c9.2 Gerenciar o escopo físico dos componentes próprios (híbrido/POI)
Onde existirem mídias físicas ou dispositivos de ponto de interação (POI) fora da AWS sob responsabilidade do cliente, aplicar e documentar os controles de proteção de mídia e de dispositivos POI.
Requisito 9
Restringir o Acesso Físico aos Dados do Portador do Cartão
Sub-requisitos PCI cobertosCobertura mostrada por sub-controle do PCI DSS v4.0.1. “Coberto” = atendido por esta recomendação da AWS. “No roadmap” = técnico, planejado. “Sua responsabilidade” = controle organizacional/de processo. “Fora do escopo” = controle físico ou de terceiros não implementado na AWS.
9.4 As mídias com dados do portador do cartão são armazenadas, acessadas, distribuídas e destruídas de forma segura
- 9.4.1 All media with CHD physically secured Fora do escopo
- 9.4.1.1 Offline media backups stored in secure location Fora do escopo
- 9.4.1.2 Security of offline media storage locations reviewed Fora do escopo
- 9.4.2 All media classified by data sensitivity Sua responsabilidade
- 9.4.3 Media sent outside facility secured and logged Fora do escopo
- 9.4.4 Management approval for media moved outside facility Fora do escopo
- 9.4.5 Inventory logs of electronic media with CHD maintained Sua responsabilidade
- 9.4.5.1 Media inventories conducted at least annually Sua responsabilidade
- 9.4.6 Hard-copy materials with CHD destroyed when no longer needed Fora do escopo
- 9.4.7 Electronic media with CHD rendered unrecoverable on disposal Coberto
9.5 Os dispositivos de ponto de interação (POI) são protegidos contra adulteração e substituição não autorizada
- 9.5.1 POI devices protected from tampering and unauthorized substitution Fora do escopo
- 9.5.1.1 Up-to-date list of POI devices maintained Fora do escopo
- 9.5.1.2 POI device surfaces periodically inspected Fora do escopo
- 9.5.1.2.1 Frequency of POI inspections defined by targeted risk analysis Sua responsabilidade
- 9.5.1.3 Training for personnel in POI environments Sua responsabilidade
Como implementar na AWS
Documentar formalmente se existem mídias ou dispositivos POI próprios; se não se aplicarem em uma implantação 100% AWS, registrar a não aplicabilidade no escopo. Para componentes híbridos, manter inventário de POI, inspeções periódicas antiadulteração e procedimentos de destruição segura de mídia. Vincular a evidência à documentação de escopo PCI.
Implementação prática
Como este controle é implementado em cada arquitetura de referência:
Para uma implantação puramente na AWS, o trabalho tático é documentar a não aplicabilidade das suas próprias mídias/POI, ou gerenciar os dispositivos híbridos que de fato existam.
- Confirme se há mídias ou dispositivos de ponto de interação (POI) próprios do cliente em escopo; uma implantação 100% AWS normalmente não tem nenhum.
- Se não se aplicarem, registre a não aplicabilidade de 9.4 (mídias) e 9.5 (POI) com justificativa no documento de escopo PCI.
- Se existirem POI/mídias híbridos, mantenha um inventário de POI, registros de inspeção periódica de adulteração e procedimentos de destruição segura de mídias, e vincule-os ao escopo.
Como validar: O documento de escopo indica a aplicabilidade de 9.4/9.5 com justificativa; onde houver dispositivos, o inventário de POI e os registros de inspeção estão vigentes.
Evite: Ignorar 9.4/9.5 silenciosamente porque «está tudo na AWS». Registre a não aplicabilidade explicitamente com justificativa: um avaliador precisa dela em arquivo.
Decida a aplicabilidade de mídias/POI uma vez no nível da organização e, onde existirem ambientes híbridos, rastreie-os na conta correspondente contra a matriz compartilhada.
- Documente a não aplicabilidade de mídias/POI uma vez no nível da organização para que cada conta do CDE herde uma postura consistente.
- Onde existirem ambientes POI híbridos, rastreie seu inventário e inspeções na conta de carga correspondente.
- Referencie a matriz de responsabilidade compartilhada para que o escopo físico seja inequívoco em toda a OU de PCI.Repositório de evidência no nível da organização
Amazon S3
Como validar: O documento de escopo no nível da organização aborda 9.4/9.5, e qualquer ambiente POI híbrido tem registros de inventário/inspeção vigentes referenciados a partir da matriz.
Evite: Documentar a aplicabilidade de mídias/POI de forma inconsistente por conta. Decida-a uma vez no nível da organização e rastreie as exceções onde elas realmente existem.
Validação PCI
Procedimentos de teste
- Examinar a documentação para verificar que os procedimentos protegem fisicamente, classificam, inventariam e destroem de forma segura as mídias com dados do portador do cartão (9.4.1, 9.4.2, 9.4.5.a, 9.4.6.a, 9.4.7.a), ou documentar a não aplicabilidade em implantações 100% AWS.
- Examinar a lista de dispositivos POI e os procedimentos de inspeção para verificar que os dispositivos são inventariados e inspecionados periodicamente contra adulteração e substituição (9.5.1.1.a, 9.5.1.2.a), ou documentar a não aplicabilidade.
Evidência na AWS
- Documento de escopo PCI indicando aplicabilidade ou não aplicabilidade de mídias físicas e POI.
- Quando aplicável: inventário de POI, registros de inspeção e procedimentos de destruição de mídia.
- Matriz de responsabilidade compartilhada delimitando o que é coberto pela AWS.
Abordagem personalizada
Requer uma análise de risco direcionada (Req 12.3.2).
Objetivo da abordagem personalizada
- 9.4 — As mídias com dados do portador do cartão não podem ser acessadas por pessoal não autorizado e são destruídas de forma segura quando não são mais necessárias.
- 9.5 — Os dispositivos de ponto de interação (POI) estão protegidos contra adulteração e substituição não autorizada.
Serviços AWS
AWS Artifact Recursos de aprendizado
Referências
- PCI DSS v4.0.1 Requirements 9.4, 9.5 (customer responsibility for hybrid/POI)