AWS Security Reference Architecture: Um Mergulho Profundo na Conformidade com PCI DSS

A AWS publica guia aprofundado de conformidade PCI DSS para a AWS SRA

A Amazon Web Services (AWS) anunciou a publicação do Guia Aprofundado de Conformidade com o Padrão de Segurança de Dados da Indústria de Cartões de Pagamento (PCI DSS) para a Arquitetura de Referência de Segurança da AWS (AWS SRA). O material não substitui a AWS SRA existente — ele a estende, adicionando uma camada de orientação prescritiva e específica para organizações que armazenam, processam ou transmitem dados de titulares de cartões na nuvem AWS.

Por muito tempo, empresas sujeitas ao PCI DSS buscaram um recurso abrangente que conectasse as boas práticas gerais de segurança da AWS com os controles técnicos e organizacionais exigidos para alcançar e manter a conformidade. Esse novo guia preenche exatamente essa lacuna.

O que é o Guia Aprofundado de PCI DSS para a AWS SRA?

A AWS SRA é uma referência de arquitetura de segurança holística e prescritiva que descreve como os serviços de segurança da AWS se encaixam em um ambiente multi-conta. Ela é construída em torno de uma arquitetura web modular de três camadas e foi projetada intencionalmente para ser adaptada conforme a necessidade — nem toda carga de trabalho precisa de todos os serviços, mas a AWS SRA apresenta o espectro completo de opções e seus relacionamentos arquiteturais.

O novo guia de PCI DSS aprofunda essa base de duas formas principais:

• Mapeamento de tipos de conta para limites de escopo do PCI DSS: mostra quais contas estão dentro do escopo, conectadas ou com impacto de segurança, e quais estão fora do escopo em uma arquitetura típica de pagamentos.
• Sobreposição de controles específicos do PCI DSS às configurações existentes da AWS SRA: por exemplo, maior granularidade de logging, requisitos de criptografia ou restrições de rede que vão além da linha de base da AWS SRA.

Os padrões arquiteturais e controles descritos no guia se aplicam tanto a comerciantes quanto a provedores de serviços.

Para quem é esse guia?

O material foi desenvolvido para diferentes perfis de profissionais que trabalham com segurança e conformidade em ambientes AWS:

• Arquitetos de segurança que estão projetando ou expandindo uma landing zone multi-conta AWS para cargas de trabalho sob o escopo do PCI DSS.
• Engenheiros de conformidade que precisam mapear controles AWS para os requisitos do PCI DSS durante avaliações.
• Equipes de plataforma de nuvem que constroem serviços de segurança compartilhados e precisam acomodar um Ambiente de Dados de Titulares de Cartões (CDE — Cardholder Data Environment).
• Avaliadores de Segurança Qualificados (QSAs — Qualified Security Assessors) e Avaliadores de Segurança Internos (ISAs — Internal Security Assessors) que desejam entender como os padrões da AWS SRA endereçam a intenção do PCI DSS.

Seis princípios de design da AWS SRA aplicados ao PCI DSS

O guia aplica seis princípios fundamentais da AWS SRA que são especialmente relevantes para a conformidade com o PCI DSS:

1. Implementar uma base de identidade sólida

Aplicar o princípio do menor privilégio, separação de funções e gerenciamento centralizado de identidade. Eliminar a dependência de credenciais estáticas de longo prazo.

2. Habilitar rastreabilidade

Monitorar, alertar e auditar ações em tempo real. Integrar a coleta de logs e métricas com sistemas automatizados de investigação e resposta.

3. Aplicar segurança em todas as camadas

Defesa em profundidade com controles preventivos e detectivos na borda, na Nuvem Privada Virtual (VPC — Virtual Private Cloud), no balanceamento de carga, na computação, no sistema operacional, na aplicação e no código.

4. Proteger dados em trânsito e em repouso

Classificar dados por sensibilidade e aplicar criptografia, tokenização e mecanismos de controle de acesso.

5. Manter pessoas longe dos dados

Reduzir ou eliminar o acesso direto aos dados de titulares de cartões por meio de automação e ferramentas adequadas.

6. Preparar-se para eventos de segurança

Estabelecer processos de gerenciamento de incidentes, executar simulações e implementar detecção e recuperação automatizadas.

Como usar o guia na prática

O guia pode ser consumido de duas formas, dependendo do objetivo do profissional:

• Como narrativa: lendo do início ao fim, começando pelo primer de PCI DSS, passando pela arquitetura e modelo de escopo de contas, até os mapeamentos detalhados de requisitos. Essa abordagem oferece uma compreensão completa de como a AWS SRA e o PCI DSS se conectam.
• Como referência: navegando diretamente para requisitos específicos do PCI DSS ou tipos de conta da AWS SRA relevantes para o projeto em andamento. O guia inclui diagramas de arquitetura, tabelas de mapeamento de requisitos e configurações específicas por serviço que podem ser usadas de forma independente.

O material também disponibiliza diagramas de arquitetura para download e tabelas detalhadas de mapeamento de controles, tornando mais simples a referência durante revisões de segurança e avaliações de PCI DSS.

Próximos passos recomendados

A AWS recomenda que as organizações revisem o Guia Aprofundado de PCI DSS para a AWS SRA e comecem a mapear seus padrões para o próprio Ambiente de Dados de Titulares de Cartões. Em seguida, é indicado validar os ambientes existentes em relação às boas práticas da SRA utilizando o SRA Verify.

Para quem precisar de suporte na arquitetura ou implementação de um ambiente AWS em conformidade com PCI DSS, a AWS indica o contato com o AWS Security Assurance Services, o AWS Professional Services, o time de conta AWS ou a Rede de Parceiros AWS.

Fonte

AWS Security Reference Architecture: A deep dive into PCI DSS compliance (https://aws.amazon.com/blogs/security/aws-security-reference-architecture-a-deep-dive-into-pci-dss-compliance/)