CardNet gliedert PCI-DSS-Workloads in eine dedizierte Organisationseinheit (OU) aus. Sie benötigen präventive Einschränkungen (z. B. keine Internet Gateways in PCI-Konten, nur genehmigte Regionen) und eine fortlaufende Kontrolle, die den PCI-Best Practices mit zentraler Sichtbarkeit entspricht. Welcher Ansatz ist am BESTEN geeignet?

Die Platzierung von PCI-Konten in einer dedizierten OU mit restriktiven Service Control Policies (SCPs) ist der beste präventive Ansatz. SCPs können Aktionen wie das Erstellen von Internet Gateways oder die Nutzung nicht genehmigter Regionen explizit verbieten, bevor sie überhaupt ausgeführt werden. Das organisationsweite Bereitstellen des AWS Config „Operational Best Practices for PCI DSS“-Conformance Packs für diese OU bietet eine kontinuierliche Überwachung und Berichterstattung über die Einhaltung der PCI-DSS-Best Practices. AWS Security Hub ist ein detektiver Dienst, der nach der Tatsache warnt, aber keine präventiven Kontrollen bietet. AWS Control Tower bietet zwar Guardrails, aber die Standard-Guardrails decken nicht alle spezifischen PCI-DSS-Anforderungen ohne Anpassung ab. Die Beibehaltung aller Workloads in einem einzigen Konto mit IAM Permission Boundaries ist keine empfohlene Praxis für die Trennung von PCI-Workloads, da sie das Risiko einer Fehlkonfiguration erhöht und die Isolation nicht so stark ist wie eine dedizierte OU.