PCI DSS Security Maturity Model·AWS v1.1.0

Arraste para explorar · faça pinça para ampliar
Início / Matriz / Requisito 7 / c7.3
Efficient Identity and Access ManagementDomínio de segurança da perspectiva de segurança do AWS Cloud Adoption Framework (CAF), usado para organizar os controles. 🤝 CompartilhadaModelo de Responsabilidade Compartilhada da AWS: quem implementa e opera este controle. Cliente = é seu; AWS = a AWS opera e você o herda; Compartilhada = ambos têm obrigações.

c7.3 Revisão e refinamento automatizado de acessos

Otimizar continuamente as permissões removendo privilégios não utilizados e validando periodicamente que o acesso permanece alinhado à necessidade de negócio.

Quick Wins
Foundational
Efficient
Optimized
Esforço: Médio Impacto: Médio Aplica ao CDE: Sim

Requisito 7

Restringir o Acesso aos Componentes do Sistema e aos Dados do Portador do Cartão pela Necessidade de Conhecimento do Negócio

Sub-requisitos PCI cobertosCobertura mostrada por sub-controle do PCI DSS v4.0.1. “Coberto” = atendido por esta recomendação da AWS. “No roadmap” = técnico, planejado. “Sua responsabilidade” = controle organizacional/de processo. “Fora do escopo” = controle físico ou de terceiros não implementado na AWS.

7.2 O acesso aos componentes do sistema e aos dados é definido e atribuído adequadamente
  • 7.2.1 Access control model defined for need-to-know/least-privilege Coberto
  • 7.2.2 Access assigned based on job classification and least privilege Coberto
  • 7.2.3 Required privileges approved by authorized personnel Sua responsabilidade
  • 7.2.4 User accounts and access reviewed at least every 6 months Sua responsabilidade
  • 7.2.5 Application/system accounts and access managed by least privilege Coberto
  • 7.2.5.1 Access by app/system accounts reviewed periodically Sua responsabilidade
  • 7.2.6 Query access to stored CHD restricted via roles/applications Coberto

Como implementar na AWS

Usar o IAM Access Analyzer para gerar políticas com base na atividade do CloudTrail e detectar permissões sem uso. Executar revisões periódicas de acesso. Refinar os permission sets conforme as recomendações de last-accessed information.

Implementação prática

Como este controle é implementado em cada arquitetura de referência:

Alcance o estado otimizado: dimensione as permissões a partir da atividade real e remova o acesso não utilizado em uma cadência recorrente.

  1. Use a geração de políticas do IAM Access Analyzer a partir da atividade do CloudTrail para dimensionar as políticas amplas demais ao que é realmente usado.
    Detecção em toda a conta IAM CloudTrail
  2. Habilite a análise de acesso não utilizado (papéis, permissões e credenciais não usados) e aja sobre os achados.
    Detecção em toda a conta IAM
  3. Execute revisões de acesso periódicas e registre o resultado como evidência do PCI 7.2.4.
    Processo de revisão de acesso IAM

Como validar: Os relatórios de último acesso/acesso não utilizado do Access Analyzer mostram uma redução de privilégio ao longo do tempo, e existem registros de revisão periódica com ajustes realizados.

Evite: Conceder acesso e nunca revisá-lo. Os privilégios se acumulam; revise em uma cadência e remova o que não é usado.

Conta única, 3 camadas →

Execute revisões de acesso e análise de acesso não utilizado em toda a organização e ajuste a base de permission sets compartilhados de forma consistente.

  1. Habilite a análise de acesso não utilizado do IAM Access Analyzer em toda a organização a partir do administrador delegado para expor o acesso obsoleto em todas as contas.
    Conta de ferramentas de segurança → OU de PCI IAM AWS Organizations
  2. Refine os permission sets compartilhados do IAM Identity Center a partir dos achados para que a base de privilégio mínimo se ajuste em todos os lugares de uma vez.
    Conta de identidade/segurança IAM Identity Center
  3. Mantenha a evidência de revisão periódica (incluindo contas de terceiros/fornecedores) de forma central.
    Conta de log-archive Amazon S3

Como validar: Os achados de acesso não utilizado em toda a organização tendem a diminuir, e as mudanças nos permission sets são registradas a cada revisão periódica em todas as contas do CDE.

Evite: Revisar cada conta isoladamente. Analise o acesso não utilizado em toda a organização e refine os permission sets compartilhados para que as melhorias se apliquem em todos os lugares.

Multi-conta com uma OU dedicada ao PCI →

Validação PCI

Métodos de comprovação: examine

Procedimentos de teste

  • Examinar as políticas para verificar que há um processo definido para revisar todas as contas de usuário e seus privilégios de acesso, incluindo as contas de terceiros/fornecedores (7.2.4.a).
  • Entrevistar o pessoal e examinar os resultados documentados das revisões periódicas de acesso para verificar que os privilégios atribuídos permanecem apropriados e limitados à necessidade de negócio (7.2.4.b).

Evidência na AWS

  • Relatórios de last-accessed e recomendações do Access Analyzer.
  • Registros de revisões periódicas de acesso e ajustes realizados.
  • Políticas geradas a partir da atividade real (CloudTrail).

Abordagem personalizada

Requer uma análise de risco direcionada (Req 12.3.2).

Objetivo da abordagem personalizada

  • 7.2 — Os requisitos de acesso são estabelecidos conforme as funções de trabalho, seguindo os princípios de privilégio mínimo e necessidade de conhecimento.

Serviços AWS

IAM Access Analyzer AWS IAM AWS CloudTrail

Recursos de aprendizado

Referências

  • PCI DSS v4.0.1 Requirement 7.2.4