Padrão de segurança de dados do setor de cartão de pagamento (PCI DSS – Payment Card Industry Data Security Standard)

O Payment Card Industry Data Security Standard (PCI DSS) no Security Hub fornece um conjunto de melhores práticas de segurança da AWS para o tratamento de dados do titular do cartão. É possível usar esse padrão para descobrir vulnerabilidades de segurança em recursos que lidam com dados de titulares de cartões. No momento, o tem como escopo os controles no nível da conta. É recomendável habilitar esses controles em todas as contas com recursos que armazenam, processam e/ou transmitem dados do titular do cartão.

Esse padrão foi validado pela AWS Security Assurance Services LLC (AWS SAS), que é uma equipe de avaliadores de segurança qualificados (QSAs) certificados para fornecer orientação sobre o PCI DSS e avaliações pelo PCI DSS Security Standards Council (PCI SSC). AWS O SAS confirmou que as verificações automatizadas podem ajudar o cliente a se preparar para uma avaliação do PCI DSS.

Esta página lista IDs e títulos de controle de segurança. Nas regiões AWS GovCloud (US) Region e na China, IDs e títulos de controle específicos do padrão são usados. A tabela a seguir mostra o mapeamento de IDs e títulos de controle de segurança para IDs e títulos de controle específicos do padrão.

Controles que se aplicam ao PCI DSS

[AutoScaling.1] Grupos de Auto Scaling associados a um Classic Load Balancer devem usar verificações de integridade do balanceador de carga

[CloudTrail.2] CloudTrail deve ter a criptografia em repouso ativada

[CloudTrail.3] CloudTrail deve ser ativado

[CloudTrail.4] a validação do arquivo de CloudTrail log deve estar ativada

[CloudTrail.5] CloudTrail trilhas devem ser integradas com o Amazon CloudWatch Logs

[CloudWatch.1] Um filtro métrico de log e um alarme devem existir para uso do usuário “root”

[CodeBuild.1] Os URLs do repositório CodeBuild de origem do Bitbucket não devem conter credenciais confidenciais

[CodeBuild.2] as variáveis de ambiente CodeBuild do projeto não devem conter credenciais de texto não criptografado

[Config.1] AWS Config deve estar habilitado

As instâncias de replicação do PCI.DMS.1 Database Migration Service não devem ser públicas

[PCI.EC2.1] Os instantâneos do Amazon EBS não devem ser restauráveis publicamente

[EC2.2] O grupo de segurança padrão da VPC não deve permitir o tráfego de entrada e saída

[EC2.6] O registro de fluxo de VPC deve ser ativado em todas as VPCs

[PCI.EC2.4] Os EIPs do EC2 não utilizados devem ser removidos

[EC2.13] Os grupos de segurança não devem permitir a entrada de 0.0.0.0/0 ou ::/0 na porta 22

[ELBv2.1] O Application Load Balancer deve ser configurado para redirecionar todas as solicitações HTTP para HTTPS

[ES.1] Os domínios do devem ter a criptografia em repouso habilitada.

[ES.2] Os domínios do Elasticsearch não devem ser publicamente acessíveis

[GuardDuty.1] GuardDuty deve ser ativado

[IAM.1] As políticas do não devem permitir privilégios administrativos completos "*"

[IAM.2] Os usuários do não devem ter políticas do IAM anexadas

[IAM.4] A chave de acesso do usuário raiz do não deve existir

[IAM.6] A MFA de hardware deve estar habilitada para o usuário raiz

As credenciais de usuário do IAM não utilizadas devem ser removidas

[IAM.6] A MFA de hardware deve estar habilitada para o usuário raiz

[IAM.10] As políticas de senha para usuários do IAM devem ter durações fortes AWS Config

[PCI.IAM.6] A MFA deve estar habilitada para todos os usuários do

A rotação de AWS KMS teclas [KMS.4] deve estar ativada

[PCI.lambda.1] As funções do devem proibir o acesso público

[PCI.Lambda.2] As funções do Lambda devem estar em uma VPC

Os OpenSearch domínios [Opensearch.1] devem ter a criptografia em repouso ativada

Os OpenSearch domínios [Opensearch.2] não devem ser acessíveis ao público

[RDS.1] Os instantâneos do RDS devem ser privados

[RDS.2] As instâncias de banco de dados do RDS devem proibir o acesso público, conforme determinado pela duração PubliclyAccessible AWS Config

[PCI.Redshift.1] Os clusters do devem proibir o acesso público

[S3.1] Os buckets de uso geral do S3 devem ter as configurações de bloqueio de acesso público ativadas

[S3.2] Os buckets de uso geral do S3 devem bloquear o acesso público de leitura

[S3.3] Os buckets de uso geral do S3 devem bloquear o acesso público de gravação

[S3.5] Os buckets de uso geral do S3 devem exigir solicitações para usar SSL

[S3.7] Os buckets de uso geral do S3 devem usar a replicação entre regiões

[SageMaker.1] As instâncias de SageMaker notebooks da Amazon não devem ter acesso direto à Internet

[SSM.1] As instâncias do Amazon EC2 devem ser gerenciadas por AWS Systems Manager

[PCI.SSM.1] As instâncias do Amazon EC2 gerenciadas pelo devem ter um status de conformidade de patch de COMPLIANT (Em conformidade) após a instalação do patch

PCI.SSM.2 As instâncias de Amazon EC2 gerenciadas pelo Systems Manager devem ter um status de conformidade de associação de COMPATÍVEL