Cada requisito e sub-requisito do PCI DSS v4.0.1, mapeado ao(s) controle(s) de segurança da AWS que o atende(m). Use para ver a cobertura rapidamente e rastrear cada controle até o padrão.
ⓘ Isto mapeia cada sub-requisito do PCI DSS v4.0.1 a um ou mais controles de segurança da AWS deste modelo. Mostra cobertura e rastreabilidade de controles; não é uma declaração de conformidade nem certificação PCI DSS.
Requisito 1 — Instalar e Manter Controles de Segurança de Rede 4/4 sub-requisitos cobertos Sub-requisito PCI Controles de segurança AWS 1.2 Os NSCs são configurados e mantidos c1.1 c1.3 1.3 O acesso de rede de e para o CDE é restringido c1.1 c1.2 c1.3 c1.4 c1.5 1.4 As conexões de rede entre redes confiáveis e não confiáveis são controladas c1.1 c1.2 c1.4 c1.5 1.5 Os riscos ao CDE decorrentes de dispositivos que se conectam a redes não confiáveis são mitigados c1.5
Requisito 2 — Aplicar Configurações Seguras a Todos os Componentes do Sistema 2/2 sub-requisitos cobertos Sub-requisito PCI Controles de segurança AWS 2.2 Os componentes do sistema são configurados e gerenciados de forma segura c2.1 c2.2 c2.3 2.3 Os ambientes sem fio são configurados e gerenciados de forma segura c2.4
Requisito 3 — Proteger os Dados Armazenados da Conta 6/6 sub-requisitos cobertos Sub-requisito PCI Controles de segurança AWS 3.2 O armazenamento de dados da conta é mantido no mínimo c3.2 c3.5 3.3 Dados sensíveis de autenticação (SAD) não são armazenados após a autorização c3.2 3.4 O acesso à exibição do PAN completo e a capacidade de copiá-lo são restringidos c3.3 3.5 O PAN é protegido onde quer que seja armazenado c3.1 c3.5 3.6 As chaves criptográficas usadas para proteger os dados armazenados da conta são protegidas c3.4 c3.6 3.7 Os processos e procedimentos de gestão de chaves criptográficas são definidos e implementados c3.4 c3.6
Requisito 4 — Proteger os Dados do Portador do Cartão com Criptografia Forte Durante a Transmissão por Redes Públicas Abertas 1/1 sub-requisitos cobertos Sub-requisito PCI Controles de segurança AWS 4.2 O PAN é protegido com criptografia forte durante a transmissão c4.1 c4.2 c4.3
Requisito 5 — Proteger Todos os Sistemas e Redes contra Software Malicioso 3/3 sub-requisitos cobertos Sub-requisito PCI Controles de segurança AWS 5.2 O software malicioso é prevenido ou detectado e tratado c5.1 c5.2 c5.4 5.3 Os mecanismos e processos anti-malware estão ativos, mantidos e monitorados c5.1 c5.2 c5.4 5.4 Mecanismos anti-phishing protegem os usuários contra ataques de phishing c5.3
Requisito 6 — Desenvolver e Manter Sistemas e Software Seguros 4/4 sub-requisitos cobertos Sub-requisito PCI Controles de segurança AWS 6.2 O software sob medida e personalizado é desenvolvido de forma segura c6.4 6.3 As vulnerabilidades de segurança são identificadas e tratadas c6.1 c6.2 c6.4 c6.5 6.4 As aplicações web públicas são protegidas contra ataques c6.3 6.5 As mudanças em todos os componentes do sistema são gerenciadas de forma segura c6.2 c6.5
Requisito 7 — Restringir o Acesso aos Componentes do Sistema e aos Dados do Portador do Cartão pela Necessidade de Conhecimento do Negócio 2/2 sub-requisitos cobertos Sub-requisito PCI Controles de segurança AWS 7.2 O acesso aos componentes do sistema e aos dados é definido e atribuído adequadamente c7.1 c7.2 c7.3 7.3 O acesso é gerenciado por meio de um sistema de controle de acesso c7.1 c7.2
Requisito 8 — Identificar Usuários e Autenticar o Acesso aos Componentes do Sistema 5/5 sub-requisitos cobertos Sub-requisito PCI Controles de segurança AWS 8.2 A identificação de usuários e as contas relacionadas são gerenciadas ao longo de seu ciclo de vida c8.2 8.3 A autenticação forte de usuários e administradores é estabelecida e gerenciada c8.3 c8.4 c8.5 8.4 A autenticação multifator (MFA) é implementada para proteger o acesso ao CDE c8.1 8.5 Os sistemas de MFA são configurados para evitar uso indevido c8.1 c8.4 8.6 O uso de contas de aplicações e sistemas e dos fatores de autenticação associados é gerenciado c8.3
Requisito 9 — Restringir o Acesso Físico aos Dados do Portador do Cartão 4/4 sub-requisitos cobertos Sub-requisito PCI Controles de segurança AWS 9.2 Os controles de acesso físico gerenciam a entrada em instalações e sistemas c9.1 9.3 O acesso físico de pessoal e visitantes é autorizado e gerenciado c9.1 9.4 As mídias com dados do portador do cartão são armazenadas, acessadas, distribuídas e destruídas de forma segura c9.2 9.5 Os dispositivos de ponto de interação (POI) são protegidos contra adulteração e substituição não autorizada c9.2
Requisito 10 — Registrar e Monitorar Todo o Acesso aos Componentes do Sistema e aos Dados do Portador do Cartão 6/6 sub-requisitos cobertos Sub-requisito PCI Controles de segurança AWS 10.2 Os logs de auditoria são implementados para apoiar a detecção de anomalias e atividades suspeitas c10.1 10.3 Os logs de auditoria são protegidos contra destruição e modificações não autorizadas c10.2 10.4 Os logs de auditoria são revisados para identificar anomalias ou atividades suspeitas c10.4 10.5 O histórico dos logs de auditoria é retido e fica disponível para análise c10.2 10.6 Os mecanismos de sincronização de tempo garantem configurações de horário consistentes c10.3 c10.6 10.7 As falhas de sistemas de controle de segurança críticos são detectadas, reportadas e tratadas prontamente c10.5
Requisito 11 — Testar Regularmente a Segurança dos Sistemas e das Redes 5/5 sub-requisitos cobertos Sub-requisito PCI Controles de segurança AWS 11.2 Os pontos de acesso sem fio são identificados e monitorados, e os não autorizados são tratados c11.2 11.3 As vulnerabilidades externas e internas são regularmente identificadas, priorizadas e tratadas c11.1 11.4 Testes de penetração externos e internos são realizados regularmente c11.5 11.5 As intrusões de rede e as mudanças inesperadas de arquivos são detectadas e tratadas c11.3 11.6 As mudanças não autorizadas nas páginas de pagamento são detectadas e tratadas c11.4
Requisito 12 — Apoiar a Segurança da Informação com Políticas e Programas Organizacionais 7/7 sub-requisitos cobertos Sub-requisito PCI Controles de segurança AWS 12.1 Uma política abrangente de segurança da informação é estabelecida, publicada, mantida e disseminada c12.2 12.2 Políticas de uso aceitável para tecnologias de usuário final são definidas e implementadas c12.2 12.3 Os riscos ao CDE são formalmente identificados, avaliados e gerenciados c12.3 12.5 O escopo do PCI DSS é documentado e validado c12.1 12.6 A educação em conscientização de segurança é uma atividade contínua c12.4 12.8 O risco aos ativos de informação associado a relações com provedores de serviço terceirizados (TPSP) é gerenciado c12.5 12.10 Incidentes de segurança suspeitos e confirmados são respondidos imediatamente c12.6
