PCI DSS Security Maturity Model·AWS v1.1.0

Arraste para explorar · faça pinça para ampliar
Início / Matriz / Requisito 6 / c6.2
Foundational Vulnerability ManagementDomínio de segurança da perspectiva de segurança do AWS Cloud Adoption Framework (CAF), usado para organizar os controles. 🤝 CompartilhadaModelo de Responsabilidade Compartilhada da AWS: quem implementa e opera este controle. Cliente = é seu; AWS = a AWS opera e você o herda; Compartilhada = ambos têm obrigações.

c6.2 Gestão de patches e mudanças controladas

Instalar patches de segurança críticos dentro de um mês de sua publicação e gerenciar as mudanças nos componentes do sistema por meio de um processo controlado e documentado.

Quick Wins
Foundational
Efficient
Optimized
Esforço: Médio Impacto: Alto Aplica ao CDE: Sim

Requisito 6

Desenvolver e Manter Sistemas e Software Seguros

Sub-requisitos PCI cobertosCobertura mostrada por sub-controle do PCI DSS v4.0.1. “Coberto” = atendido por esta recomendação da AWS. “No roadmap” = técnico, planejado. “Sua responsabilidade” = controle organizacional/de processo. “Fora do escopo” = controle físico ou de terceiros não implementado na AWS.

6.3 As vulnerabilidades de segurança são identificadas e tratadas
  • 6.3.1 Security vulnerabilities identified and risk-ranked Coberto
  • 6.3.2 Inventory of bespoke/custom software and components maintained Coberto
  • 6.3.3 All system components protected via patches (critical within 1 month) Coberto
6.5 As mudanças em todos os componentes do sistema são gerenciadas de forma segura
  • 6.5.1 Changes to all system components managed through a formal process Sua responsabilidade
  • 6.5.2 Applicable PCI DSS requirements confirmed after significant change Sua responsabilidade
  • 6.5.3 Pre-production environments separated from production Coberto
  • 6.5.4 Roles/functions separated between production and pre-production Sua responsabilidade
  • 6.5.5 Live PANs not used in pre-production environments Sua responsabilidade
  • 6.5.6 Test data and test accounts removed before production Sua responsabilidade

Como implementar na AWS

Automatizar o patching com o SSM Patch Manager e baselines por severidade. Gerenciar a infraestrutura como código para tornar as mudanças rastreáveis e revisáveis (controle de versão + revisão). Documentar impacto, aprovação, testes e rollback de cada mudança. Verificar a conformidade do patching com o Patch Compliance.

Implementação prática

Como este controle é implementado em cada arquitetura de referência:

Corrija as vulnerabilidades críticas/altas em um mês de forma automática, e torne cada mudança rastreável, revisada e reversível.

  1. Automatize o patch do SO com o SSM Patch Manager usando baselines de patch baseados em severidade e uma janela de manutenção programada.
    Camada de app (CDE) / Camada de dados (CDE) Systems Manager
  2. Gerencie a infraestrutura como IaC versionada (CloudFormation/CDK) para que cada mudança seja revisada por pull request e carregue motivo, aprovação e rollback.
    Base da conta (IaC) CloudFormation
  3. Verifique a conformidade de patch com o SSM Patch Compliance para comprovar que os patches críticos/altos são aplicados dentro da janela de um mês.
    Detecção em toda a conta Systems Manager

Como validar: O Patch Compliance mostra os patches críticos/altos aplicados dentro de um mês, e o repositório de IaC mostra cada mudança com aprovação e notas de reversão.

Evite: Aplicar patches manualmente e de forma pontual. Perde-se a janela de um mês e não fica registro de mudança; automatize com o Patch Manager e gerencie as mudanças por IaC revisada.

Conta única, 3 camadas →

Impulsione os baselines de patch e o controle de mudanças a partir de um pipeline central para que cada conta do CDE cumpra a janela de um mês com evidência consolidada.

  1. Distribua os baselines de patch e as janelas de manutenção a todas as contas do CDE a partir da ferramenta de gestão central.
    Conta de ferramentas de segurança → OU de PCI Systems Manager AWS Organizations
  2. Implante todas as mudanças de infraestrutura por meio de um pipeline central de IaC com portões de revisão e papéis de implantação entre contas com privilégio mínimo.
    Conta de shared services (CI/CD) CloudFormation CodePipeline
  3. Agregue o Patch Compliance e o histórico de mudanças de forma central para que a janela de um mês seja comprovável em toda a organização.
    Ferramentas de segurança / log archive Security Hub CloudTrail

Como validar: O Patch Compliance agregado mostra todas as contas do CDE dentro da janela, e os registros de mudança do pipeline central carregam aprovações e planos de rollback.

Evite: Deixar cada conta aplicar patches no próprio cronograma. As janelas de conformidade desviam; centralize os baselines e o relatório.

Multi-conta com uma OU dedicada ao PCI →

Validação PCI

Métodos de comprovação: examineobserve

Procedimentos de teste

  • Examinar as políticas e procedimentos para verificar que há um processo definido para instalar os patches/atualizações de segurança aplicáveis conforme o requisito (6.3.3.a).
  • Examinar os componentes do sistema e comparar os patches instalados com a informação de patches mais recente para verificar que os patches críticos/de alta segurança são instalados dentro de um mês de sua liberação (6.3.3.b).
  • Examinar a documentação de controle de mudanças e rastrear mudanças recentes para verificar que cada uma inclui motivo, aprovação, testes de funcionalidade e procedimentos de reversão (6.5.1.a, 6.5.1.b).

Evidência na AWS

  • Relatório de Patch Compliance do SSM mostrando patches aplicados dentro da janela.
  • Histórico de mudanças no repositório de IaC com aprovações e revisões.
  • Templates de CloudFormation versionados e registros de implantação.

Abordagem personalizada

Requer uma análise de risco direcionada (Req 12.3.2).

Objetivo da abordagem personalizada

  • 6.3 — As novas vulnerabilidades de sistemas e software que possam afetar a segurança dos dados da conta são monitoradas, catalogadas e avaliadas por risco, e os patches aplicáveis são instalados em um prazo apropriado.
  • 6.5 — Todas as mudanças são rastreadas, autorizadas e avaliadas quanto a impacto e segurança, e são gerenciadas para evitar efeitos indesejados na segurança dos componentes do sistema.

Serviços AWS

AWS Systems Manager AWS CloudFormation AWS Config

Recursos de aprendizado

Referências

  • AWS Security Maturity Model: Patch management
  • PCI DSS v4.0.1 Requirements 6.3.3, 6.5