PCI DSS Security Maturity Model·AWS v1.1.0

Arraste para explorar · faça pinça para ampliar
Início / Matriz / Requisito 9 / c9.1
Quick Wins Security GovernanceDomínio de segurança da perspectiva de segurança do AWS Cloud Adoption Framework (CAF), usado para organizar os controles. ☁ AWSModelo de Responsabilidade Compartilhada da AWS: quem implementa e opera este controle. Cliente = é seu; AWS = a AWS opera e você o herda; Compartilhada = ambos têm obrigações.

c9.1 Herdar os controles físicos da AWS por meio dos relatórios de conformidade

Na AWS, a segurança física dos data centers é responsabilidade da AWS sob o modelo de responsabilidade compartilhada. O cliente herda esses controles e os evidencia com o AOC PCI DSS da AWS obtido via AWS Artifact.

Quick Wins
Foundational
Efficient
Optimized
Esforço: Baixo Impacto: Alto Aplica ao CDE: Sim

Requisito 9

Restringir o Acesso Físico aos Dados do Portador do Cartão

Sub-requisitos PCI cobertosCobertura mostrada por sub-controle do PCI DSS v4.0.1. “Coberto” = atendido por esta recomendação da AWS. “No roadmap” = técnico, planejado. “Sua responsabilidade” = controle organizacional/de processo. “Fora do escopo” = controle físico ou de terceiros não implementado na AWS.

9.2 Os controles de acesso físico gerenciam a entrada em instalações e sistemas
  • 9.2.1 Physical access controls at facility entries Fora do escopo
  • 9.2.1.1 Monitoring of physical access with cameras/mechanisms Fora do escopo
  • 9.2.2 Physical/logical controls restrict use of publicly accessible network jacks Coberto
  • 9.2.3 Physical access to wireless access points/hardware restricted Fora do escopo
  • 9.2.4 Access to consoles in sensitive areas restricted via locking Fora do escopo
9.3 O acesso físico de pessoal e visitantes é autorizado e gerenciado
  • 9.3.1 Procedures to authorize/manage personnel physical access Fora do escopo
  • 9.3.1.1 Physical access to sensitive areas controlled and individually assigned Fora do escopo
  • 9.3.2 Procedures to authorize/manage visitor access Fora do escopo
  • 9.3.3 Visitor badges/identification distinguished and surrendered Fora do escopo
  • 9.3.4 Visitor log maintained Fora do escopo

Como implementar na AWS

Baixar o Attestation of Compliance (AOC) PCI DSS da AWS e as responsabilidades do cliente no AWS Artifact. Documentar na matriz de responsabilidade compartilhada quais sub-requisitos físicos a AWS cobre. Manter esses documentos vigentes como evidência para o avaliador.

Implementação prática

Como este controle é implementado em cada arquitetura de referência:

A segurança física das instalações da AWS é responsabilidade da AWS sob o modelo compartilhado. Seu trabalho é herdar esses controles e evidenciá-los.

  1. Baixe o Attestation of Compliance (AOC) do PCI DSS da AWS vigente e o guia de responsabilidades do cliente no AWS Artifact.
    AWS Artifact (esta conta) AWS Artifact
  2. Registre na sua matriz de responsabilidade compartilhada que os Requisitos 9.2/9.3 (acesso físico ao CDE) são herdados da AWS.
    Matriz de responsabilidade compartilhada
  3. Mantenha o AOC vigente (baixe-o novamente a cada renovação) para que o avaliador sempre veja evidência válida.
    Repositório de evidência AWS Artifact

Como validar: Há um AOC do PCI DSS da AWS vigente em arquivo a partir do Artifact, e a matriz de responsabilidade compartilhada mapeia 9.2/9.3 para a AWS.

Evite: Tentar «implementar» você mesmo os controles físicos do data center na AWS. Você não pode; herde-os e evidencie por meio do AOC da AWS.

Conta única, 3 camadas →

A mesma herança se aplica a cada conta do CDE; capture-a uma vez no nível da organização com uma única matriz.

  1. Use os acordos de organização do AWS Artifact para obter o AOC uma vez para toda a organização.
    Conta de gestão/Artifact (org) AWS Artifact AWS Organizations
  2. Mantenha uma única matriz de responsabilidade compartilhada que cubra todas as contas do CDE sob a OU de PCI.
    Matriz de responsabilidade compartilhada no nível da organização
  3. Armazene o AOC e a matriz de forma central para que cada conta referencie a mesma evidência vigente.
    Log archive / repositório de evidência Amazon S3

Como validar: O AOC no nível da organização e uma única matriz de responsabilidade compartilhada cobrem cada conta da OU de PCI, e ambos estão vigentes.

Evite: Baixar e rastrear o AOC separadamente por conta. Capture-o uma vez no nível da organização para que a evidência permaneça consistente e vigente.

Multi-conta com uma OU dedicada ao PCI →

Validação PCI

Métodos de comprovação: examine

Procedimentos de teste

  • Observar os controles de entrada e os controles de acesso físico para verificar que o acesso aos sistemas do CDE é restringido, e que os pontos de entrada/saída das áreas sensíveis são monitorados e as gravações retidas (9.2.1, 9.2.1.1.a, 9.2.1.1.c).
  • Examinar os procedimentos para autorizar e gerenciar o acesso físico de pessoal e visitantes ao CDE (9.3.1.a, 9.3.2.a). Na AWS, esses controles são herdados da AWS sob o modelo de responsabilidade compartilhada e evidenciados por meio do AOC PCI DSS da AWS.

Evidência na AWS

  • AOC PCI DSS da AWS baixado do AWS Artifact (vigente).
  • Matriz de responsabilidade compartilhada documentando os controles físicos cobertos pela AWS.
  • Guia de responsabilidades do cliente da AWS para PCI DSS.

Abordagem personalizada

Requer uma análise de risco direcionada (Req 12.3.2).

Objetivo da abordagem personalizada

  • 9.2 — Os componentes do sistema no CDE não podem ser acessados fisicamente por pessoal não autorizado.
  • 9.3 — Os requisitos de acesso ao CDE físico estão definidos e são aplicados para identificar e autorizar o pessoal.

Serviços AWS

AWS Artifact

Recursos de aprendizado

Referências

  • PCI DSS v4.0.1 Requirement 9.2, 9.3 (AWS responsibility)