A AWS publicou o AWS Security Reference Architecture (SRA) PCI DSS Deep Dive, um guia que estende a SRA com orientação em nível de arquitetura para organizações que armazenam, processam ou transmitem dados de cartão (cardholder data) na AWS.

A proposta é fechar a lacuna entre as boas práticas gerais de segurança da AWS e os controles técnicos e organizacionais específicos que o PCI DSS exige. O guia mostra como os padrões da SRA atendem à intenção do PCI DSS — de account scoping e segmentação de rede até encryption, logging e controle de acesso.

O que é o deep dive

A AWS SRA é um guia de arquitetura de segurança prescritivo que descreve como os serviços de segurança da AWS se encaixam em um ambiente multi-account. O deep dive não substitui a SRA, ele a estende em dois pontos principais:

Mapeia os tipos de conta da SRA para os limites de scoping do PCI DSS (em escopo, conectada ou que impacta segurança, fora de escopo) e adiciona controles específicos de PCI sobre as configurações já existentes — como mais granularidade de logging, requisitos de encryption e restrições de rede.

Os padrões valem igualmente para merchants e service providers.

Para quem é

O público inclui security architects desenhando landing zones multi-account, compliance engineers mapeando controles durante o assessment, times de cloud platform que precisam acomodar um cardholder data environment (CDE) e também QSAs e ISAs. O guia se apoia em seis princípios de design da SRA, como identidade forte com least privilege, traceability, defense-in-depth em todas as camadas e proteção de dados em trânsito e em repouso.

Ele pode ser lido como narrativa (do primer de PCI DSS ao mapeamento de requisitos) ou usado como referência pontual, com diagramas de arquitetura e tabelas de mapeamento de controles prontos para consultar durante revisões e assessments.

Saiba mais

Além do guia, dá para validar ambientes existentes contra as boas práticas da SRA usando o SRA verify, disponível no GitHub.

Conteúdo patrocinado: precisa de ajuda com segurança e compliance na nuvem? A Mytech oferece Segurança na Nuvem.