encryption in transit