PCI DSS Security Maturity Model·AWS v1.1.0

Arraste para explorar · faça pinça para ampliar
Início / Matriz / Requisito 4 / c4.3
Efficient Security AssuranceDomínio de segurança da perspectiva de segurança do AWS Cloud Adoption Framework (CAF), usado para organizar os controles. 👤 ClienteModelo de Responsabilidade Compartilhada da AWS: quem implementa e opera este controle. Cliente = é seu; AWS = a AWS opera e você o herda; Compartilhada = ambos têm obrigações.

c4.3 Monitoramento contínuo da postura de criptografia em trânsito

Detectar automaticamente qualquer endpoint ou conexão que transmita dados sem criptografia forte e remediar de forma consistente para sustentar a conformidade contínua.

Quick Wins
Foundational
Efficient
Optimized
Esforço: Médio Impacto: Médio Aplica ao CDE: Sim

Requisito 4

Proteger os Dados do Portador do Cartão com Criptografia Forte Durante a Transmissão por Redes Públicas Abertas

Sub-requisitos PCI cobertosCobertura mostrada por sub-controle do PCI DSS v4.0.1. “Coberto” = atendido por esta recomendação da AWS. “No roadmap” = técnico, planejado. “Sua responsabilidade” = controle organizacional/de processo. “Fora do escopo” = controle físico ou de terceiros não implementado na AWS.

4.2 O PAN é protegido com criptografia forte durante a transmissão
  • 4.2.1 Strong cryptography and security protocols protect PAN in transit Coberto
  • 4.2.1.1 Inventory of trusted keys and certificates maintained Coberto
  • 4.2.1.2 Wireless networks transmitting PAN use strong cryptography Coberto
  • 4.2.2 PAN secured with strong cryptography when sent via end-user messaging No roadmap

Como implementar na AWS

Definir regras do AWS Config (alb-http-to-https-redirection-check, elb-tls-https-listeners-only, cloudfront-viewer-policy-https) e consolidar no Security Hub. Automatizar a remediação com SSM Automation. Alertar sobre desvios via EventBridge e Security Hub.

Implementação prática

Como este controle é implementado em cada arquitetura de referência:

Alcance o estado otimizado: detecte continuamente qualquer endpoint que transmita sem TLS forte e auto-remedie-o, para que a postura em trânsito se mantenha conforme por conta própria.

  1. Habilite as regras gerenciadas HTTPS/TLS do AWS Config (alb-http-to-https-redirection-check, elb-tls-https-listeners-only, cloudfront-viewer-policy-https) na conta.
    Detecção em toda a conta AWS Config
  2. Anexe auto-remediação (SSM Automation) para que um listener não conforme ou em texto claro seja corrigido automaticamente.
    Automação da conta Systems Manager
  3. Alerte sobre desvios por meio do EventBridge e consolide a postura no Security Hub.
    Detecção em toda a conta EventBridge Security Hub

Como validar: As regras HTTPS/TLS do Config leem COMPLIANT com histórico de remediação, e um listener de teste apenas HTTP é corrigido automaticamente em minutos.

Evite: Alertar sobre listeners não HTTPS sem remediar. A janela em texto claro permanece aberta até alguém agir; conecte o SSM Automation para fechá-la automaticamente.

Conta única, 3 camadas →

Monitore e aplique a criptografia em trânsito de forma uniforme em cada conta do CDE de um único lugar.

  1. Implante as regras HTTPS/TLS do Config em toda a organização por meio de um conformance pack para que cada conta do CDE seja avaliada de forma idêntica.
    OU de PCI (todas as contas do CDE) AWS Config AWS Organizations
  2. Agregue os resultados no Security Hub do administrador delegado para uma única visão de postura em trânsito.
    Conta de ferramentas de segurança Security Hub
  3. Dispare a remediação automática de forma central (EventBridge + SSM Automation) para que cada conta se autocorrija da mesma forma.
    Conta de ferramentas de segurança EventBridge Systems Manager

Como validar: O conformance pack mostra as regras HTTPS/TLS em COMPLIANT em toda a organização, e um listener HTTP colocado em qualquer conta do CDE é auto-remediado e visível no Security Hub.

Evite: Monitoramento por conta sem consolidação central. Agregue ao administrador delegado para que um único painel comprove a conformidade em trânsito em todo o patrimônio.

Multi-conta com uma OU dedicada ao PCI →

Validação PCI

Métodos de comprovação: examineobserve

Procedimentos de teste

  • Examinar as configurações do sistema e as evidências de monitoramento para verificar que a criptografia forte e os protocolos de segurança são mantidos em todas as transmissões de PAN por redes públicas abertas (4.2.1.b, 4.2.1.c).

Evidência na AWS

  • Regras de HTTPS/TLS do AWS Config no estado COMPLIANT.
  • Painel do Security Hub com controles de criptografia em trânsito.
  • Histórico de remediações automáticas de listeners não conformes.

Abordagem personalizada

Requer uma análise de risco direcionada (Req 12.3.2).

Objetivo da abordagem personalizada

  • 4.2 — O PAN em texto claro não pode ser lido nem interceptado em nenhuma transmissão por redes públicas abertas.

Serviços AWS

AWS Config AWS Security Hub AWS Systems Manager Automation Amazon EventBridge

Recursos de aprendizado

Referências

  • AWS Security Maturity Model: Continuous compliance monitoring