CardNet segrega las cargas de trabajo de PCI DSS en una Unidad Organizativa (OU) dedicada. Necesitan restricciones preventivas (por ejemplo, no Internet Gateways en cuentas PCI, solo Regiones aprobadas) y un mapeo de control continuo a las mejores prácticas de PCI con visibilidad centralizada. ¿Cuál es el enfoque MÁS apropiado?

La opción correcta aborda todos los requisitos: una OU dedicada para la segregación de la carga de trabajo, SCPs (Service Control Policies) para aplicar restricciones preventivas (como denegar la creación de Internet Gateways y restringir las Regiones) y un paquete de conformidad de AWS Config para el mapeo de control continuo y la visibilidad centralizada de las mejores prácticas de PCI DSS. Habilitar Security Hub es útil para la detección, pero no proporciona controles preventivos ni mapeo de conformidad con PCI DSS. AWS Control Tower ofrece barandillas, pero no todas cubren los requisitos específicos de PCI DSS sin personalización, y no aborda el mapeo de conformidad. Mantener cargas de trabajo PCI y no PCI en una sola cuenta es una mala práctica de seguridad y dificulta el cumplimiento de PCI DSS.