PCI DSS Security Maturity Model·AWS v1.1.0

Arraste para explorar · faça pinça para ampliar
Início / Matriz / Requisito 7 / c7.1
Quick Wins Identity and Access ManagementDomínio de segurança da perspectiva de segurança do AWS Cloud Adoption Framework (CAF), usado para organizar os controles. 🤝 CompartilhadaModelo de Responsabilidade Compartilhada da AWS: quem implementa e opera este controle. Cliente = é seu; AWS = a AWS opera e você o herda; Compartilhada = ambos têm obrigações.

c7.1 Impor privilégio mínimo com políticas IAM

Atribuir acesso aos componentes do sistema e aos dados da conta com base na necessidade de negócio, concedendo o privilégio mínimo necessário por meio de políticas e papéis IAM bem definidos.

Quick Wins
Foundational
Efficient
Optimized
Esforço: Baixo Impacto: Alto Aplica ao CDE: Sim

Requisito 7

Restringir o Acesso aos Componentes do Sistema e aos Dados do Portador do Cartão pela Necessidade de Conhecimento do Negócio

Sub-requisitos PCI cobertosCobertura mostrada por sub-controle do PCI DSS v4.0.1. “Coberto” = atendido por esta recomendação da AWS. “No roadmap” = técnico, planejado. “Sua responsabilidade” = controle organizacional/de processo. “Fora do escopo” = controle físico ou de terceiros não implementado na AWS.

7.2 O acesso aos componentes do sistema e aos dados é definido e atribuído adequadamente
  • 7.2.1 Access control model defined for need-to-know/least-privilege Coberto
  • 7.2.2 Access assigned based on job classification and least privilege Coberto
  • 7.2.3 Required privileges approved by authorized personnel Sua responsabilidade
  • 7.2.4 User accounts and access reviewed at least every 6 months Sua responsabilidade
  • 7.2.5 Application/system accounts and access managed by least privilege Coberto
  • 7.2.5.1 Access by app/system accounts reviewed periodically Sua responsabilidade
  • 7.2.6 Query access to stored CHD restricted via roles/applications Coberto
7.3 O acesso é gerenciado por meio de um sistema de controle de acesso
  • 7.3.1 Access control system(s) in place covering all components Coberto
  • 7.3.2 Access control system configured to enforce least privilege Coberto
  • 7.3.3 Access control system set to 'deny all' by default Coberto

Como implementar na AWS

Definir papéis IAM por função de trabalho com permissões mínimas. Evitar usuários IAM de longa duração em favor de papéis e credenciais temporárias. Usar o IAM Access Analyzer para detectar acessos amplos ou externos. Remover políticas com curingas desnecessários (Action:*, Resource:*).

Implementação prática

Como este controle é implementado em cada arquitetura de referência:

Conceda o privilégio mínimo por função de trabalho por meio de papéis IAM, evite credenciais de longa duração e detecte qualquer acesso amplo ou externo.

  1. Defina papéis IAM por função de trabalho com políticas de privilégio mínimo para as camadas de app/dados; restrinja Action e Resource, evitando curingas (Action:*, Resource:*).
    Camada de app (CDE) / Camada de dados (CDE) IAM
  2. Substitua os usuários IAM de longa duração por papéis e credenciais temporárias (papéis de instância, federação).
    Toda a conta IAM
  3. Execute o IAM Access Analyzer para detectar políticas que concedem acesso amplo ou externo e remedie-as.
    Detecção em toda a conta IAM

Como validar: O IAM Access Analyzer não mostra achados externos/amplos injustificados, e uma matriz de papel-vs-função de trabalho mapeia cada papel a uma necessidade documentada.

Evite: Anexar AdministratorAccess «temporariamente» para ir rápido. Permissões amplas se tornam permanentes; parta do privilégio mínimo e amplie apenas com justificativa.

Conta única, 3 camadas →

Padronize os permission sets de privilégio mínimo e detecte o acesso amplo/externo em cada conta do CDE a partir do administrador delegado.

  1. Defina permission sets padrão de privilégio mínimo por função de trabalho e aplique-os de forma consistente em todas as contas.
    Conta de ferramentas de segurança / identidade IAM Identity Center
  2. Execute o IAM Access Analyzer no nível da organização (administrador delegado) para que o acesso externo/amplo seja detectado em todas as contas do CDE em um único lugar.
    Conta de ferramentas de segurança → OU de PCI IAM AWS Organizations
  3. Reforce os limites com SCPs e perímetros de dados para que as identidades não possam alcançar recursos do CDE fora do seu escopo.
    OU de PCI (guarda-corpo) AWS Organizations

Como validar: O Access Analyzer no nível da organização não mostra acesso externo injustificado entre contas, e os permission sets correspondem ao modelo de função de trabalho documentado.

Evite: IAM feito à mão por conta que desvia. Padronize os permission sets de forma central e analise o acesso em toda a organização.

Multi-conta com uma OU dedicada ao PCI →

Validação PCI

Métodos de comprovação: examineinterview

Procedimentos de teste

  • Examinar as políticas/procedimentos e os ajustes do modelo de controle de acesso para verificar que as necessidades de acesso estão definidas conforme o requisito (7.2.1.a, 7.2.1.b).
  • Examinar os ajustes de acesso de usuários, incluindo os privilegiados, e entrevistar a gestão para verificar que os privilégios atribuídos seguem a classificação e a função de trabalho (7.2.2.b, 7.2.2.c).
  • Comparar os privilégios atribuídos com as aprovações documentadas por pessoal autorizado (7.2.3.b).

Evidência na AWS

  • Políticas e papéis IAM que evidenciam privilégio mínimo por função.
  • Achados do IAM Access Analyzer sem acessos externos/amplos não justificados.
  • Matriz de papéis versus funções de negócio documentada.

Abordagem personalizada

Requer uma análise de risco direcionada (Req 12.3.2).

Objetivo da abordagem personalizada

  • 7.2 — Os requisitos de acesso são estabelecidos conforme as funções de trabalho, seguindo os princípios de privilégio mínimo e necessidade de conhecimento.
  • 7.3 — Os direitos e privilégios de acesso são gerenciados por meio de um sistema de controle de acesso que restringe o acesso conforme a necessidade de conhecimento e está configurado como negar por padrão.

Serviços AWS

AWS IAM IAM Access Analyzer AWS IAM Identity Center

Recursos de aprendizado

Referências

  • AWS Security Maturity Model: Least privilege