PCI DSS Security Maturity Model·AWS v1.1.0

Arraste para explorar · faça pinça para ampliar
Início / Matriz / Requisito 4 / c4.2
Foundational Data ProtectionDomínio de segurança da perspectiva de segurança do AWS Cloud Adoption Framework (CAF), usado para organizar os controles. 👤 ClienteModelo de Responsabilidade Compartilhada da AWS: quem implementa e opera este controle. Cliente = é seu; AWS = a AWS opera e você o herda; Compartilhada = ambos têm obrigações.

c4.2 Inventariar e validar certificados e a confiança das conexões

Manter um inventário de certificados confiáveis e garantir que as chaves e os certificados usados para proteger o PAN em trânsito sejam válidos, vigentes e confiáveis.

Quick Wins
Foundational
Efficient
Optimized
Esforço: Médio Impacto: Médio Aplica ao CDE: Sim

Requisito 4

Proteger os Dados do Portador do Cartão com Criptografia Forte Durante a Transmissão por Redes Públicas Abertas

Sub-requisitos PCI cobertosCobertura mostrada por sub-controle do PCI DSS v4.0.1. “Coberto” = atendido por esta recomendação da AWS. “No roadmap” = técnico, planejado. “Sua responsabilidade” = controle organizacional/de processo. “Fora do escopo” = controle físico ou de terceiros não implementado na AWS.

4.2 O PAN é protegido com criptografia forte durante a transmissão
  • 4.2.1 Strong cryptography and security protocols protect PAN in transit Coberto
  • 4.2.1.1 Inventory of trusted keys and certificates maintained Coberto
  • 4.2.1.2 Wireless networks transmitting PAN use strong cryptography Coberto
  • 4.2.2 PAN secured with strong cryptography when sent via end-user messaging No roadmap

Como implementar na AWS

Centralizar a emissão com o ACM e o ACM Private CA para conexões internas. Monitorar a expiração de certificados com EventBridge/Config. Manter um inventário de certificados e seus usos. Impor a validação de certificados nos clientes que transmitem PAN.

Implementação prática

Como este controle é implementado em cada arquitetura de referência:

Mantenha cada certificado que protege o PAN em trânsito válido, confiável e inventariado, e receba alertas antes que algo expire.

  1. Emita certificados públicos com o ACM e certificados de conexão interna com o ACM Private CA, para que a emissão e a renovação sejam gerenciadas, não manuais.
    PKI da conta Certificate Manager AWS Private CA
  2. Mantenha um inventário de certificados confiáveis e seus usos (o artefato exigido pelo PCI 4.2.1.1).
    Inventário de certificados Certificate Manager
  3. Monitore a expiração dos certificados com a regra gerenciada do AWS Config e notificações do EventBridge para que as renovações nunca vençam.
    Detecção em toda a conta AWS Config EventBridge

Como validar: O inventário de certificados está atualizado e corresponde ao ACM/Private CA, e um teste de expiração próxima dispara o alerta do EventBridge.

Evite: Importar certificados autogerenciados e rastrear a expiração em uma planilha. Use certificados gerenciados pelo ACM para que a renovação seja automática e o inventário seja autoritativo.

Conta única, 3 camadas →

Execute uma hierarquia de CA interna de forma central, compartilhe-a com as contas do CDE e consolide o inventário de certificados em toda a organização.

  1. Opere o ACM Private CA de forma central (conta de rede ou de segurança) como a única hierarquia raiz/intermediária interna confiável.
    Conta de rede/inspeção AWS Private CA
  2. Compartilhe a CA com as contas do CDE (AWS RAM) para que cada conta emita a partir da mesma cadeia de confiança.
    Conta de rede → OU de PCI AWS Private CA AWS RAM
  3. Consolide o inventário de certificados e o monitoramento de expiração de forma central (agregador do Config + EventBridge).
    Conta de ferramentas de segurança AWS Config EventBridge AWS Organizations

Como validar: As contas do CDE emitem certificados a partir da Private CA compartilhada, e o inventário central lista cada certificado com suas datas de validade.

Evite: Uma CA interna separada por conta. Múltiplas raízes fragmentam a confiança e o inventário; centralize a CA e compartilhe-a.

Multi-conta com uma OU dedicada ao PCI →

Validação PCI

Métodos de comprovação: examine

Procedimentos de teste

  • Examinar as políticas e procedimentos para verificar que há um processo definido para manter um inventário de chaves e certificados confiáveis (4.2.1.1.a).
  • Examinar o inventário de chaves e certificados confiáveis para verificar que é mantido atualizado (4.2.1.1.b).

Evidência na AWS

  • Inventário de certificados do ACM/Private CA com datas de validade.
  • Alertas de expiração configurados (EventBridge/Config).
  • Configuração de validação de certificados nos serviços que transmitem PAN.

Abordagem personalizada

Requer uma análise de risco direcionada (Req 12.3.2).

Objetivo da abordagem personalizada

  • 4.2 — O PAN em texto claro não pode ser lido nem interceptado em nenhuma transmissão por redes públicas abertas.

Serviços AWS

AWS Certificate Manager AWS Private CA Amazon EventBridge AWS Config

Recursos de aprendizado

Referências

  • PCI DSS v4.0.1 Requirement 4.2.1.1