Norme de sécurité des données de l'industrie des cartes de paiement (PCI DSS)

La norme de sécurité des données de l'industrie des cartes de paiement (PCI DSS) de Security Hub fournit un ensemble de meilleures pratiques de AWS sécurité pour le traitement des données des titulaires de cartes. Vous pouvez utiliser cette norme pour découvrir des failles de sécurité dans les ressources qui traitent les données des titulaires de cartes. Security Hub applique actuellement les contrôles au niveau du compte. Nous vous recommandons d'activer ces contrôles dans tous vos comptes dotés de ressources permettant de stocker, de traiter ou de transmettre les données des titulaires de cartes.

Cette norme a été validée par AWS Security Assurance Services LLC (AWS SAS), une équipe d'évaluateurs de sécurité qualifiés (QSA) certifiés pour fournir des directives PCI DSS, et des évaluations par le Conseil des normes de sécurité PCI DSS (PCI SSC). AWS SAS a confirmé que les contrôles automatisés peuvent aider un client à se préparer à une évaluation PCI DSS.

Cette page répertorie les identifiants et les titres des contrôles de sécurité. Dans les régions AWS GovCloud (US) Region et en Chine, des identifiants et des titres de contrôle spécifiques aux normes sont utilisés. Pour un mappage des identifiants et des titres de contrôle de sécurité avec les identifiants et titres de contrôle spécifiques à la norme, voir. Incidence de la consolidation sur les identifiants et les titres de contrôle

Contrôles applicables à la norme PCI DSS

[AutoScaling.1] Les groupes Auto Scaling associés à un équilibreur de charge doivent utiliser les contrôles de santé ELB

[CloudTrail.2] CloudTrail doit avoir le chiffrement au repos activé

[CloudTrail.3] Au moins une CloudTrail piste doit être activée

[CloudTrail.4] La validation du fichier CloudTrail journal doit être activée

[CloudTrail.5] les CloudTrail sentiers doivent être intégrés à Amazon CloudWatch Logs

[CloudWatch.1] Un filtre log métrique et une alarme doivent exister pour l'utilisation de l'utilisateur « root »

[CodeBuild.1] Les URL du référentiel source CodeBuild Bitbucket ne doivent pas contenir d'informations d'identification sensibles

[CodeBuild.2] les variables d'environnement CodeBuild du projet ne doivent pas contenir d'informations d'identification en texte clair

[Config.1] AWS Config doit être activé et utiliser le rôle lié au service pour l'enregistrement des ressources

[DMS.1] Les instances de réplication du Database Migration Service ne doivent pas être publiques

[EC2.1] Les instantanés Amazon EBS ne doivent pas être restaurables publiquement

[EC2.2] Les groupes de sécurité VPC par défaut ne doivent pas autoriser le trafic entrant ou sortant

[EC2.6] La journalisation des flux VPC doit être activée dans tous les VPC

[EC2.12] Les EIP Amazon EC2 non utilisés doivent être supprimés

[EC2.13] Les groupes de sécurité ne doivent pas autoriser l'entrée depuis 0.0.0.0/0 ou : :/0 vers le port 22

[ELB.1] Application Load Balancer doit être configuré pour rediriger toutes les requêtes HTTP vers HTTPS

[ES.1] Le chiffrement au repos doit être activé sur les domaines Elasticsearch

[ES.2] Les domaines Elasticsearch ne doivent pas être accessibles au public

[GuardDuty.1] GuardDuty doit être activé

[IAM.1] Les politiques IAM ne devraient pas autoriser des privilèges administratifs « * » complets

[IAM.2] Les utilisateurs IAM ne doivent pas être associés à des politiques IAM

[IAM.4] La clé d'accès de l'utilisateur root IAM ne doit pas exister

[IAM.6] Le périphérique MFA matériel doit être activé pour l'utilisateur racine

[IAM.8] Les informations d'identification utilisateur IAM non utilisées doivent être supprimées

[IAM.9] La MFA doit être activée pour l'utilisateur root

[IAM.10] Les politiques de mot de passe pour les utilisateurs IAM devraient avoir une durée de validité stricte AWS Config

[IAM.19] Le MFA doit être activé pour tous les utilisateurs IAM

La rotation des AWS KMS touches [KMS.4] doit être activée

[Lambda.1] Les politiques relatives à la fonction Lambda devraient interdire l'accès public

[Lambda.3] Les fonctions Lambda doivent se trouver dans un VPC

Le chiffrement au repos doit être activé OpenSearch dans les domaines [Opensearch.1]

Les OpenSearch domaines [Opensearch.2] ne doivent pas être accessibles au public

[RDS.1] L'instantané RDS doit être privé

[RDS.2] Les instances de base de données RDS doivent interdire l'accès public, tel que déterminé par la durée PubliclyAccessible AWS Config

[Redshift.1] Les clusters Amazon Redshift devraient interdire l'accès public

[S3.1] Les paramètres de blocage de l'accès public aux compartiments S3 à usage général devraient être activés

[S3.2] Les compartiments à usage général S3 devraient bloquer l'accès public à la lecture

[S3.3] Les compartiments à usage général S3 devraient bloquer l'accès public en écriture

[S3.5] Les compartiments à usage général S3 devraient nécessiter des demandes d'utilisation du protocole SSL

[S3.7] Les compartiments à usage général S3 doivent utiliser la réplication entre régions

[SageMaker.1] Les instances d'Amazon SageMaker Notebook ne doivent pas avoir d'accès direct à Internet

[SSM.1] Les instances Amazon EC2 doivent être gérées par AWS Systems Manager

[SSM.2] Les instances Amazon EC2 gérées par Systems Manager doivent avoir un statut de conformité aux correctifs de COMPLIANT après l'installation d'un correctif

[SSM.3] Les instances Amazon EC2 gérées par Systems Manager doivent avoir le statut de conformité d'association COMPLIANT